Norme armonizzate della CRA e presunzione di conformità
Sytance · Aggiornato
La conformità alle norme armonizzate può generare una presunzione di conformità al CRA per i requisiti che coprono solo quando i relativi riferimenti sono pubblicati nella Gazzetta ufficiale. Progetti di norma, lavori in corso, documenti di pianificazione M/606 e testi sottoposti a inchiesta possono aiutare l’attività tecnica, ma non creano da soli una presunzione giuridica.
Presunzione di conformità
I prodotti con elementi digitali e i processi attuati dal fabbricante conformi alle norme armonizzate o a loro parti, i cui riferimenti sono stati pubblicati nella Gazzetta ufficiale dell’Unione europea, sono presunti conformi ai requisiti essenziali di cibersicurezza di cui all’allegato I coperti da tali norme o parti di esse.
Regolamento (UE) 2024/2847, articolo 27(1)
Le ultime parole sono importanti. Per impostazione predefinita, una norma non copre l’intero regolamento. Copre i requisiti dell’allegato I indicati nel riferimento pubblicato e soltanto per i prodotti e i processi che rientrano nel suo ambito.
Norma armonizzata
Procedura tecnica volontaria. Conferisce una presunzione solo dopo la pubblicazione del relativo riferimento nella Gazzetta ufficiale.
Specificazione comune
Procedura alternativa della Commissione quando ricorrono le condizioni dell’articolo 27(2) e la specificazione copre il requisito.
Sistema di certificazione
Un certificato europeo di cibersicurezza può supportare la conformità ai requisiti coperti dal sistema.
Programma di lavoro M/606
M/606 è la richiesta della Commissione a CEN, CENELEC ed ETSI. La pagina della Commissione sulla normazione descrive 41 norme richieste, suddivise tra norme orizzontali e norme verticali specifiche per prodotto. CEN, CENELEC ed ETSI hanno accettato la richiesta il 3 aprile 2025.
Le voci 1 e 15 di M/606 riguardano la prima norma orizzontale sui principi e la norma orizzontale sulla gestione delle vulnerabilità.
Le voci da 16 a 41 di M/606 riguardano categorie di prodotti importanti e critici, come browser, prodotti VPN, sistemi operativi, router, firewall, semiconduttori, prodotti per la smart home, dispositivi indossabili ed elementi sicuri.
Le voci da 2 a 14 di M/606 riguardano ulteriori norme orizzontali per le caratteristiche di sicurezza dei prodotti, quali impostazioni predefinite sicure, aggiornamenti, controllo degli accessi, riservatezza, integrità, disponibilità, riduzione delle superfici di attacco, monitoraggio e rimozione dei dati.
Norme orizzontali
Le norme orizzontali sono concepite per essere utili in diverse categorie di prodotti. Stabiliscono terminologia comune e una struttura condivisa per la gestione dei rischi, la sicurezza dei prodotti e la gestione delle vulnerabilità. Le norme specifiche per prodotto possono basarsi su di esse.
Un vocabolario comune supporta le norme orizzontali e quelle specifiche per prodotto. Non va considerato, da solo, una norma sui controlli di sicurezza del prodotto.
Il progetto attuale illustra i principi di ciberresilienza, la cibersicurezza dei prodotti basata sul rischio e le attività del ciclo di vita. È illustrato separatamente in prEN 40000-1-2, Principi di ciberresilienza.
M/606 richiede requisiti e controlli di sicurezza generici per le caratteristiche dei prodotti di cui alla parte I dell’allegato I. Il ruolo previsto è illustrato in prEN 40000-1-4, materiali pubblici.
Il progetto attuale illustra la gestione delle vulnerabilità prevista dalla parte II dell’allegato I. È illustrato separatamente in prEN 40000-1-3, Gestione delle vulnerabilità.
I documenti pubblici attuali 1-2 e 1-3 sono progetti di norma. Sono utili per la pianificazione, ma non vanno descritti come norme EN definitive né come norme armonizzate citate finché non assumono tale status.
Riferimento alle norme di prodotto
L’avanzamento delle norme specifiche per prodotto è indicato in Norme di prodotto per categoria. La pagina elenca le norme candidate per le categorie degli allegati III e IV e riporta lo stato delle fonti verificate.
Dimostrare come le norme affrontano i requisiti
Un prodotto può utilizzare norme come evidenze tecniche prima della loro citazione, ma ciò è diverso dalla presunzione giuridica di conformità. La documentazione tecnica dovrebbe indicare quali requisiti sono coperti da norme citate, specificazioni comuni, sistemi di certificazione o altre soluzioni tecniche.
Le pagine dei progetti di norme orizzontali sono illustrate separatamente: prEN 40000-1-2, Principi di ciberresilienza e prEN 40000-1-3, Gestione delle vulnerabilità.