Con l’adozione dell’EU Cyber Resilience Act (CRA), la cybersicurezza non è più soltanto una questione di best practice o di standard volontari: diventa un requisito giuridicamente vincolante per i produttori di prodotti digitali.

Per le aziende che sviluppano software o sistemi connessi, il CRA introduce nuovi obblighi in materia di progettazione sicura dei prodotti, gestione delle vulnerabilità, trasparenza e segnalazione degli incidenti. Le organizzazioni che non rispettano questi requisiti rischiano sanzioni considerevoli: fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale.

In ALPEIN Software stiamo già preparando il nostro password manager aziendale PassSecurium™ a soddisfare questi requisiti, con largo anticipo rispetto alla piena applicazione del regolamento.

In questo articolo spieghiamo che cos’è il CRA, a chi si applica e come stiamo preparando PassSecurium™ alla conformità con i suoi requisiti di cybersicurezza.

Che cos’è l’EU Cyber Resilience Act?

Il Cyber Resilience Act (Regolamento (UE) 2024/2847) è un regolamento europeo che stabilisce requisiti di cybersicurezza obbligatori per i prodotti con elementi digitali messi a disposizione sul mercato dell’UE.

Tra questi rientrano, ad esempio:

• prodotti software
• soluzioni di rete e di sicurezza
• dispositivi IoT
• hardware con software integrato
• applicazioni aziendali e sistemi IT

L’obiettivo del CRA è garantire che i prodotti venduti nell’UE:

• siano sviluppati secondo il principio secure by design
• siano configurati secondo il principio secure by default
• ricevano regolarmente aggiornamenti di sicurezza
• informino in modo trasparente sulle vulnerabilità

Il regolamento introduce requisiti di cybersicurezza lungo l’intero ciclo di vita del prodotto: dallo sviluppo e dal rilascio fino alla gestione delle vulnerabilità e all’informazione degli utenti.

In pratica, la cybersicurezza passa da raccomandazione a obbligo di legge.

A chi si applica il CRA

Il CRA si applica a fabbricanti, importatori e distributori di prodotti con elementi digitali messi a disposizione sul mercato dell’UE.

Ciò include:

• le aziende con sede nell’UE
• le aziende al di fuori dell’UE che vendono prodotti a clienti nell’UE

Per i produttori di software il punto centrale è semplice:

se il vostro prodotto è distribuito o venduto nell’UE, il CRA si applica.

Ciò significa che anche le aziende di software svizzere, compresi i fornitori di soluzioni di sicurezza enterprise, devono rispettarne i requisiti se servono clienti nell’UE.

La classificazione dei prodotti nel CRA

Il regolamento classifica i prodotti digitali in diverse categorie in base al rischio per la cybersicurezza.

Categoria predefinita

Circa il 90% di tutti i prodotti rientra in questa categoria.

Alcuni esempi:

• applicazioni software standard
• elettronica di consumo
• dispositivi IoT a basso rischio

Di norma questi prodotti sono sottoposti a un’autovalutazione della conformità.

Prodotti importanti – Classe I

Alcuni prodotti che svolgono un ruolo centrale per la sicurezza o la gestione delle identità sono classificati come prodotti importanti di Classe I.

Tra questi, ad esempio:

• password manager
• browser
• soluzioni VPN
• sistemi di gestione delle identità
• software di gestione della rete

PassSecurium™ rientra in questa categoria.

Questa classificazione riflette il fatto che i password manager custodiscono credenziali sensibili e devono quindi soddisfare requisiti di cybersicurezza particolarmente elevati.

I prodotti importanti di Classe I possono:

effettuare un’autovalutazione sulla base di norme armonizzate

oppure

sottoporsi a una valutazione della conformità da parte di un organismo terzo.

Prodotti importanti – Classe II

In questa categoria rientra il software per infrastrutture a rischio più elevato, ad esempio:

• firewall
• sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS)
• hypervisor e sistemi di runtime per container
• microprocessori e microcontrollori a prova di manomissione

Per questi prodotti è obbligatoria una valutazione da parte di un organismo terzo.

Prodotti critici

Tra i componenti digitali critici rientrano ad esempio:

• moduli di sicurezza hardware (HSM)
• smart card
• criptoprocessori sicuri

Questi prodotti richiedono una certificazione EUCC (European Union Cybersecurity Certification Scheme on Common Criteria) con livello di affidabilità sostanziale o elevato.

Il calendario di attuazione del CRA

Il CRA prevede un’attuazione scaglionata, che lascia ai produttori il tempo di prepararsi.

Entrata in vigore

10 dicembre 2024

Il regolamento è ufficialmente entrato in vigore e le aziende dovrebbero avviare la pianificazione della conformità.

Le attività tipiche di questa fase sono:

• classificazione dei prodotti
• gap analysis rispetto ai requisiti del CRA
• designazione di un responsabile interno della conformità

Obbligo di segnalazione delle vulnerabilità

11 settembre 2026

È una delle tappe più importanti.

I produttori devono essere in grado di:

• segnalare le vulnerabilità attivamente sfruttate
• informare le autorità tramite la piattaforma di segnalazione dell’ENISA
• fornire report strutturati sugli incidenti

Piena applicazione

11 dicembre 2027

Da questa data:

• tutti i requisiti essenziali di cybersicurezza devono essere soddisfatti
• la documentazione tecnica deve essere completa
• le valutazioni della conformità devono essere concluse
• deve essere apposta la marcatura CE
• deve essere pubblicata una dichiarazione di conformità UE

I requisiti essenziali di cybersicurezza

Il CRA definisce i requisiti essenziali di cybersicurezza nell’allegato I. Essi costituiscono il nucleo del regolamento e si applicano anche a prodotti software come i password manager.

Ecco alcuni dei principi più importanti.

Secure by design e secure by default

I prodotti devono essere sviluppati facendo della cybersicurezza un principio architetturale centrale.

Per PassSecurium™ ciò significa, tra l’altro:

• un’architettura di sicurezza basata sul rischio
• configurazioni predefinite rafforzate (hardening)
• meccanismi di autenticazione forti
• un’archiviazione sicura delle credenziali

Gli utenti non dovrebbero dover attivare impostazioni di sicurezza aggiuntive per ottenere una configurazione sicura.

Nessuna vulnerabilità sfruttabile nota

I prodotti non possono essere rilasciati con vulnerabilità sfruttabili note.

Ciò richiede:

• verifiche di sicurezza prima di ogni rilascio
• test delle vulnerabilità
• processi di rilascio controllati

Controllo degli accessi

I prodotti devono impedire gli accessi non autorizzati mediante adeguati meccanismi di autenticazione e autorizzazione.

Per un password manager ciò significa, ad esempio:

• autenticazione a più fattori
• controllo degli accessi basato sui ruoli
• modelli di accesso basati sul privilegio minimo
• integrazione sicura con gli identity provider

Riservatezza, integrità e disponibilità

I prodotti devono garantire la protezione dei dati attraverso:

• la riservatezza, grazie alla crittografia
• l’integrità, grazie alla protezione dalle manomissioni
• la disponibilità, grazie a un’architettura di sistema resiliente

Riduzione della superficie di attacco

Il CRA richiede che i prodotti riducano le interfacce non necessarie e i punti di accesso esterni.

Ciò comprende:

• la limitazione delle interfacce esterne
• la riduzione al minimo dei servizi esposti
• un controllo accurato delle API

Registrazione e monitoraggio della sicurezza

I prodotti devono registrare gli eventi rilevanti per la sicurezza, così da consentire il monitoraggio e l’analisi degli incidenti.

Per i prodotti enterprise come i password manager, le funzioni di logging sono fondamentali per:

• la verificabilità (audit)
• le indagini sugli incidenti
• la dimostrazione della conformità

Meccanismi di aggiornamento sicuri

I produttori devono mettere a disposizione meccanismi per distribuire in modo sicuro gli aggiornamenti di sicurezza.

Ciò include:

• la verifica dell’integrità degli aggiornamenti
• una distribuzione autenticata degli aggiornamenti
• funzioni di rollback

Requisiti per la gestione delle vulnerabilità

L’allegato I definisce inoltre i requisiti per la gestione delle vulnerabilità.

Software Bill of Materials (SBOM)

I produttori devono tenere un inventario leggibile da macchina dei componenti software. Le SBOM aumentano la trasparenza della supply chain del software e aiutano a individuare più rapidamente i componenti vulnerabili.

Correzione delle vulnerabilità

Le vulnerabilità devono essere:

• individuate
• valutate
• corrette senza ritardi ingiustificati

Gli aggiornamenti di sicurezza devono essere messi a disposizione degli utenti interessati.

Divulgazione coordinata delle vulnerabilità

I produttori devono istituire un processo pubblico per la segnalazione delle vulnerabilità.

Ciò comprende:

• un punto di contatto pubblico per le segnalazioni di vulnerabilità
• processi interni documentati
• procedure di divulgazione responsabile

Segnalazione di incidenti e vulnerabilità

I produttori devono segnalare le vulnerabilità attivamente sfruttate tramite la piattaforma unica di segnalazione del CRA gestita dall’ENISA.

Ciò consente un coordinamento transfrontaliero più rapido delle misure di difesa informatica.

Norme a supporto della conformità al CRA

Il CRA consente ai produttori di dimostrare il rispetto dei requisiti essenziali di cybersicurezza tramite norme europee armonizzate (articolo 27).

Finché non saranno pubblicate ufficialmente norme armonizzate specifiche per il CRA, standard internazionali consolidati possono fungere da quadri di riferimento, ad esempio:

• IEC 62443 (ciclo di vita dello sviluppo sicuro dei prodotti)
• ISO/IEC 27001 (sistemi di gestione della sicurezza delle informazioni)
• ISO 31000 (gestione del rischio)
• ISO/IEC 29147 e 30111 (divulgazione e gestione delle vulnerabilità)

Il rispetto delle norme armonizzate può far scattare una presunzione di conformità ai sensi del regolamento.

Una prospettiva svizzera

Pur essendo un regolamento UE, il CRA ha effetti diretti sui fornitori di software svizzeri.

Se un prodotto è offerto sul mercato dell’UE, il produttore deve soddisfare i requisiti del CRA.

Per le aziende svizzere ne deriva un’interessante combinazione di:

• quadro giuridico e di hosting svizzero
• conformità normativa UE

PassSecurium™ è gestito in un data center svizzero, il che offre i seguenti vantaggi:

• un quadro chiaro di competenza giuridica
• elevati standard di protezione dei dati
• indipendenza dalle infrastrutture public cloud degli hyperscaler

Al tempo stesso, la conformità al CRA garantisce la compatibilità con il contesto normativo dell’UE.

Ciò consente ai fornitori svizzeri di coniugare sovranità digitale e conformità alle normative europee.

La nostra roadmap di preparazione al CRA

La preparazione alla conformità al CRA è un processo pluriennale.

La nostra roadmap interna comprende diverse tappe fondamentali.

Fase 1 – Pianificazione della conformità

• nomina di un responsabile della conformità al CRA
• inventario di prodotti e componenti
• classificazione dei prodotti secondo le categorie del CRA
• gap analysis rispetto all’allegato I

Fase 2 – Infrastruttura di sicurezza

• implementazione della generazione delle SBOM
• definizione dei processi di tracciamento delle vulnerabilità
• sviluppo delle procedure di segnalazione degli incidenti
• preparazione della documentazione tecnica

Fase 3 – Segnalazione e test

• registrazione sulla piattaforma di segnalazione dell’ENISA
• implementazione della segnalazione delle vulnerabilità entro 24 ore
• test dei flussi di segnalazione
• istituzione di processi di divulgazione coordinata

Fase 4 – Valutazione della conformità

• scelta di organismi di valutazione della conformità adeguati
• completamento della documentazione tecnica
• esecuzione dei test di sicurezza finali
• preparazione della marcatura CE e della dichiarazione di conformità UE

Il termine ultimo per la conformità è l’11 dicembre 2027.

Conclusione

Il Cyber Resilience Act segna una svolta radicale nella regolamentazione della cybersicurezza in Europa.

Al posto di standard volontari, il CRA introduce requisiti di sicurezza vincolanti per i prodotti digitali.

Per i fornitori di soluzioni di cybersicurezza, questo regolamento ribadisce un principio che dovrebbe valere già oggi:

la sicurezza deve essere integrata nell’intero ciclo di vita del prodotto, dall’architettura e dallo sviluppo fino alla gestione delle vulnerabilità e alla trasparenza.

In ALPEIN Software prepariamo PassSecurium™ alla conformità al CRA con una strategia di implementazione strutturata, allineata agli standard di sicurezza internazionali.

Il nostro obiettivo non è solo la conformità normativa, ma anche un elevato livello di sicurezza, trasparenza e fiducia per i nostri clienti in Svizzera e in tutta Europa.

Fonti:

https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act