CRA Assistent
Domande sul Cyber Resilience Act
Domande sul Cyber Resilience Act
Salve, sono l'assistente CRA. Chiedimi tutto sul Cyber Resilience Act, sui ruoli e gli obblighi, o sull'uso di CRA-Portal.
Rimani aggiornato sugli ultimi sviluppi del Cyber Resilience Act.
Il 21 ottobre 2026 il team PHP ha reso note due vulnerabilita critiche, CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio CVSS 9,2. Consentono l'esecuzione di codice da remoto e riguardano ogni versione a partire da PHP 5.4. Nei Paesi Bassi sono andati offline in via precauzionale DigiD, MijnOverheid, la Camera dei rappresentanti, lo stesso centro nazionale per la sicurezza informatica, l'aeroporto di Schiphol e sei ospedali. Per i fabbricanti tutto si riduce a due domande. Questo componente e nel mio prodotto, e in quale versione? E devo segnalarlo? Una vulnerabilita sfruttata attivamente va segnalata entro 24 ore, anche quando si trova in un componente che fornite e non nel vostro codice; una vulnerabilita nota ma non ancora sfruttata non fa scattare quel termine. Chi usa PHP 7.4 quel giorno non ha potuto scegliere tra applicare la patch e attendere: quella versione non e piu supportata da novembre 2022 e non ricevera alcuna patch.
Nella notte tra l'11 e il 12 ottobre 2026 gli attaccanti hanno messo gli impianti di refrigerazione di circa 250-350 supermercati francesi in sbrinamento permanente, con temperature che hanno sfiorato i 50 gradi. Tra le catene colpite: Intermarché, Netto, Coopérative U, Leclerc, Carrefour Market e Monoprix. Un negozio in Alsazia ha dichiarato oltre 220.000 euro di danni; su scala nazionale la perdita è di milioni. I pannelli di controllo del produttore danese Danfoss sono raggiungibili via internet per consentire alle aziende di manutenzione di regolarli a distanza, e le unità colpite usavano firmware obsoleto. Già nel maggio 2025 la CISA aveva segnalato un bypass dell'autenticazione nella serie AK-SM 8xxA (CVE-2025-41450). Un regolatore di freddo sembra una scatola insignificante, ma è un prodotto con elementi digitali: il CRA richiede impostazioni predefinite sicure, autenticazione per l'accesso remoto, un periodo di supporto con aggiornamenti di sicurezza e la segnalazione delle vulnerabilità sfruttate attivamente. L'incidente mostra quanto costa l'assenza di queste basi: non una fuga di dati, ma giorni di fatturato, scorte perdute e attività ferma.
Dall'11 settembre 2026 la Piattaforma Unica di Segnalazione dell'ENISA è operativa su portal.cra-srp.enisa.europa.eu. Sono disponibili un manuale per i mandatari, un video tutorial e un glossario dei campi da compilare. Non esiste un'API: registrazione e segnalazione avvengono manualmente. Attenzione ai due termini distinti per la relazione finale: per una vulnerabilità, entro quattordici giorni dalla disponibilità di una misura correttiva o di mitigazione; per un incidente grave, entro un mese dalla notifica delle 72 ore. Gli steward open source rientrano nell'ambito solo dall'11 dicembre 2027, e la segnalazione volontaria non è ancora disponibile.
Gli obblighi di segnalazione di incidenti e vulnerabilità del CRA si applicano dall'11 settembre 2026 tramite la Piattaforma Unica di Segnalazione dell'ENISA. L'ENISA ha pubblicato FAQ, una scheda di due pagine e guide passo passo per la registrazione e l'invio delle notifiche. L'ENISA ha inoltre pubblicato il suo Secure by Design and Default Playbook (22 playbook pratici per l'intero ciclo di vita del prodotto) e partner internazionali hanno pubblicato gli elementi minimi 2026 per una Software Bill of Materials (SBOM).
La Commissione europea ha pubblicato le sue linee guida ufficiali sull'attuazione del Cyber Resilience Act. Chiariscono l'ambito di applicazione (comprese le soluzioni di elaborazione dati da remoto e il software libero e open source), cosa costituisce una modifica sostanziale, come si applicano i periodi di supporto e gli obblighi di segnalazione e valutazione del rischio. Includono 67 esempi pratici, casi d'uso e diagrammi di flusso rivolti a PMI e microimprese.
ENISA ha aggiornato le FAQ sulla piattaforma unica di segnalazione del CRA, inclusi i campi di dati che i produttori devono fornire nella segnalazione di incidenti ai sensi dell'articolo 14. Inoltre, fino al 10 luglio 2026 e aperta una consultazione pubblica su una bozza di parere tecnico sui meccanismi di aggiornamento sicuri per le PMI.
OpenSSF ha inviato feedback della comunità su due consultazioni UE: la revisione della legge sulla cybersicurezza e le modifiche alla direttiva NIS2. È stato fornito input anche sul manuale ENISA 'Secure by Design' per le PMI.
ENISA ha pubblicato una bozza di manuale per aiutare le PMI a integrare la sicurezza fin dalla progettazione. Fornisce passaggi pratici per i processi di ingegneria, prodotto e rilascio.
Il CRA è entrato in vigore il 10 dicembre 2024. Produttori, importatori e distributori di prodotti con elementi digitali devono conformarsi ai nuovi requisiti entro l'11 dicembre 2027.
La normativa CRA è ancora in evoluzione. Contattaci per gli ultimi approfondimenti.
I nostri specialisti sono felici di assisterti nel tuo percorso di conformità.