Lista di controllo della documentazione tecnica CRA
Sytance · Aggiornato
La documentazione tecnica prevista dal CRA è il fascicolo probatorio del prodotto e dei processi di cibersicurezza del fabbricante. Deve dimostrare come il prodotto soddisfa l’allegato I e come il fabbricante gestisce le vulnerabilità.
Obbligo di documentazione
La documentazione tecnica contiene tutti i dati o i dettagli pertinenti dei mezzi utilizzati dal fabbricante per garantire che il prodotto con elementi digitali e i processi attuati dal fabbricante siano conformi ai requisiti essenziali di cibersicurezza di cui all’allegato I. Contiene almeno gli elementi elencati nell’allegato VII.
Regolamento (UE) 2024/2847, articolo 31(1)
L’articolo 31 richiede che il fascicolo spieghi come il prodotto e i processi del fabbricante siano conformi all’allegato I. La documentazione comprende quindi sia la progettazione del prodotto sia le modalità di gestione delle vulnerabilità dopo il rilascio.
Evidenze relative al prodotto e al processo
Le caratteristiche di cibersicurezza del prodotto di cui alla parte I dell’allegato I e il processo di gestione delle vulnerabilità di cui alla parte II dell’allegato I.
Tempi e aggiornamenti
La documentazione tecnica è redatta prima dell’immissione sul mercato del prodotto con elementi digitali ed è aggiornata continuamente, se necessario, almeno durante il periodo di supporto.
Regolamento (UE) 2024/2847, articolo 31(2)
La documentazione tecnica deve esistere prima dell’immissione sul mercato. Deve poi essere mantenuta aggiornata quando modifiche rilevanti intervengono durante il periodo di supporto.
- Una modifica della progettazione del prodotto, dell’architettura, della versione software o del metodo di aggiornamento può richiedere un aggiornamento.
- Una modifica della valutazione dei rischi di cibersicurezza può richiedere un aggiornamento.
- Nuove informazioni sulle vulnerabilità possono richiedere un aggiornamento.
- Un prodotto riprogettato o rivalutato dovrebbe avere una documentazione che identifichi le versioni modificate.
Contenuti dell’allegato VII
L’allegato VII stabilisce l’elenco minimo dei contenuti. È preferibile leggerlo come un insieme di categorie di evidenze, non come un modello di tabella. Il livello di dettaglio dipende dal prodotto interessato.
Il fascicolo identifica il prodotto, la finalità prevista, le versioni software che incidono sulla conformità, le immagini hardware pertinenti e le informazioni per gli utenti di cui all’allegato II.
L’allegato VII richiede informazioni sulla progettazione, lo sviluppo, la produzione e la gestione delle vulnerabilità. Comprendono architettura, relazioni tra componenti, SBOM, politica di divulgazione, contatto per le segnalazioni e aggiornamenti sicuri, oltre ai processi di produzione e monitoraggio e alla relativa convalida.
La valutazione dei rischi di cibersicurezza fa parte del fascicolo. L’allegato VII richiede anche le informazioni utilizzate per determinare il periodo di supporto.
Il fascicolo registra norme, specifiche comuni, sistemi di certificazione, altre soluzioni tecniche, rapporti di prova e dichiarazione di conformità UE.
L’allegato VII include la SBOM quando un’autorità di vigilanza del mercato presenta una richiesta motivata e la SBOM è necessaria per verificare la conformità all’allegato I.
Elenco di controllo dell’allegato VII per un rilascio del prodotto
L’indice seguente segue le otto voci dell’allegato VII. È un esempio di organizzazione delle informazioni, non una struttura di cartelle prescritta né un obbligo di esportare otto file separati. Ogni record citato dovrebbe identificare il prodotto e la versione a cui si riferisce.
- Descrizione del prodotto: finalità prevista, versioni software che incidono sulla conformità, immagini e marcature hardware pertinenti e informazioni per gli utenti di cui all’allegato II.
- Progettazione e processi: architettura e relazioni tra componenti; gestione delle vulnerabilità, SBOM, politica di divulgazione, contatto per le segnalazioni e aggiornamenti sicuri; produzione, monitoraggio e convalida dei processi.
- Valutazione dei rischi di cibersicurezza: rischi del prodotto e motivazioni sull’applicabilità dei requisiti della parte I dell’allegato I.
- Periodo di supporto: informazioni utilizzate per determinarne la durata.
- Norme e soluzioni tecniche: disposizioni applicate, relativo stato e ambito di utilizzo e soluzioni usate per i requisiti non coperti.
- Rapporti di verifica: test del prodotto e dei processi di gestione delle vulnerabilità rispetto ai requisiti essenziali applicabili.
- Dichiarazione di conformità UE: la dichiarazione relativa al prodotto valutato.
- SBOM su richiesta dell’autorità: la SBOM pertinente quando un’autorità di vigilanza del mercato presenta una richiesta motivata e ne ha bisogno per verificare la conformità all’allegato I.
Per una release fittizia 1.2 di un controllore, l’indice potrebbe rimandare alla descrizione della release, alla revisione dell’architettura, alla valutazione dei rischi, alla SBOM, ai test di aggiornamento e alle istruzioni per gli utenti della release. Se una valutazione dei rischi più recente è abbinata a un rapporto di test del firmware precedente, occorre spiegare se i controlli verificati sono ancora applicabili.
Verificare la completezza rispetto alle informazioni applicabili dell’allegato VII e alla versione del prodotto valutata. Un indice documentale aiuta a trovare le analisi e i risultati alla base di ogni conclusione, comprese le informazioni ancora mancanti.
Collegamenti alle evidenze
La valutazione dei rischi spiega le misure di sicurezza scelte; i record dei componenti identificano il software protetto da tali misure; i record di gestione delle vulnerabilità mostrano che cosa accade quando viene individuato un nuovo problema. Le pagine seguenti spiegano contenuti e utilizzo di ciascun record.
Valutazione dei rischi
Mostra come si applicano al prodotto l’articolo 13 e l’allegato I. Consultare Valutazione dei rischi di cibersicurezza.
Analisi delle lacune
Confronta le evidenze attuali del prodotto con i requisiti CRA applicabili. Consultare Analisi delle lacune.
SBOM e componenti
Supporta la gestione delle vulnerabilità e la visibilità dei componenti. Consultare SBOM e registri dei componenti.
Registri delle vulnerabilità
Mostra la ricezione, la correzione, la divulgazione, il rilascio degli aggiornamenti e i test delle vulnerabilità. Consultare Registri della gestione delle vulnerabilità.
Valutazione dei rischi
L’articolo 13(4) inserisce la valutazione dei rischi di cibersicurezza nella documentazione tecnica. La valutazione spiega come si applica l’allegato I al prodotto, compreso il motivo per cui un requisito relativo alle caratteristiche del prodotto non è pertinente, se questa è la conclusione del fabbricante.
Le FAQ della Commissione affermano che il fascicolo deve essere disponibile quando il prodotto viene immesso sul mercato, sia che sia fabbricato all’interno sia all’esterno dell’UE. Affermano inoltre che successive riprogettazioni e rivalutazioni devono riflettersi nella documentazione tecnica.
Conformità e uso da parte delle autorità
La documentazione tecnica è destinata principalmente alla valutazione della conformità e alla vigilanza del mercato. Le FAQ della Commissione affermano che normalmente non deve essere messa a disposizione dei clienti o del pubblico.
La principale eccezione di pubblicazione descritta nelle FAQ riguarda alcuni prodotti importanti di software libero e open source che utilizzano la procedura di autovalutazione prevista dall’articolo 32(5).
La documentazione deve supportare le verifiche di conformità
Un’autorità di vigilanza del mercato può richiedere le informazioni necessarie a dimostrare la conformità. Una documentazione mancante o poco chiara può diventare un problema formale di conformità.