Informazioni e istruzioni per gli utenti previste dalla CRA
Sytance · Aggiornato
Le informazioni per gli utenti previste dal CRA sono il materiale che accompagna il prodotto e aiuta gli utenti a installarlo, utilizzarlo, aggiornarlo, segnalare vulnerabilità e dismetterlo in sicurezza. Sono rivolte a utenti, integratori, proprietari e operatori, non soltanto al fascicolo interno del fabbricante.
Informazioni per gli utenti
I fabbricanti garantiscono che i prodotti con elementi digitali siano accompagnati dalle informazioni e dalle istruzioni per l’utente di cui all’allegato II, in formato cartaceo o elettronico. Le informazioni e le istruzioni sono fornite in una lingua facilmente comprensibile agli utenti e alle autorità di vigilanza del mercato. Sono chiare, comprensibili, intelligibili e leggibili. Consentono l’installazione, il funzionamento e l’uso sicuri dei prodotti con elementi digitali. I fabbricanti tengono a disposizione degli utenti e delle autorità di vigilanza del mercato le informazioni e le istruzioni per l’utente di cui all’allegato II per almeno dieci anni dall’immissione sul mercato del prodotto con elementi digitali o per il periodo di supporto, se più lungo. Se tali informazioni e istruzioni sono fornite online, i fabbricanti garantiscono che siano accessibili, facili da usare e disponibili online per almeno dieci anni dall’immissione sul mercato del prodotto con elementi digitali o per il periodo di supporto, se più lungo.
Regolamento (UE) 2024/2847, articolo 13(18)
Le informazioni possono essere fornite in formato cartaceo o elettronico. Devono essere in una lingua facilmente comprensibile agli utenti e alle autorità di vigilanza del mercato. Se sono online, devono restare accessibili e facili da usare per il periodo richiesto.
Materiale rivolto agli utenti
Spiega l’uso sicuro, il supporto, gli aggiornamenti, i canali di contatto e le informazioni sui rischi necessarie agli utenti.
Parte del fascicolo probatorio
L’allegato VII include le informazioni per gli utenti di cui all’allegato II nella documentazione tecnica.
Contenuti dell’allegato II
L’allegato II stabilisce i contenuti minimi. Riunisce identità del prodotto, informazioni sul supporto, istruzioni per l’uso sicuro e contatti per le vulnerabilità.
L’allegato II richiede il nome del fabbricante, i relativi recapiti, il sito web se disponibile e informazioni sufficienti a identificare in modo univoco il prodotto.
Gli utenti devono essere informati su come segnalare e ricevere informazioni sulle vulnerabilità e su come reperire la politica coordinata di divulgazione delle vulnerabilità.
Le informazioni devono descrivere la finalità prevista, l’ambiente di sicurezza, le funzioni essenziali, le caratteristiche di sicurezza e qualsiasi circostanza nota o prevedibile che possa comportare rischi significativi per la cibersicurezza.
L’allegato II richiede il tipo di supporto tecnico per la sicurezza e la data di fine del periodo di supporto. Richiede inoltre istruzioni per installare gli aggiornamenti rilevanti per la sicurezza.
L’allegato II richiede informazioni sulla messa in servizio sicura, sull’uso sicuro durante l’intero ciclo di vita, sulla dismissione sicura, sulla rimozione dei dati, sulle impostazioni degli aggiornamenti automatici e sull’integrazione quando il prodotto è destinato a essere integrato in un altro prodotto.
Istruzioni per l’uso sicuro
Il CRA non richiede consigli generici sulla sicurezza. Le istruzioni devono essere adeguate al prodotto, alla finalità prevista, all’uso prevedibile e agli utenti che lo installano o lo utilizzano.
Il punto 8 dell’allegato II richiede istruzioni, o un collegamento alle istruzioni, su:
- misure necessarie durante la messa in servizio iniziale e per tutta la durata del prodotto;
- come le modifiche al prodotto possono incidere sulla sicurezza dei dati;
- come installare aggiornamenti rilevanti per la sicurezza;
- dismissione sicura e rimozione sicura dei dati degli utenti;
- come disattivare gli aggiornamenti di sicurezza automatici se sono abilitati per impostazione predefinita;
- informazioni di integrazione necessarie a un altro fabbricante o integratore.
Istruzioni chiare non sostituiscono la progettazione
Le informazioni per gli utenti possono illustrare ipotesi e rischi residui. Non possono essere utilizzate per lasciare senza risposta i requisiti di sicurezza del prodotto.
Data di supporto al momento dell’acquisto
L’articolo 13(19) richiede che la data di fine del periodo di supporto sia chiara al momento dell’acquisto. La data deve indicare almeno mese e anno. Se tecnicamente fattibile, gli utenti devono inoltre essere informati quando il prodotto raggiunge la fine del supporto.
Al momento dell’acquisto
Gli utenti dovrebbero poter vedere la data di fine del supporto al momento dell’acquisto.
Durante l’uso
Gli utenti hanno bisogno di istruzioni di aggiornamento corrispondenti al metodo effettivo di aggiornamento del prodotto.
Confine con la documentazione tecnica
Le informazioni per gli utenti e la documentazione tecnica hanno destinatari diversi. Le informazioni per gli utenti servono all’uso sicuro. La documentazione tecnica è il fascicolo probatorio utilizzato per dimostrare la conformità al CRA.
L’allegato VII include le informazioni per gli utenti di cui all’allegato II nella documentazione tecnica, ma richiede anche evidenze interne quali informazioni di progettazione e architettura, il processo di gestione delle vulnerabilità, la valutazione dei rischi di cibersicurezza, la motivazione del periodo di supporto, le norme utilizzate e i rapporti di prova.