Il Cyber Resilience Act si avvia verso la sua implementazione con un ampio documento di orientamento pubblicato dalla Commissione europea il 27 luglio 2026. Questo documento fornisce indicazioni pratiche per produttori e sviluppatori, chiarendo numerosi aspetti che avevano suscitato dubbi interpretativi.
Le linee guida UE sul Cyber Resilience Act
Il documento offre chiarimenti sul perimetro dei prodotti interessati, la gestione del software open source, le modifiche sostanziali e gli obblighi di segnalazione. Strutturato in oltre ottanta pagine, include 67 esempi pratici. Tuttavia, è importante notare che il contenuto approvato rimarrà in vigore solo dopo la traduzione in tutte le lingue ufficiali dell’Unione, poiché le linee guida non sono giuridicamente vincolanti.
Le scadenze del Cyber Resilience Act: il primo appuntamento è già a settembre 2026
Applicato secondo un calendario progressivo, il regolamento entrerà in vigore il 10 dicembre 2024. Gli obblighi di segnalazione previsti dall’articolo 14 saranno attivi dall’11 settembre 2026, imponendo alle aziende di identificare e segnalare vulnerabilità già da quella data.
Il CRA introduce una nuova idea di sicurezza del prodotto
Il CRA stabilisce che la sicurezza cibernetica deve essere gestita lungo tutto il ciclo di vita del prodotto, estendendosi a vari tipi di beni digitali, dai software autonomi ai dispositivi IoT.
Quando un software viene “immesso sul mercato”
Un software autonomo è considerato sul mercato al termine della sua produzione. La gestione delle versioni diventa essenziale per dimostrare la conformità.
Software libero e open source: non basta guardare la licenza
Per essere definito FOSS ai fini del CRA, un software deve essere distribuito con una licenza libera e avere il codice sorgente disponibile pubblicamente.
Il periodo di supporto: cinque anni non sono il valore predefinito
Il periodo di supporto deve generalmente essere di almeno cinque anni, ma può essere esteso in base alle aspettative degli utenti e alla vita attesa del prodotto.
La valutazione del rischio è il cuore del CRA
La valutazione del rischio deve guidare l’intero ciclo di vita del prodotto, considerando minacce, impatti potenziali e necessità di aggiornamento continuo.
Quando inizia il conteggio delle 24 ore
Il produttore deve segnalare vulnerabilità e incidenti entro tempi prestabiliti dall’accertamento di certezza, avviando immediatamente l’analisi quando si verificano eventi sospetti.
Fonti
https://ec.europa.eu/newsroom/dae/redirection/document/131456
__________
Puoi leggere la fonte originale dell’articolo qui
