Il Cyber Resilience Act (CRA) è un Regolamento dell’Unione Europea che introduce per la prima volta requisiti obbligatori di cybersecurity per i prodotti con elementi digitali immessi sul mercato europeo.
L’obiettivo principale del CRA è rafforzare il livello di sicurezza informatica dei prodotti hardware e software, riducendo vulnerabilità strutturali, migliorando la gestione degli aggiornamenti e aumentando la trasparenza verso utenti e Autorità.
Il CRA si applica a tutti i prodotti (hardware e software) con elementi digitali ed esclude alcune categorie di prodotti che sono già regolamentate da normative settoriali specifiche (es. dispositivi medici, automotive,..).
La sua entrata in vigore introduce una nuova dimensione nella strategia europea di cybersecurity. In pratica la sicurezza non deve essere garantita soltanto attraverso i controlli implementati dalle organizzazioni che usano i prodotti, ma deve essere incorporata nei prodotti con elementi digitali dai loro produttori fin dalla loro progettazione e mantenuta durante il loro ciclo di vita.
Questa impostazione crea un’interessante opportunità per le organizzazioni soggette anche alla NIS2 o al DORA.
Indice degli argomenti
Il CRA tra NIS2 e DORA: un supporto alla conformità
Il CRA, infatti, non sostituisce gli obblighi previsti dalla NIS2 o dal DORA e non può essere considerato, da solo, una certificazione di compliance rispetto a tali normative. Tuttavia, le informazioni e le evidenze generate dal processo di conformità al CRA possono diventare un importante input per i processi di gestione del rischio, sicurezza della supply chain, vulnerability management, procurement e assurance richiesti da NIS2 e DORA.
In altre parole, il CRA può contribuire a spostare una parte della compliance da un approccio basato sulla verifica interna del fornitore a un modello nel quale la sicurezza del prodotto viene documentata già dal produttore.
Come il CRA interviene sui prodotti digitali
Uno degli elementi più innovativi del CRA è il fatto che intervenga sul prodotto prima che questo venga utilizzato all’interno dell’organizzazione.
Come detto prima, il Regolamento stabilisce requisiti essenziali di cybersecurity per la progettazione, lo sviluppo e la produzione dei prodotti con elementi digitali e introduce requisiti specifici per i processi di gestione delle vulnerabilità durante il periodo in cui il prodotto è previsto essere in uso.
Questo cambia significativamente la prospettiva tradizionale.
In un modello classico, l’organizzazione acquista un prodotto e deve successivamente implementare una serie di controlli per ridurne il rischio.
Con il CRA, invece, il produttore deve assumersi una parte significativa della responsabilità relativa alla sicurezza del prodotto.
Si crea di fatto una prima linea di difesa dove il produttore garantisce il prodotto è sicuro.
Questo è particolarmente importante perché molte compromissioni iniziali possono avvenire proprio attraverso vulnerabilità presenti in prodotti, software e componenti di terze parti.
Vediamo adesso più in dettaglio le diverse sinergie tra CRA e la NIS2 e DORA
CRA e NIS2: le sinergie per la sicurezza della supply chain
La NIS2, Direttiva (UE) 2022/2555, adotta una prospettiva prevalentemente organizzativa e settoriale. Si rivolge a soggetti operanti in settori considerati critici o importanti e richiede l’adozione di misure di gestione del rischio cyber, governance, gestione degli incidenti, continuità operativa, sicurezza della supply chain e formazione.
Nella tabella riportata qui di seguito, sono sintetizzati i principali ambiti di sinergia tra il CRA e la NIS 2 e i vantaggi che tale sinergia consente.
| Ambito di Sinergia | Ruolo del CRA(Il Produttore) | Ruolo della NIS2(L’Utilizzatore) | Risultato della Sinergia |
| Supply Chain(Catena di approvvigionamento) | Garantisce che i prodotti digitali abbiano requisiti minimi di sicurezza e il marchio CE. | Obbliga le aziende critiche a valutare la sicurezza dei propri fornitori e dei software acquistati. | Semplificazione degli Audit: L’azienda NIS2 può fidarsi del marchio CE del CRA |
| Gestione delle Vulnerabilità | Obbliga i produttori a correggere i bug e a fornire aggiornamenti di sicurezza (patch) per anni. | Obbliga le entità critiche ad applicare policy di aggiornamento rigorose e tempestive. | Resilienza Reattiva: Il produttore fornisce le patch in maniera tempestiva e l’azienda le installa |
| Trasparenza (SBOM) | Impone la creazione della Software Bill of Materials(l’elenco degli “ingredienti” del software). | Richiede di conoscere i componenti dei propri sistemi per gestire il rischio. | Analisi del Rischio Mirata: Se viene scoperta una falla in una libreria open-source, l’azienda NIS2 sa immediatamente quali prodotti in casa la contengono grazie alla SBOM del CRA. |
| Segnalazione Incidenti | Il produttore segnala all’ENISA e ai clienti vulnerabilità sfruttate attivamente dai cyber-criminali. | L’entità segnala al CSIRT nazionale gli incidenti che impattano sulla continuità del servizio. | Early Warning System: l’allerta partita dal produttore (CRA) permette alle autorità di avvisare preventivamente tutte le aziende NIS2 prima che vengano colpite. |
| Security by Design | Obbliga a usare configurazioni sicure per i prodotti | Richiede l’adozione di misure tecniche e organizzative per proteggere la rete. | Configurazione Sicura: l’azienda NIS2 riceve prodotti “già sicuri” di fabbrica, riducendo gli errori umani di configurazione iniziale. |
| Conformità Legale | Fornisce la documentazione tecnica che prova la sicurezza del prodotto. | Deve dimostrare alle autorità di aver scelto soluzioni tecnologicamente adeguate. | Protezione Giuridica: In caso di attacco, l’azienda NIS2 può dimostrare di aver agito con diligenza acquistando solo prodotti conformi al CRA. |
Analizzando in dettaglio gli ambiti di sinergia riportati in tabella, si possono evidenziare i seguenti aspetti salienti:
Supply chain, SBOM e gestione delle vulnerabilità
- Supply Chain: è probabilmente la sinergia più importante tra CRA e NIS2. La NIS2 considera esplicitamente la sicurezza della catena di approvvigionamento e richiede di tenere conto della qualità e della resilienza dei prodotti e servizi ICT, delle misure di gestione del rischio integrate nei prodotti e delle pratiche di cybersecurity dei fornitori. Inoltre, il regolamento di esecuzione NIS2 per i soggetti interessati dettaglia la necessità di una politica di sicurezza della supply chain e indica, tra i criteri di selezione dei fornitori, le loro pratiche di cybersecurity, le procedure di sviluppo sicuro e la qualità e resilienza dei prodotti e servizi ICT offerti.In tale ambito il CRA può diventare estremamente utile in quanto le informazioni che i produttori devono produrre possono alimentare direttamente il Third-Party Risk Management richiesto dalla NIS2.
- Software Bill of Materials (SBOM): il CRA prevede che i fabbricanti identifichino e documentino le vulnerabilità e i componenti contenuti nel prodotto con elementi digitali, predisponendo anche una distinta dei componenti software in un formato comunemente utilizzato e leggibile, almeno per le dipendenze di primo livello. Per un’organizzazione NIS2, una SBOM può diventare una componente importante di molti dei suoi processi critici (es. asset management, vulnerability management, incident management, software supply-chain security e così via) in quanto permette di utilizzare le informazioni che obbligatoriamente devono fornire i fornitori in ambito CRA, senza doverle ricostruire in maniera autonoma.
- Vulnerability Management: il CRA impone ai fabbricanti processi strutturati per identificare, documentare e correggere le vulnerabilità durante il periodo di supporto del prodotto. Sono inoltre previsti meccanismi per distribuire gli aggiornamenti di sicurezza e informazioni sulle vulnerabilità risolte. Questi meccanismi possono essere integrati nel processo operativo dell’organizzazione NIS2 migliorando significativamente la qualità delle informazioni utilizzate dal processo e quindi la sua efficienza.
CRA e DORA: la resilienza operativa nel settore finanziario
Il Digital Operational Resilience Act (DORA), Regolamento (UE) 2022/2554, concentra la propria attenzione sulla resilienza operativa digitale delle società che operano nel settore finanziario. Il regolamento disciplina, tra l’altro, la gestione del rischio ICT, la segnalazione degli incidenti, i test di resilienza digitale e il rischio derivante dai fornitori terzi di servizi ICT.
Nella tabella riportata qui di seguito, sono sintetizzati i principali ambiti di sinergia tra il CRA e la DORA e i vantaggi che tale sinergia consente.
| Ambito di Sinergia | Ruolo del CRA(Il Produttore) | Ruolo del DORA (L’Istituto Finanziario) | Risultato della Sinergia |
| Resilienza della Supply Chain | Obbliga i fornitori di software/hardware a consegnare prodotti senza vulnerabilità note. | Impone agli istituti finanziari di valutare i rischi derivanti dai fornitori terzi di servizi ICT. | Fiducia Integrata: l’istituto finanziario può usare la certificazione CRA del fornitore come prova di diligenza nella scelta dei sistemi. |
| Gestione delle Patch | Garantisce il rilascio di aggiornamenti di sicurezza gratuiti per l’intero ciclo di vita del prodotto. | Richiede che gli istituti finanziari abbiano policy rigorose per l’installazio-ne immediata delle patch. | Manutenzione Sincronizzata: Il CRA assicura che le patch siano disponibili mentre DORA obbliga l’istituto finanziario a installarla subito. |
| Test di Sicurezza | Impone test di vulnerabilità durante la fabbricazione del prodotto digitale. | Richiede test di resilienza operativa (come i test di penetrazione avanzati TLPT). | Difesa a più livelli: Il prodotto è testato dal produttore (CRA) e l’infrastruttura nel suo complesso è testata dall’istituto finanziario (DORA). |
| Trasparenza (SBOM) | Fornisce la “distinta base del software” (SBOM) per identificare ogni componente interno. | Richiede una visibilità totale sugli asset ICT per prevenire rischi di concentrazione o falle nascoste. | Identificazione Rapida: Se una libreria software è fallata, l’istituto finanziario sa istantaneamente se è presente nei suoi sistemi grazie alla SBOM. |
| Incident Reporting | Il produttore segnala vulnerabilità e incidenti all’ENISA, che allerta il mercato. | La banca segnala incidenti operativi gravi alle autorità di vigilanza (BCE, EBA). | Sistema di Allerta Precoce: L’allarme del produttore aiuta l’istituto finanziario a prevenire l’incidente prima che questo interrompa i servizi finanziari. |
Fornitori ICT e due diligence nel quadro DORA
Come si può notare, le sinergie con DORA sono simili a quelle che si hanno con la NIS2 e quindi valgono le stesse considerazioni.
Il DORA è un regolamento che ha come obiettivo l’aumento della resilienza nell’ambito finanziario e attribuisce grande importanza ai rapporti con i fornitori ICT.
Infatti, prima di stipulare determinati contratti, le entità finanziarie devono effettuare “due diligence” sul fornitore e valutare i rischi associati al rapporto contrattuale. DORA considera inoltre il rischio di concentrazione e la possibilità che un fornitore non sia facilmente sostituibile.
Il CRA può aggiungere una nuova dimensione al processo di due diligence. In pratica, alla valutazione del “rischio del fornitore”, fortemente voluta dal DORA, il CRA permette di associare il concetto del “rischio del prodotto” consentendo di effettuare una valutazione più completa e efficace dei “rischi delle terze parti” richiesto da DORA.
Conformità al CRA, NIS2 e DORA: prospettive e limiti
Il CRA è un regolamento trasversale molto importante e impattante in quanto si interseca con quasi tutte le normative che la Commissione Europea ha o sta emanando in ambito cybersecurity.
Non stupisce quindi che la Commissione Europea abbia intrapreso e stia intraprendendo iniziative in tale ambito per avere un approccio il più possibile integrato, coerente e completo.
Tra queste si evidenziano:
Le iniziative europee per un approccio integrato
- la creazione di requisiti tecnici comuni validi per tutte e tre le norme (NIS 2, DORA e CRA);
- l’introduzione del concetto di “Presunzione di Conformità”. Ad esempio, se un prodotto è certificato per il DORA, è automaticamente considerato sicuro anche per il CRA.
- Lo sviluppo di un portale unico (tramite l’ENISA) dove le segnalazioni di vulnerabilità, incidenti e attacchi circolano tra le Autorità senza obbligare le aziende a inviare lo stesso modulo a tre uffici diversi;
- atti di esecuzione per imporre l’uso di prodotti certificati CRA nei settori altamente critici, tra cui l’ambito finanziario.
Come detto prima, la certificazione di un prodotto ICT al CRA non garantisce automaticamente la conformità alla NIS2 e al DORA, ma le procedure e la documentazione prodotta dai fornitori per ottenere tale certificazione, oltre a poter essere utilizzate come “evidenza” nei processi di validazione della Supply Chain, garantisce o aiuta a garantire molti dei requisiti richiesti per le terze parti dalla NIS2 e dal DORA.
Il percorso è ancora lungo e non terminerà l’11 dicembre 2027 quando il CRA diventerà vincolante in quanto ad oggi molti sono i punti aperti che devono essere ancora gestiti (es. disponibilità delle Norme Armonizzate, CAB accreditati, la relazione con gli schemi di certificazione europei (es. il CSA2 in corso di approvazione) e gli schemi di certificazione nazionali esistenti,….).
Per tale ragione, sarà molto importante, per tutte le aziende impattate dalla NIS2 e dal DORA, effettuare un monitoraggio continuo di quando sarà prodotto nei prossimi mesi dalle Autorità Nazionali ed Europee e, soprattutto da ENISA che, tra i vari compiti assegnategli, ha anche quello di fornire indicazioni e linee guida su come interpretare e implementare la conformità alle varie norme europee.
Partecipa alla community