AFDirector of Product Marketing
A partire dall’11 settembre 2026 il Cyber Resilience Act dell’UE non è più un “problema futuro”. I produttori di prodotti con elementi digitali devono ora segnalare alle autorità competenti le vulnerabilità attivamente sfruttate e gli incidenti gravi, con tempistiche misurate in ore anziché in settimane. Gli obblighi rimanenti, inclusi la marcatura CE e la documentazione di conformità, si applicano dall’11 dicembre 2027. Anche importatori, distributori e rivenditori hanno obblighi di “due diligence” ai sensi del regolamento.
Per un regolamento entrato in vigore a dicembre 2024, il CRA ha attirato sorprendentemente poca attenzione al di fuori dei team di conformità. Questo sta iniziando a cambiare, e non sempre in modo confortevole.
Se vendi hardware o software con elementi digitali sul mercato UE, che si tratti di uno smartwatch consumer o di un’appliance B2B Backup, il CRA si applica a te (e anche a noi!). E se acquisti invece di vendere, il CRA lavora a tuo favore: la tua resilienza dipende dai tuoi fornitori, e ora hai uno standard comune a cui vincolarli.
Che cosa è cambiato davvero a settembre
L’obbligo di segnalazione è la parte che richiede attenzione immediata. Un produttore che venga a conoscenza di una vulnerabilità attivamente sfruttata nel proprio prodotto ora deve notificare il Computer Sicurezza Incident Response Team (CSIRT) nazionale competente ed ENISA, l’agenzia dell’UE per la cybersicurezza. È un processo in tre fasi: un avviso preliminare, poi una valutazione più completa e infine un rapporto finale. Lo stesso vale per gli incidenti gravi che interessano il Sicurezza del prodotto.
Non è un esercizio di documentazione che puoi completare la settimana prima di un audit. Richiede un processo perché le persone ti segnalino i problemi, qualcuno che li valuti, responsabili nominati e una regola concordata per decidere che cosa deve essere segnalato: il tutto deve funzionare prima che si verifichi l’evento che lo attiva.
Se rivendi o distribuisci nell’UE, ci si aspetta già che tu verifichi che questo processo esista, indipendentemente dal fatto che il produttore abbia o meno un’entità legale nell’UE.
Perché potresti essere colto di sorpresa
Principalmente tre cose. La prima è l’ambito. Il CRA copre i prodotti con “elementi digitali”, una definizione molto più ampia di quanto molti fornitori avessero presunto quando l’hanno considerato per la prima volta. Rientrano hardware connesso, software standalone e componenti venduti per essere integrati in altri prodotti.
La seconda è su chi ricade l’obbligo: anche importatori, distributori e rivenditori hanno obblighi, incluso verificare che il produttore abbia fatto ciò che doveva fare.
La terza è la tempistica. Dicembre 2027 nel 2024 sembrava comodamente lontano, quindi è probabile che molte roadmap organizzative abbiano rimandato il lavoro a favore di attività più urgenti, per esempio i regolamenti NIS2 o DORA. Ma la prima scadenza del CRA, la data di segnalazione di settembre 2026, è sempre stata più vicina ed è ora arrivata, con obblighi immediati.
La conformità è il punto di partenza, non l’obiettivo
Sotto le scadenze c’è una domanda più interessante. Il CRA è progettato per innalzare la baseline di Sicurezza dei prodotti venduti in Europa, e vale la pena farlo. Ma quasi ogni requisito al suo interno riguarda la riduzione della probabilità di compromissione: sviluppo Sicuro, gestione delle vulnerabilità, aggiornamenti tempestivi, nessuna password predefinita fornita nella confezione.
Nulla di tutto ciò dice a un’organizzazione che cosa succede il giorno in cui la prevenzione fallisce, nonostante queste precauzioni. Anche programmi Sicurezza maturi, ben finanziati e con personale adeguato verranno inevitabilmente violati.
Il CRA aiuta a prevenire gli attacchi. Backup Storage con Immutabilità Assoluta aiuta le organizzazioni a riprendersi da essi.
Applaudiamo qualsiasi sforzo per alzare l’asticella del Sicurezza in tutto il settore, e il CRA lo fa. Ma in Object First lo consideriamo una tappa intermedia, non il traguardo. Rispettarlo è necessario, e lo stiamo rispettando; tuttavia il risultato a cui i clienti tengono davvero è se riescono a recuperare i propri dati quando un attaccante supera le loro difese.
La posizione di Object First
In qualità di produttore, i nostri processi di segnalazione di incidenti e vulnerabilità sono in essere da quando l’obbligo di settembre è entrato in vigore, allineati ai requisiti di segnalazione ENISA, e stiamo lavorando ai futuri requisiti CRA applicabili in anticipo rispetto a dicembre 2027, inclusi la marcatura CE e la documentazione di conformità.
Due impegni contano oltre la burocrazia.
Il primo è che il Sicurezza è progettato nei nostri prodotti fin dall’inizio, invece di essere aggiunto in un secondo momento, ed è per questo che abbiamo firmato il CISA Secure by Design Pledge prima che qualsiasi regolamento ce lo imponesse.
Il secondo è che non ci aspettiamo che qualcuno accetti sulla fiducia le nostre affermazioni di Sicurezza. Il CRA consente l’autovalutazione per prodotti come le appliance Backup; noi riteniamo che clienti e partner meritino più di questo, quindi la nostra architettura è stata testata in modo indipendente da NCC Group, con Absolute Immutability, autenticazione a più fattori e controlli di accesso basati sui ruoli messi davanti a persone che cercavano attivamente di violarli.
Le evidenze a supporto di tutto questo ora si trovano nel nostro Trust Center, che è il percorso più rapido verso la documentazione che il tuo team di conformità chiederà.
Che cosa chiedere ai tuoi fornitori
Se sei un importatore, distributore, rivenditore o acquirente piuttosto che un produttore, il CRA ti ha di fatto consegnato una checklist di due diligence. Tre domande ti portano per gran parte della strada:
- Hai oggi un processo di segnalazione delle vulnerabilità in essere, e puoi mostrarmelo?
- La tua architettura Sicurezza è stata testata da qualcuno diverso da te, e posso leggere il report completo?
- Quando la prevenzione fallisce nel mio ambiente e gli attaccanti entrano, il tuo prodotto farà comunque ciò che deve fare?
Un fornitore che risponde alle prime due e non sa rispondere alla terza ha costruito per la conformità, non per la resilienza. Scopri come i test Sicurezza indipendenti di NCC convalidano Secure by Design Storage di Object First.