Cyber Resilience Act: requisiti fondamentali e prodotti coinvolti

È stata di recente pubblicata la proposta di legge UE riguardante la cyber security dei prodotti connessi che si chiama Cyber Resilience Act (ovvero CRA).

È un passo fondamentale per aumentare la consapevolezza dell’importanza della cyber security in tutti gli aspetti del ciclo di vita di un prodotto: dalla fase di Concept, alla fase di Design, poi di Implementazione, infine di Testing. A seguire saranno anche interessate le fasi di Post-sviluppo e Produzione.

I macro obiettivi di questa direttiva sono quattro e sono elencati qui di seguito:

1. I produttori devono migliorare la sicurezza dei prodotti con elementi digitali sin dalla progettazione e fase di sviluppo e durante l’intero ciclo di vita.
2. È necessario garantire un framework di cyber security, facilitando la conformità per i produttori di hardware e software.
3. È necessario migliorare la trasparenza delle proprietà di sicurezza dei prodotti con elementi digitali.
4. È necessario consentire alle imprese e ai consumatori di utilizzare i prodotti con elementi digitali in modo sicuro.

Requisiti di base richiesti dal Cyber Resilience Act

Per i requisiti specifici di cyber security, la direttiva stabilisce l’importanza di alcune attività come segue:

1. Aspetti documentali (Risk assesment ad esempio, dichiarazione di conformità).
2. Monitoraggio continuo nel tempo delle possibili vulnerabilità.
3. Manuali di istruzione aggiornati con descrizioni sugli aspetti di sicurezza.
4. Disponibilità di aggiornamenti di sicurezza.
5. Gestione delle vulnerabilità.

Tutta la filiera (Supply Chain) di produzione di un prodotto digitale (software, hardware, connettività ecc.) diventa quindi soggetta ad attività e controlli di cyber security.

Prodotti coinvolti dal Cyber Resilience Act

Saranno tre le categorie di prodotti coinvolti dal Cyber Resilience Act:

1. Categoria di Default, soggetta a Self-assessment (prodotti non critici)
2. Classe I (prodotti critici)
3. Classe II (prodotti critici)

La distinzione dalla prima classe a quelle successive si basa sui seguenti aspetti:

• funzionali (ad esempio in ambito critical software);
• modalità d’uso (ad esempio per il settore industrial control/NIS2);
• altri criteri.

Per determinare il livello appropriato di rischio dei prodotti critici sarà necessario valutare i seguenti punti:

• la funzionalità relativa alla sicurezza informatica del prodotto con elementi digitali e se il prodotto con elementi digitali ha almeno uno dei seguenti attributi:

1. è progettato per funzionare con privilegi elevati o gestire privilegi;
2. ha accesso diretto o privilegiato alle risorse di rete o informatiche;
3. è progettato per controllare l’accesso ai dati o alla tecnologia operativa;

• svolge una funzione fondamentale per la “fiducia”, in particolare svolge funzioni di sicurezza , come il controllo della rete, la sicurezza degli endpoint e la protezione della rete.
• l’uso previsto in ambienti sensibili, compresi quelli industriali o da enti essenziali del tipo di cui all’allegato [allegato I] del Direttiva [Direttiva XXX/XXXX (NIS2)];
• l’uso previsto per lo svolgimento di funzioni critiche o sensibili, quali trattamento dei dati personali;
• la potenziale portata di un impatto negativo, in particolare in termini di intensità e capacità di influenzare una pluralità di persone;
• la misura in cui l’uso di prodotti con elementi digitali ha già causato perdita o interruzione materiale o immateriale o ha dato luogo a una perdita significativa.

Per la prima classe, non ci sono particolari criteri da applicare e i prodotti coinvolti sono principalmente appartenenti alle seguenti tipologie:

1. photo editing;
2. word processing;
3. smart speakers;
4. hard drives;
5. games.

Per la seconda categoria sarà necessario un Assessment (eventualmente condotto da una terza parte) e riguarderà i seguenti prodotti (come da elenco presente nel Annex III):

1. Identity management systems software and privileged access management software.
2. Standalone and embedded browsers.
3. Password managers.
4. Software that searches for, removes, or quarantines malicious software.
5. Products with digital elements with the function of virtual private network (VPN).
6. Network management systems.
7. Network configuration management tools.
8. Network traffic monitoring systems.
9. Management of network resources.
10. Security information and event management (SIEM) systems.
11. Update/patch management, including boot managers.
12. Application configuration management systems.
13. Remote access/sharing software.
14. Mobile device management software.
15. Physical network interfaces.
16. Operating systems not covered by class II.
17. Firewalls, intrusion detection and/or prevention systems not covered by class II.
18. Routers, modems intended for the connection to the internet, and switches, not covered by class II.
19. Micropocessors not covered by class II.
20. Microcontrollers.
21. Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) intended for the use by essential entities of the type referred to in [Annex I to the Directive XXX/XXXX (NIS2)].
22. Industrial Automation & Control Systems (IACS) not covered by class II, such as programmable logic controllers (PLC), distributed control systems (DCS), computerised numeric controllers for machine tools (CNC) and supervisory control and data acquisition systems (SCADA).
23. Industrial Internet of Things not covered by class II.

Per la terza categoria, infine, sarà obbligatorio un Assessment di terze parti e riguarderà i seguenti prodotti: (come da elenco presente nel Annex III):

1. Operating systems for servers, desktops, and mobile devices.
2. Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments.
3. Public key infrastructure and digital certificate issuers.
4. Firewalls, intrusion detection and/or prevention systems intended for industrial use.
5. General purpose microprocessors.
6. Microprocessors intended for integration in programmable logic controllers and secure elements.
7. Routers, modems intended for the connection to the internet, and switches, intended for industrial use.
8. Secure elements.
9. Hardware Security Modules (HSMs).
10. Secure cryptoprocessors.
11. Smartcards, smartcard readers and tokens.
12. Industrial Automation & Control Systems (IACS) intended for the use by essential entities of the type referred to in [Annex I to the Directive XXX/XXXX (NIS2)], such as programmable logic controllers (PLC), distributed control systems (DCS), computerised numeric controllers for machine tools (CNC) and supervisory control and data acquisition systems (SCADA).
13. Industrial Internet of Things devices intended for the use by essential entities of the type referred to in [Annex I to the Directive XXX/XXXX (NIS2)].
14. Robot sensing and actuator components and robot controllers.
15. Smart meters.

Sono invece esclusi (Out-of-scope) le seguenti altre tipologie:

1. Open source Sw (se non inserito in altro prodotto commerciale).
2. Cloud services (che ricadono nella direttiva NIS).
3. Dispositivi Medicali or “in-vitro diagnostic” (che ricadono nella direttiva MDR).
4. Prodotti del settore Aviazione civile (che ricadono nella Regulation (EU) 2018/1139.
5. Prodotti del settore Motor vehicles (che ricadono nella direttiva (EU) 2019/2144.
6. Prodotti in generale per la sicurezza nazionale o scopi militari o prodotti specificatamente progettati per elaborare informazioni classificate.

Conclusione

Lo scopo finale del Cyber Resilience Act è garantire che i prodotti con elementi digitali immessi sul mercato dell’UE presentino meno vulnerabilità e i produttori siano responsabili della sicurezza informatica per tutto il ciclo di vita di un prodotto.

È importante anche sottolineare l’interscambio tra questa direttiva ed altre normative europee: NIS2 (in Draft), GDPR (privacy), RED (per dispositive Radio), AI Act (Intelligenza artificiale), direttive Macchina e Safety. Questo per assolvere la strategia digitale europea che vuole quattro pilastri:

1. protezione dei dati;
2. diritti fondamentali;
3. sicurezza (intesa come “Safety”);
4. cyber security.

Una volta che il Cyber Resilience Act verrà approvato e adottato dai paesi UE, operatori economici e Stati membri avranno due anni per adeguarsi alle nuove esigenze.

L’obbligo di segnalare le vulnerabilità sfruttate attivamente e gli incidenti si applicheranno dopo un anno.