L'Unione europea ha adottato nuove norme che mirano ad aumentare il livello di sicurezza per tutti i dispositivi connessi, con implicazioni per produttori, importatori e distributori.
Comprendere il Cyber Resilience Act
Il Cyber Resilience Act (CRA) è un nuovo regolamento dell'Unione europea incentrato sul miglioramento della sicurezza informatica di tutti i prodotti con elementi di rete digitale venduti nell'UE.
Tale regolamento stabilisce i primi requisiti in assoluto a livello dell'Unione europea in materia di sicurezza informatica per i dispositivi connessi e il software. Armonizza le normative esistenti, integrandone altre come la NIS2, pensata per rafforzare la sicurezza informatica nei settori critici dell'UE.
L'obiettivo principale è proteggere i consumatori e le aziende da prodotti con un livello di sicurezza informatica inadeguato. Quando acquistano dispositivi connessi, hanno una maggiore certezza che rispettino uno standard che contribuirà a proteggerli dalle minacce.
Quali sono i principali obiettivi del Cyber Resilience Act?
L'obiettivo principale, ma non l'unico, del CRA è far sì che qualsiasi prodotto con elementi digitali rispetti i principi del "Secure by Design".
Ciò avviene fin dall'inizio della fase di progettazione e continua per l'intero ciclo di vita. Le autorità di regolamentazione dell'UE intendono tutelare i consumatori garantendo che nessun dispositivo connesso venduto li esponga a maggiori rischi per la sicurezza informatica.
Un obiettivo secondario è migliorare la trasparenza in materia di sicurezza e dispositivi connessi. I produttori devono fornire informazioni specifiche quali:
- Per quanto tempo forniranno aggiornamenti di sicurezza aggiornati
- Come eseguire l'impostazione e la manutenzione del prodotto in modo sicuro e
- Come identificano, gestiscono e segnalano le vulnerabilità di sicurezza, sia agli utenti che alle autorità competenti.
A chi e a cosa si applica il Cyber Resilience Act?
Il Cyber Resilience Act ha un ampio campo di applicazione. Sebbene chiunque produca o venda un dispositivo connesso rientri ovviamente nell'ambito di applicazione, vi sono molti altri segmenti della catena di approvvigionamento che devono essere tenuti in considerazione.
Definizione di "prodotti con elementi digitali"
Il Cyber Resilience Act definisce un prodotto con elementi digitali come un "prodotto software o hardware e le sue soluzioni di elaborazione dati a distanza, compresi i componenti software o hardware immessi sul mercato separatamente".
Anche l'elaborazione dati a distanza ha una propria definizione, che include "l'assenza della quale impedirebbe al prodotto con elementi digitali di svolgere una delle sue funzioni".
Ad esempio, una telecamera di rete rientra nell'ambito di applicazione del Cyber Resilience Act. Tutti i componenti hardware e/o software finali devono soddisfare tali standard. E lo stesso vale per qualsiasi sistema operativo, libreria di terze parti e qualsiasi altro elemento fornito che contribuisca alla composizione del dispositivo e al suo utilizzo.
I ruoli di produttori, importatori e distributori
L'ampio campo di applicazione del Cyber Resilience Act implica una grande responsabilità condivisa. I produttori devono garantire che ogni componente rilevante del proprio prodotto sia conforme agli standard di sicurezza informatica, proprio come farebbero per qualsiasi altra normativa.
A loro volta, gli importatori e i distributori devono pretendere lo stesso dai produttori. L'ecosistema dipende dal coordinamento e dalla cooperazione lungo tutta la catena di approvvigionamento per soddisfare i requisiti del CRA.
Principali esenzioni dal Cyber Resilience Act
Esistono alcune eccezioni al Cyber Resilience Act, in particolare per quanto riguarda il software open source non commerciale e i dispositivi medici, tra gli altri. Tuttavia, in questo ambito si applicano altre normative in materia di sicurezza informatica. I produttori sono tenuti a esercitare la dovuta diligenza qualora integrino nei propri prodotti software open source gratuito.
Quali sono i requisiti fondamentali per il settore della sorveglianza digitale?
Il settore della sorveglianza digitale ha l'obbligo di fornire prodotti che soddisfino gli standard di sicurezza informatica. Non solo fornisce dispositivi collegati che potrebbero rappresentare un rischio se non adeguatamente protetti, ma registra anche dati che devono essere custoditi in modo sicuro.
Effettuare una valutazione dei rischi legati alla sicurezza informatica
Per ogni prodotto è obbligatoria una valutazione dei rischi legati alla sicurezza informatica. Il risultato di tale valutazione viene quindi preso in considerazione durante l'intero ciclo di vita del prodotto, dalla pianificazione e progettazione fino alla manutenzione.
La valutazione del rischio deve essere documentata e aggiornata e deve fare riferimento ai requisiti del Cyber Resilience Act laddove applicabili. I produttori sono tenuti a documentare tutti gli aspetti rilevanti per la sicurezza informatica dei loro prodotti e a registrare le vulnerabilità eventualmente individuate o di cui siano a conoscenza.
Garantire una progettazione e uno sviluppo sicuri dei prodotti
I dispositivi connessi devono essere progettati e sviluppati integrando la sicurezza informatica fin dall'inizio. Ciò garantisce la sicurezza fin dalla progettazione e per impostazione predefinita. L'UE vuole che i prodotti venduti sui suoi mercati siano sicuri fin dal momento dell'acquisto, anziché richiedere una configurazione e un'impostazione complesse. Esige inoltre che tali prodotti rimangano sicuri se utilizzati secondo le modalità previste.
Il vero "Secure by Design" si basa fondamentalmente su una radice di fiducia hardware (HRoT) e sul sistema operativo sottostante. Tale sistema operativo è il software in esecuzione nel dispositivo.
La sicurezza basata su hardware, come l'avvio sicuro (secure boot) sul sistema su chip (SoC) e l'utilizzo di un elemento di sicurezza per l'archiviazione sicura delle chiavi, garantisce la protezione di base. Il sistema operativo si basa su queste fondamenta per fornire al cliente funzionalità di sicurezza.
Queste protezioni hardware di base sono in genere fornite da un ecosistema affidabile di fornitori di componenti e partner per i semiconduttori.
Segnalare le vulnerabilità e gli incidenti sfruttati attivamente
Esistono scadenze rigorose per la segnalazione di vulnerabilità e incidenti di sicurezza. È necessario inviare una segnalazione preliminare entro 24 ore dal momento in cui se ne viene a conoscenza, seguita da una notifica completa entro 72 ore.
È necessario presentare una relazione finale entro 14 giorni dall'adozione di una misura correttiva per le vulnerabilità sfruttate ed entro un mese in caso di incidenti gravi. La piattaforma di segnalazione sarà disponibile entro l'11 settembre 2026, quando entreranno in vigore gli obblighi di segnalazione.
Fornire aggiornamenti di sicurezza per l'intero ciclo di vita del prodotto
Gli aggiornamenti di sicurezza devono essere disponibili per tutta la durata di vita del prodotto ed essere integrati come impostazione predefinita. Proprio come il sistema operativo di un laptop o di uno smartphone si aggiorna con relativa facilità, lo stesso deve valere per i componenti digitali di qualsiasi dispositivo connesso.
Il regolamento impone un periodo di supporto minimo di cinque anni per gli aggiornamenti di sicurezza (con alcune eccezioni).
Creare documentazione tecnica e istruzioni per l'uso chiare
La maggior parte dei produttori fornisce una qualche forma di documentazione tecnica. Ma ora ciò è obbligatorio per legge e costituisce parte della prova del rispetto delle norme. La documentazione tecnica deve contenere i dettagli della valutazione dei rischi per la sicurezza informatica e altro ancora.
I requisiti delle istruzioni per l'utente includono i dati di contatto del produttore, i dettagli del supporto alla sicurezza informatica fornito e le modalità di installazione degli aggiornamenti di sicurezza. Questi devono essere "documenti vivi", aggiornati di volta in volta quando necessario.
Come Axis soddisfa i requisiti del Cyber Resilience Act
Axis è ben preparata a soddisfare i requisiti essenziali del CRA e punta ad andare oltre. È importante lavorare fianco a fianco con partner come NXP Semiconductors, che forniscono elementi di sicurezza EdgeLock® certificati FIPS e Common Criteria per garantire che distributori e clienti finali sappiano che i prodotti sono conformi:
- L'Axis Security Development Model (SDM) integra la sicurezza durante l'intero ciclo di vita del software, dalla modellazione iniziale delle minacce e dai test di penetrazione pre-release alla gestione continua delle vulnerabilità e a un programma bug bounty dopo il rilascio. Ciò consente un approccio proattivo e continuo alla sicurezza del software.
- La collaborazione con NXP supporta l'integrazione di funzionalità di sicurezza basate su hardware. Ciò include l'uso di elementi di sicurezza EdgeLock affidabili e certificati. Contribuisce a stabilire una radice di fiducia a livello hardware all'interno dei dispositivi Axis e consente di affrontare le questioni relative alla sicurezza fin dalle prime fasi di progettazione.
- Axis è una CNA, ossia una CVE Numbering Authority, con la capacità di emettere ID CVE per le vulnerabilità. Lo fa tramite il sito web CVE, il proprio sito web e le e-mail inviate agli abbonati, assicurandosi che tutti gli utenti vengano avvisati dei rischi il prima possibile.
- Il software di gestione dei dispositivi Axis fornisce notifiche di aggiornamento della sicurezza e la possibilità di consentire aggiornamenti automatici o manuali di AXIS OS su centinaia di dispositivi, se necessario. Le date di fine del supporto software sono facilmente reperibili.
- Le distinte base del software (SBOM) sono disponibili per la maggior parte dei prodotti basati su AXIS OS, i registratori video di rete, nonché per la maggior parte dei software di gestione video e dei dispositivi Axis.
- Per maggiori dettagli, vedere la dichiarazione di Axis Communications in merito al Cyber Resilience Act dell'Unione europea.
Qual è il calendario previsto per il Cyber Resilience Act?
L'applicazione a tutti gli effetti del Cyber Resilience Act avrà inizio l'11 dicembre 2027. Da quel momento in poi, tutti i prodotti hardware e software presenti sul mercato dell'UE dovranno essere pienamente conformi e recare il marchio CE. Una preparazione tempestiva è fondamentale per i prodotti già in fase di sviluppo.
Tuttavia, vi sono alcune date importanti da tenere presenti. A partire dall'11 giugno 2026 entrerà in vigore il quadro normativo relativo alla notifica degli organismi di valutazione della conformità. Questo è importante per i prodotti classificati come "importanti" o "critici" e che richiedono una valutazione da parte di terzi.
Una data di applicazione più ampia è l'11 settembre 2026, data a partire dalla quale entrano in vigore gli obblighi di rendicontazione. A partire da tale momento, i produttori devono iniziare a segnalare le vulnerabilità oggetto di attacchi attivi.
Il CRA si applicherà a tutti i prodotti immessi sul mercato dopo l'entrata in vigore del regolamento, anche se progettati e sviluppati prima che fosse stato promulgato.
Quali sono le sanzioni previste in caso di inadempienza?
Le sanzioni per inadempienza sono severe e intendono favorire l'ottemperanza da parte delle imprese di ogni dimensione. Le sanzioni possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato annuo globale dell'esercizio finanziario precedente, a seconda di quale dei due importi sia maggiore: questa è la sanzione massima prevista.
Tale sanzione è prevista esclusivamente in caso di inosservanza dei requisiti essenziali in materia di sicurezza informatica. Sanzioni di entità inferiore, ma comunque significative, saranno applicate per violazioni quali carenze nella gestione delle vulnerabilità o la comunicazione di informazioni incomplete o errate in risposta a una richiesta.
La conformità al Cyber Resilience Act non è facoltativa
Anche per i produttori che si impegnano a fondo per garantire che i loro prodotti siano e rimangano sicuri, il CRA introduce norme rigorose sulle modalità con cui devono documentare e dimostrare tale sicurezza ad autorità di regolamentazione, clienti e distributori.
Le nuove norme sottolineano l'importanza della sicurezza fin dalla progettazione, che deve essere integrata in ogni scelta effettuata durante la realizzazione di un prodotto. Ciò significa che la preparazione alla sicurezza a lungo termine dipende dalle scelte progettuali effettuate anni prima della messa in servizio: non può essere un elemento aggiuntivo né essere integrata con una patch.
C'è anche il problema dell'accesso e della fiducia. Poiché il rispetto delle normative dipende da diversi anelli della catena di approvvigionamento, è evidente la necessità che le imprese si attengano alle norme per proteggersi a vicenda. Inoltre, i clienti saranno più propensi a fidarsi di fornitori e produttori con una reputazione ineccepibile.
Ciò sottolinea l'importanza di una stretta collaborazione lungo tutta la catena del valore, dai fornitori di componenti ai produttori di dispositivi, al fine di garantire la sicurezza informatica a lungo termine.
Per quanto riguarda la stretta collaborazione tra NXP Semiconductors e Axis Communications, ascolta il podcast appena pubblicato per un approfondimento di natura tecnica sul CRA.
