Il CRA rappresenta un passo significativo verso una maggiore sicurezza e resilienza nel panorama digitale dell’Unione Europea.

A cura di Paolo Pizi

[Head of Digital Solutions – Area Ingegneria del Software]

Il Parlamento Europeo ha proposto ufficialmente il Cyber Resilience Act, CRA, il 15 settembre 2022. Questo atto è parte degli sforzi dell’Unione Europea per rafforzare la sicurezza dei prodotti digitali e aumentare la resilienza contro gli attacchi informatici, imponendo requisiti di sicurezza per tutti i prodotti con componenti digitali venduti nell’UE. Il CRA rappresenta, di fatto, un nuovo regolamento concepito per garantire la sicurezza informatica dei prodotti digitali commercializzati nell’Unione Europea e mira a stabilire standard rigorosi di cybersicurezza per prodotti sia software che hardware.

Con l’aumento della digitalizzazione in vari settori e la crescente dipendenza da dispositivi e servizi online, la necessità di normative specifiche per garantire sia la sicurezza di prodotti/servizi digitali sia la privacy dei dati, è diventata sempre più evidente.

Il CRA rappresenta un passo significativo verso una maggiore sicurezza e resilienza nel panorama digitale dell’Unione Europea. La sua adozione riflette l’impegno delle istituzioni nel proteggere i consumatori e le imprese dall’evoluzione delle minacce informatiche, promuovendo allo stesso tempo un ambiente digitale sicuro e affidabile per tutti gli attori coinvolti.

LE IMPLICAZIONI DEL CRA.

Le principali implicazioni che il CRA introduce e che impattano le nostre attività sono:

• Valutazione e gestione dei rischi di cybersecurity: sarà necessario integrare processi di valutazione dei rischi più complessi e dettagliati nelle fasi iniziali di progettazione dei prodotti digitali. Questo implica un maggiore focus sul levamento precoce delle vulnerabilità e la loro mitigazione sistematica durante tutto il ciclo di vita del prodotto.
• Aggiornamenti di Sicurezza e Conformità: Il CRA richiede che tutte le soluzioni digitali siano mantenute aggiornate con patch di sicurezza regolari e documentate. Questo impone di stabilire procedure operative standard per la gestione rapida ed efficace degli aggiornamenti di sicurezza, assicurando che ogni prodotto rispetti continuamente i requisiti normativi vigenti.
• Documentazione e Trasparenza: Un aspetto fondamentale introdotto dal CRA è la necessità di una documentazione dettagliata e continuamente aggiornata delle misure di sicurezza e delle vulnerabilità note. Le aziende dovranno sviluppare e mantenere documentazioni che non solo supportino la conformità normativa, ma che siano anche accessibili agli enti regolatori e ai clienti per garantire trasparenza totale.
• Formazione e Risorse: Per conformarsi efficacemente ai requisiti del CRA, le Aziende dovranno rafforzare le loro risorse interne, formando il personale sulle nuove normative e sulle migliori pratiche di sicurezza. Ciò include l’aggiornamento delle competenze tecniche e la comprensione approfondita delle implicazioni legali e tecniche del CRA.
• Supporto ai Clienti: Oltre a garantire la sicurezza dei propri prodotti, le Aziende dovranno ora essere in grado di comprendere e implementare i requisiti del CRA, per questo saranno sempre più necessarie consulenze proattive per supportare e guidare il raggiungimento di questo obiettivo. Questo può includere la fornitura di strumenti di valutazione della conformità, supporto per l’implementazione di misure di sicurezza e formazione su come gestire e mitigare i rischi di cybersecurity.

La sicurezza informatica diventa così un elemento cruciale per qualsiasi azienda che opera nel panorama digitale o che utilizza prodotti e servizi digitali. Infatti, il Cyber Resilience Act rappresenta un cambiamento significativo nel panorama della cybersecurity europea, spostando l’enfasi dalla reattività (rincorrere in emergenza la soluzione di un problema di sicurezza: solitamente se si è in questa fase è già troppo tardi) alla proattività (prevenzione) nella protezione dei dati e dei sistemi.

L’APPROCCIO DI NIER.

Per NIER ciò significa adottare un approccio olistico alla sicurezza, che non solo risponde alle minacce attuali ma anticipa anche le sfide future. Conformarsi al CRA non è solo una necessità legale, ma un’opportunità per rafforzare la fiducia dei clienti e migliorare la resilienza complessiva nell’era digitale.

NIER non ha la presunzione ma l’ambizione di porsi come un partner fidato per i nostri clienti che cercano di conformarsi ai requisiti di sicurezza informatica, offrendo il supporto e le risorse necessarie per affrontare con successo le sfide che la cybersecurity ormai impone: il mercato chiama e noi, come NIER, vogliamo essere la giusta risposta.