Servizi relativi alla legge sulla resilienza informatica

Il regolamento dell'UE che stabilisce i requisiti di sicurezza informatica per i prodotti dotati di componenti digitali venduti nell'Unione europea. Il regolamento copre l'intero ciclo di vita del prodotto, dalla progettazione e dallo sviluppo sicuri fino alla gestione delle vulnerabilità e all'assistenza post-commercializzazione.

I produttori di prodotti con componenti digitali immessi sul mercato dell’UE, nonché gli importatori e i distributori di tali prodotti. Non è necessario che le organizzazioni si definiscano «produttori» per rientrare nel campo di applicazione. Il regolamento tiene conto di ciò che viene immesso sul mercato e a nome o con il marchio di chi, il che può far rientrare nel campo di applicazione l’hardware a marchio proprio, il software integrato e in bundle, i prodotti rimarchiati e i dispositivi connessi venduti con il logo dell’azienda stessa.

In vigore dal 10 dicembre 2024. Gli obblighi di segnalazione di cui all’articolo 14 si applicano a partire dall’11 settembre 2026 e si estendono ai prodotti già presenti sul mercato. Gli altri obblighi si applicano a partire dall’11 dicembre 2027.

Un produttore che venga a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave che comprometta la sicurezza del proprio prodotto deve inviare un avviso preventivo entro 24 ore, una notifica più dettagliata entro 72 ore e, successivamente, una relazione finale. Le segnalazioni vengono inviate tramite la piattaforma unica di segnalazione gestita dall’ENISA, indirizzate al CSIRT designato come coordinatore per la sede principale del produttore. Nel caso di una vulnerabilità attivamente sfruttata, la relazione finale deve essere presentata entro e non oltre 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Nel caso di un incidente grave, deve essere presentata entro un mese dalla notifica entro 72 ore. Non si tratta di un obbligo di segnalazione per ogni vulnerabilità.

Dal punto di vista operativo, sì, sebbene tali organizzazioni non siano a loro volta regolamentate come produttori ai sensi del CRA. I produttori devono informare gli utenti interessati delle vulnerabilità attivamente sfruttate e degli incidenti gravi relativi ai propri prodotti, indicando anche le eventuali misure correttive disponibili. Qualora un produttore non lo faccia, il CSIRT nazionale di coordinamento può informare direttamente gli utenti. Le organizzazioni dovranno disporre di un destinatario designato per tali notifiche, di un percorso definito per la valutazione degli incidenti e di chiarezza sul fatto che una determinata notifica comporti o meno l’assolvimento dei propri obblighi ai sensi della NIS2 o del DORA.

Non automaticamente. Una segnalazione da parte di un produttore dà avvio a una valutazione piuttosto che a un obbligo di segnalazione. Il fatto che la questione diventi soggetta a segnalazione dipende dal fatto che i servizi dell’organizzazione stessa siano sostanzialmente interessati e dalle soglie stabilite da ciascun regime. Qualora tali soglie vengano raggiunte, l’organizzazione dovrà dimostrare quando ne è venuta a conoscenza.

In molti casi, sì. Il regolamento CRA si applica ai prodotti immessi sul mercato dell’UE, indipendentemente dal luogo in cui ha sede il fabbricante. Le organizzazioni del Regno Unito che vendono prodotti con elementi digitali nell’UE, o che forniscono componenti a fabbricanti che lo fanno, devono valutare i propri obblighi. Integrity360 supporta le organizzazioni del Regno Unito nella definizione dell’ambito di applicazione e nell’attuazione dei controlli necessari.

Supporto completo che copre la valutazione dell’applicabilità e dell’ambito di applicazione, la classificazione dei prodotti, la preparazione alla rendicontazione ai sensi dell’articolo 14, la divulgazione coordinata delle vulnerabilità, l’inoltro delle notifiche ai fornitori, i test di sicurezza dei prodotti, la preparazione della documentazione tecnica e della valutazione di conformità, nonché l’integrazione degli obblighi previsti dal CRA nei programmi NIS2 e DORA esistenti.

Accertare se il regolamento sia applicabile, a quali prodotti e in quale classe. Identificare il CSIRT nazionale designato come coordinatore per la propria sede principale. Definire per iscritto cosa si intenda per “sensibilizzazione” e chi sia autorizzato a segnalare i casi al livello superiore al di fuori dell’orario di lavoro. Le organizzazioni che non sono produttori devono indicare la persona incaricata di ricevere le notifiche di sicurezza da parte dei produttori e integrare tale canale nel processo di triage degli incidenti.

Due capacità definiscono il nostro approccio. Innanzitutto, lo stesso gruppo che fornisce consulenza sull’obbligo gestisce anche la capacità di rilevamento e risposta che lo alimenta, attraverso i nostri Centri operativi di sicurezza attivi 24 ore su 24, 7 giorni su 7, e i servizi di rilevamento e risposta gestiti. È la consapevolezza a far scattare i tempi di segnalazione iniziali, e il solo lavoro di consulenza non può influenzarla. In secondo luogo, tramite Holiseum valutiamo il prodotto stesso, compresi i sistemi integrati, IoT e OT, piuttosto che la documentazione che lo descrive. Le decisioni relative all’ambito di applicazione e alla classificazione vengono prese da ingegneri in grado di esaminare il dispositivo.