Prodotti con elementi digitali

Cyber Resilience Act: requisiti di cybersicurezza per i prodotti con elementi digitali

Requisiti essenziali, gestione delle vulnerabilità, segnalazioni dall'11 settembre 2026 e documentazione tecnica per la marcatura CE.

ParliamoneValutazione di partenza

Il Cyber Resilience Act stabilisce requisiti di cybersicurezza per i prodotti con elementi digitali immessi sul mercato dell'Unione, hardware e software. I fabbricanti devono progettarli in modo sicuro, gestirne le vulnerabilità per tutto il periodo di assistenza e segnalare vulnerabilità attivamente sfruttate e incidenti gravi.

A chi si applica

  • Fabbricanti di prodotti hardware e software con elementi digitali venduti nell'Unione.
  • Importatori e distributori di questi prodotti.
  • Regole specifiche per prodotti importanti e critici, e per il software open source in ambito commerciale.

Cosa chiede

  1. 01

    Requisiti essenziali

    Sicurezza fin dalla progettazione, configurazione sicura predefinita, protezione dei dati e riduzione della superficie di attacco.

  2. 02

    Gestione delle vulnerabilità

    Distinta base del software (SBOM), aggiornamenti di sicurezza e divulgazione coordinata delle vulnerabilità.

  3. 03

    Periodo di assistenza

    Supporto di sicurezza per la durata prevista di utilizzo del prodotto.

  4. 04

    Segnalazioni

    Notifica delle vulnerabilità attivamente sfruttate e degli incidenti gravi tramite la piattaforma unica di segnalazione.

  5. 05

    Valutazione della conformità

    Documentazione tecnica, dichiarazione UE di conformità e marcatura CE.

Calendario

  1. 10 dicembre 2024Entrata in vigore.
  2. 11 settembre 2026Obblighi di segnalazione di vulnerabilità sfruttate e incidenti gravi.
  3. 11 dicembre 2027Applicazione di tutti gli obblighi.

EVIDEVO

Come EVIDEVO gestisce controlli ed evidenze per Cyber Resilience Act

Requisiti per prodotto

Ogni prodotto ha i propri requisiti essenziali, responsabili e periodo di assistenza.

Vulnerabilità e segnalazioni

Scadenze di segnalazione e azioni correttive tracciate con data e autore.

Documentazione tecnica per versione

SBOM, valutazioni del rischio e aggiornamenti sono collegati alla versione del prodotto.

Collegato a NIS2 e ISO/IEC 27001

Le evidenze dei processi di sicurezza dell'organizzazione, come la gestione delle vulnerabilità, sono collegate anche ai requisiti dei prodotti.

Dati puramente a scopo illustrativo e non reali

Cosa si esporta

  • Documentazione tecnica per prodotto e versione
  • Registro delle vulnerabilità e delle segnalazioni
  • Evidenze dei requisiti essenziali

Le funzionalità per Cyber Resilience Act

Come si stabilisce se Cyber Resilience Act si applica

Settore, dimensione e servizi decidono il perimetro. La valutazione di partenza lo individua e indica le priorità.

Valutazione di partenza

Framework che condividono le evidenze

Sintesi a scopo informativo, aggiornata a ottobre 2026. Non costituisce consulenza legale: applicabilità e obblighi vanno verificati sul testo ufficiale e sul caso specifico.

Una presentazione di trenta minuti sul perimetro dell'organizzazione.

Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.

Parliamone