Che cosa fa scattare una notifica
L'articolo 14 del Regolamento (UE) 2024/2847 (Cyber Resilience Act, regolamento sulla ciberresilienza) prevede due casi:
- Una vulnerabilità attivamente sfruttata nel prodotto: esistono prove affidabili che qualcuno l'ha sfruttata.
- Un incidente grave che incide sulla sicurezza del prodotto, ad esempio uno che compromette l'integrità del meccanismo di aggiornamento o dei dati trattati dal prodotto.
L'obbligo vale anche per i prodotti già presenti sul mercato, non solo per quelli nuovi, e non dipende dalle dimensioni dell'impresa.
I termini
| Vulnerabilità attivamente sfruttata | Incidente grave | |
|---|---|---|
| Preallarme | entro 24 ore da quando se ne è venuti a conoscenza | entro 24 ore da quando se ne è venuti a conoscenza |
| Notifica | entro 72 ore da quando se ne è venuti a conoscenza | entro 72 ore da quando se ne è venuti a conoscenza |
| Relazione finale | al più tardi 14 giorni dopo che è disponibile una misura correttiva o di attenuazione | entro un mese dalla notifica |
I termini decorrono da quando se ne viene a conoscenza: per questo è fondamentale sapere che cosa contiene ogni release distribuita.
Chi riceve le notifiche
Le notifiche si trasmettono tramite la piattaforma unica di segnalazione gestita dall'ENISA, l'agenzia dell'UE per la cibersicurezza. Giungono al CSIRT designato come coordinatore nello Stato membro dello stabilimento principale e all'ENISA. Occorre inoltre informare gli utilizzatori interessati della vulnerabilità o dell'incidente e delle misure che possono adottare.
Che cos'altro richiede il CRA
- Aggiornamenti di sicurezza per la durata di vita prevista del prodotto: nella maggior parte dei casi almeno cinque anni.
- Una politica e un punto di contatto per la divulgazione coordinata delle vulnerabilità.
- Una distinta base del software (SBOM) e una gestione documentata di ogni vulnerabilità.
- Documentazione tecnica e dichiarazione di conformità UE, conservate per dieci anni.
Dall'11 dicembre 2027 si applicano tutti i requisiti e i prodotti non conformi al CRA non potranno più essere immessi sul mercato dell'UE.
Come aiuta Kernwatch
- Segnala i componenti con vulnerabilità note sfruttate nelle release che supporta e aggiunge alla sua inbox un'attività per aprire un caso di notifica.
- Apre il caso con le scadenze di 24 ore, 72 ore e della relazione finale e avvisa in tempo le persone giuste.
- Redige il preallarme, la notifica e la relazione finale dai dati di prodotto, release e valutazione, da verificare e approvare.
- La aiuta nell'invio: copi il testo approvato, apra la piattaforma di ENISA, invii lì la notifica e registri in Kernwatch il riferimento e la ricevuta. La piattaforma di ENISA non offre un'API ai fabbricanti, quindi Kernwatch non può inviare al suo posto.
- Rileva la correzione: quando una release più recente non contiene più la versione vulnerabile, propone la data della misura correttiva da cui decorre il termine di 14 giorni per la relazione finale.
- Informa gli utenti dopo la sua approvazione - un'email ai contatti clienti del prodotto e, nel piano Professional, l'avviso pubblicato - e registra chi è stato informato e quando.
Fonti ufficiali
- Regolamento (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Cyber Resilience Act, Commissione europea
- ENISA - Agenzia dell'UE per la cibersicurezza
Questa pagina riassume il Regolamento (UE) 2024/2847 a scopo orientativo e non costituisce consulenza legale.