Il regolamento europeo sulla cybersicurezza si sta attivando, e troppi team non hanno ancora una mappa

I primi passi di applicazione del Cyber Resilience Act dell’UE sono ora operativi, e questo conta ben oltre Bruxelles. Si tratta di una legge sulla sicurezza dei prodotti, non di un generico slogan di compliance: trasferisce gli obblighi di sicurezza nel ciclo di vita di software e hardware, dalle scelte di progettazione alla gestione delle vulnerabilità e all’accesso al mercato. Per le imprese, l’aspetto scomodo è che il regolamento non coinvolge solo i fornitori. Coinvolge anche le organizzazioni che sviluppano su software open source, integrano componenti di terze parti o si affidano a prodotti con elementi digitali che non catalogano completamente.

Fatti rapidi

• I primi elementi del CRA entrano in vigore l'11 giugno.
• I partecipanti al sondaggio OpenSSF avevano in larga parte poca familiarità con il CRA, comprese le sue scadenze e sanzioni.
• I produttori devono iniziare a segnalare le vulnerabilità dall'11 settembre, mentre gli obblighi rimanenti si applicano dal 11 dicembre 2027.
• Le multe per mancata conformità possono arrivare a 15 milioni di euro o al 2,5% del fatturato annuo globale, a seconda del caso.
• L'articolo collega il regime alla governance dell'open source e menziona un ruolo di steward open source all'interno delle imprese.

Perché lo shock della conformità conta

Il CRA è progettato per rendere più sicuri i prodotti venduti nell’UE, ma il suo effetto più profondo è organizzativo. Costringe le aziende a sapere cosa c’è nel loro software, chi possiede la decisione sulla sicurezza e con quale rapidità possono reagire quando emerge una vulnerabilità. È un problema di supply chain tanto quanto un problema legale. Se un’azienda non riesce a identificare quali prodotti rientrano nel perimetro, o non riesce a tracciare le dipendenze al loro interno, faticherà a soddisfare le aspettative del regolamento sul ciclo di vita.

Il punto di pressione più trascurato è l’open source. Il regolamento ha implicazioni per gli utenti di software open source, non solo per i fornitori commerciali. Per questo continua a emergere l’idea di uno steward open source interno: qualcuno deve occuparsi della policy, della governance delle dipendenze e dei percorsi di escalation quando il codice upstream diventa rischioso. In termini pratici, è il tipo di ruolo che spesso i team di sicurezza assumono in modo informale, per poi faticare a formalizzare quando arriva la stagione degli audit.

Un altro segnale dai dati del sondaggio non è la paura, ma il ritardo. Se una quota elevata di produttori non si aspetta di essere pienamente conforme entro dicembre 2027, ciò suggerisce che molti team non hanno ancora costruito la documentazione, la classificazione dei prodotti e i flussi di lavoro per la segnalazione delle vulnerabilità che il CRA presuppone. La legge non premia solo un codice migliore. Premia processi migliori, una responsabilità più chiara e una disciplina più rapida nella divulgazione.

C’è una lezione più ampia sul cyber qui. La regolamentazione della sicurezza dei prodotti sta diventando un vincolo ingegneristico, non un esercizio burocratico. Le imprese che aspettano che siano le scadenze a imporre l’azione potrebbero scoprire che il lavoro più difficile non è la revisione legale, ma costruire inventari affidabili, decidere chi possiede il rischio e dimostrare che la sicurezza è stata progettata fin dall’inizio e non aggiunta in seguito.

Conclusione

Il rollout del CRA ricorda che la sicurezza della supply chain software è ormai entrata nell’era dell’applicazione. Per i difensori, il messaggio è semplice: se non riuscite a spiegare le vostre dipendenze, il vostro percorso di segnalazione e il vostro modello di responsabilità, la conformità sarà fragile molto prima che qualsiasi autorità di regolamentazione guardi da vicino. La vera prova non è se la legge è entrata in vigore. È se la vostra organizzazione può dimostrare, nei dettagli, cosa distribuisce e come lo mantiene sicuro.

WIKICROOK

• Cyber Resilience Act (CRA): legge dell’UE sulla sicurezza dei prodotti per i prodotti con elementi digitali venduti nell’Unione europea.
• Organismi di valutazione della conformità: organismi designati dagli Stati membri coinvolti nella valutazione se determinati prodotti soddisfano i requisiti del CRA.
• Steward open source: un ruolo aziendale discusso nel contesto del CRA per gestire la politica di sicurezza e la governance attorno al software open source.
• SBOM: Software Bill of Materials, un inventario strutturato dei componenti software e delle dipendenze.
• Prodotti con elementi digitali: la categoria del CRA che copre hardware e software che includono funzionalità digitali.