A chi si applica. Salvo le molte eccezioni da valutare caso per caso, il CRA riguarda in linea di principio qualsiasi prodotto — software o hardware — la cui destinazione d’uso (o il cui uso ragionevolmente prevedibile) preveda una connessione, diretta o indiretta, a un dispositivo o a una rete; comprese le soluzioni di elaborazione dati a distanza che ne fanno parte. In pratica: se ha del software dentro ed è progettato per connettersi a qualcosa, molto probabilmente rientra — dall’app mobile al frigorifero smart.
Tre livelli di rischio. I prodotti con elementi digitali sono classificati in base alla loro criticità:
- Default — la grande maggioranza (circa il 90% secondo la Commissione UE; es. un gestionale di fatturazione): è sufficiente l’autovalutazione (controllo interno).
- Prodotti importanti (Allegato III, Classe I e II) — funzione critica per la sicurezza, quindi procedure più stringenti (es. serratura intelligente, firewall).
- Prodotti critici (Allegato IV) — al vertice della piramide: la Commissione può imporre una certificazione europea obbligatoria (es. smart card).
Tre ruoli aziendali (come in altre norme UE):
- Fabbricante — sviluppa (o fa sviluppare) il prodotto e lo commercializza con il proprio nome o marchio, a titolo oneroso o gratuito.
- Importatore — soggetto stabilito nell’UE che immette sul mercato un prodotto recante il marchio di un’azienda extra-UE.
- Distributore — chi mette a disposizione il prodotto sul mercato UE senza modificarne le proprietà.
Gli obblighi principali si riassumono su due piani.
- A) Sicurezza fin dalla progettazione (by design e by default).Il prodotto deve essere immesso sul mercato senza vulnerabilità sfruttabili note e, in sostanza, deve: avere una configurazione sicura di default (ripristinabile); proteggere gli accessi con autenticazione; garantire riservatezza e integrità dei dati (di norma con cifratura); trattare solo i dati necessari (minimizzazione); restare disponibile anche sotto attacco; ridurre la superficie di attacco; consentire aggiornamenti di sicurezza, possibilmente automatici; registrare gli eventi di sicurezza. Nota:la sicurezza non si dichiara, si documenta. Serve una valutazione dei rischi scritta e aggiornata (fin dalla progettazione) e un fascicolo tecnico che dimostri le scelte fatte, requisito per requisito.
- B) Sicurezza dopo l’immissione sul mercato— la parte che più cambia la mentalità delle aziende, perché la sicurezza non è una fotografia al momento della vendita, ma un processo continuo. Il CRA chiede di:
- mantenere una SBOM (Software Bill of Materials, distinta base del software): sapere esattamente cosa contiene il prodotto, librerie di terze parti comprese;
- individuare e correggere le vulnerabilità senza ritardo, con aggiornamenti gratuiti per l’utente;
- eseguire test e riesami periodici della sicurezza;
- adottare una politica di divulgazione coordinata delle vulnerabilità, con un punto di contatto per le segnalazioni;
- distribuire informazioni e aggiornamenti in modo tempestivo e sicuro.
Se questi processi non sono ancora attivi in azienda, è qui che si concentrerà il lavoro maggiore.