Cosa dovrebbe fornire un servizio completo di conformità al CRA

La conformità al regolamento dell’UE sulla ciberresilienza (CRA) non consiste in un singolo test di penetrazione né nell’ottenimento isolato di un certificato. Per un fabbricante è un processo di produzione delle evidenze e decisione di immissione sul mercato che collega ambito del prodotto, valutazione dei rischi di cibersicurezza, controlli tecnici, gestione delle vulnerabilità, documentazione tecnica, percorso di valutazione della conformità applicabile, controlli per marcatura CE/dichiarazione UE di conformità e obblighi successivi all’immissione sul mercato.

Al 7 ottobre 2026 il CRA è in una fase transitoria: gli obblighi di segnalazione dei fabbricanti previsti dall’articolo 14 si applicano dall’11 settembre 2026, mentre il Regolamento si applica in via generale dall’11 dicembre 2027. Un progetto solido si articola quindi su due binari: un processo operativo di segnalazione già funzionante e un programma di preparazione al mercato che completi le evidenze di prodotto e di processo prima della data di applicazione del 2027.

Cosa dovrebbe fornire un servizio completo di conformità al CRA

Il servizio dovrebbe trasformare i requisiti giuridici in risultati di progetto controllati. Il principale risultato non è un parere generico, ma un fascicolo tracciabile che mostri quale prodotto e versione sono stati valutati, quali rischi e requisiti si applicano, come ogni requisito è stato attuato o giustificato, quali prove sostengono la conclusione, quale percorso di conformità è stato utilizzato e quali attività devono proseguire dopo l’immissione sul mercato.

Il fabbricante rimane responsabile del prodotto e della dichiarazione UE di conformità. Consulenti esterni, laboratori e organismi di valutazione della conformità possono fornire analisi o evidenze, ma responsabilità e punti decisionali devono essere assegnati all’interno del processo interno di approvazione del prodotto del fabbricante.

Controllo iniziale: fissare prodotto, operatore, ambito e percorso

Prima di commissionare prove, occorre fissare l’oggetto regolamentare. Vanno registrati il fabbricante, la famiglia di prodotti e le varianti esatte, le versioni di software e firmware, le dipendenze di trattamento remoto dei dati, la destinazione d’uso, l’uso ragionevolmente prevedibile, i mercati, il modello distributivo, i componenti di terzi e il soggetto che controlla aggiornamenti e gestione delle vulnerabilità.

Occorre poi stabilire se il prodotto rientra nell’ambito del CRA e se è un prodotto ordinario, importante di classe I, importante di classe II o potenzialmente critico. La classificazione incide sul percorso di valutazione della conformità consentito. Se ambito o classificazione sono incerti, devono restare una decisione aperta esplicitamente documentata, con evidenze e responsabile, invece di essere nascosti in un incarico di prova.

Flusso operativo dall’analisi iniziale alla preparazione per il mercato

Prove ed evidenze: dimostrare la valutazione dei rischi, non cercare un «test CRA» universale

Il CRA non riduce la conformità a un’unica serie universale di prove. Le prove dovrebbero derivare dalla valutazione dei rischi di cibersicurezza del prodotto e dai requisiti applicabili dell’allegato I. A seconda del prodotto, il piano delle evidenze può combinare revisione dell’architettura, revisione della configurazione sicura, prove su interfacce e autenticazione, scansione delle vulnerabilità, analisi di dipendenze/SBOM, test di penetrazione, prove del meccanismo di aggiornamento, casi di uso improprio o abuso e verifica dei processi di gestione delle vulnerabilità.

Per ogni prova vanno registrati versione, configurazione, ambiente, metodo, criterio di accettazione, risultato, correzione e stato della ripetizione. Se si utilizza un laboratorio esterno, occorre conservare l’ambito dell’incarico e quello della prova affinché il rapporto sia collegabile all’esatto candidato al rilascio. Un «superato» riferito a una versione non identificata o obsoleta è un’evidenza di conformità debole.

Documentazione tecnica e fascicolo di rilascio

Il fascicolo tecnico dovrebbe essere costruito mentre vengono prodotte le evidenze ingegneristiche, non ricostruito alla fine. Un fascicolo pratico di rilascio comprende normalmente:

• identificazione del prodotto, architettura e configurazione/versione di riferimento;
• valutazione dei rischi di cibersicurezza, compresi uso previsto e uso ragionevolmente prevedibile;
• mappatura dei requisiti applicabili dell’allegato I sui controlli implementati e sulle evidenze;
• informazioni di progettazione e sviluppo ed evidenze pertinenti su componenti/dipendenze;
• rapporti di prova, correzioni e registri delle ripetizioni;
• processi di gestione delle vulnerabilità e divulgazione coordinata, meccanismo di aggiornamento e modalità di assistenza in materia di sicurezza;
• motivazione del periodo di assistenza e informazioni/istruzioni richieste all’utente;
• registri di conformità specifici del percorso, dichiarazione UE di conformità ed evidenze per il rilascio con marcatura CE ove applicabile.

Ai sensi del CRA, la documentazione tecnica deve essere predisposta prima dell’immissione sul mercato e aggiornata, ove opportuno, durante il periodo di assistenza. I fabbricanti devono tenere a disposizione la documentazione tecnica e la dichiarazione UE di conformità per almeno dieci anni dall’immissione sul mercato o per la durata del periodo di assistenza, se superiore.

Percorso di valutazione della conformità e passaggi a soggetti terzi

Il coordinamento con i fornitori dovrebbe essere gestito come un passaggio controllato. Prima di inviare un fascicolo a un organismo notificato o ad altro soggetto di valutazione, verificare che sia autorizzato per l’ambito richiesto, concordare lingua e pacchetto di presentazione, congelare la versione valutata e creare un registro dei quesiti. Nel 2026 l’infrastruttura di valutazione della conformità e le norme CRA sono ancora in fase di sviluppo, quindi lo stato del fornitore e le norme applicabili dovrebbero essere verificati al momento e non presunti sulla base di materiale commerciale precedente.

Controllo del rilascio, segnalazioni e gestione delle modifiche

La preparazione per il mercato è una decisione di rilascio, non soltanto il completamento delle prove. Il controllo dovrebbe confermare che il prodotto approvato per l’immissione sul mercato corrisponda alla configurazione valutata, che la documentazione di conformità richiesta sia approvata, che le informazioni per l’utente e sull’assistenza in materia di sicurezza siano pronte, che il periodo di assistenza sia stato determinato e che i responsabili post-commercializzazione abbiano accesso ai sistemi di ricezione delle segnalazioni di vulnerabilità, aggiornamento e segnalazione.

Dall’11 settembre 2026 i fabbricanti devono già segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto tramite la Piattaforma unica di segnalazione (SRP) del CRA. La Commissione indica un preallarme entro 24 ore e una notifica completa entro 72 ore; la relazione finale applicabile segue le tempistiche CRA previste per il tipo di evento. Il flusso di segnalazione dovrebbe essere testato prima di un incidente, stabilendo chi può inviare, chi approva i fatti e come vengono conservate le evidenze tecniche.

Dopo l’immissione sul mercato, le modifiche a codice, hardware, dipendenze, crittografia, interfacce, elaborazione remota, destinazione d’uso, modalità di assistenza o processi di gestione delle vulnerabilità dovrebbero essere sottoposte a una revisione d’impatto documentata. La domanda non è solo se una funzionalità sia cambiata, ma se debbano essere aggiornate la valutazione dei rischi, le evidenze, le informazioni per l’utente o la conclusione di conformità.

Colli di bottiglia frequenti che ritardano la preparazione al CRA

• la classificazione resta irrisolta quando iniziano le prove, con conseguente preventivazione del percorso di valutazione errato;
• le varianti di prodotto e le dipendenze cloud o di elaborazione remota non sono sottoposte a controllo di configurazione;
• valutazione dei rischi, inventario SBOM/dipendenze e ambito delle prove descrivono versioni diverse;
• mancano evidenze del fornitore per componenti critici per la sicurezza o dipendenze di aggiornamento;
• i rilievi vengono corretti nel codice, ma non viene conservata l’evidenza della correzione e della ripetizione delle prove;
• periodo di assistenza, ricezione delle segnalazioni di vulnerabilità e responsabilità di segnalazione vengono decisi solo al lancio;
• si prenota una valutazione di terzi prima che il fascicolo tecnico sia internamente coerente.

Cosa non sostituisce questa pagina

Se la questione principale è come scegliere un consulente, strutturare la governance o ottenere un’analisi strategica delle lacune, consultare la pagina sulla consulenza CRA. Se la questione principale riguarda il budget e i fattori di costo, consultare la pagina sui costi del CRA. Per i meccanismi di rilascio con marcatura CE in più regimi oltre il CRA, consultare i servizi di marcatura CE. Questa pagina tratta la catena di esecuzione e i passaggi necessari per trasformare i requisiti CRA in un fascicolo di evidenze pronto al rilascio.