CRA Product Security Assessment — valutazione della readiness dei vostri prodotti con elementi digitali rispetto al Regolamento (UE) 2024/2847: classificazione, requisiti essenziali dell'Allegato I, gestione delle vulnerabilità, obblighi di segnalazione e documentazione per la valutazione di conformità, con crosswalk verso IEC 62443-4-1, ETSI EN 303 645 e NIST SSDF.
Nessuna registrazione · Nessun dato personale · Risultato immediato
Hardware e software con una connessione dati — dispositivi IoT, firmware, applicazioni, componenti, piattaforme — devono ora essere progettati, mantenuti e documentati secondo requisiti obbligatori. Non è più una scelta di qualità: è la condizione per la marcatura CE e per l'accesso al mercato dell'Unione.
Il Regolamento (UE) 2024/2847 è il primo quadro normativo orizzontale sulla cybersicurezza dei prodotti con elementi digitali. È in vigore dal 10 dicembre 2024. Dall'11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi; dall'11 dicembre 2027 si applicano tutti i requisiti essenziali.
Il Regolamento si applica a chi immette sul mercato dell'Unione hardware o software con una connessione dati diretta o indiretta — indipendentemente dal Paese di stabilimento. Obblighi principali per il fabbricante, obblighi di verifica per importatori e distributori, obblighi ridotti per gli open-source steward.
Restano fuori i prodotti già coperti da normative settoriali con requisiti equivalenti (dispositivi medici, veicoli, aviazione civile, marittimo) e il software libero e open source non commerciale. Il puro servizio cloud è escluso, salvo le soluzioni di elaborazione remota integrate nel prodotto.
Le autorità di vigilanza del mercato possono inoltre imporre il ritiro o il richiamo del prodotto e limitarne la messa a disposizione.
L'Allegato I descrive cosa il prodotto deve garantire, non come organizzarlo né quali evidenze produrre. L'assessment traduce ciascun requisito nei controlli operativi effettivamente valutati, con l'evidenza documentale corrispondente.
| Requisito del CRA | Controlli valutati | Evidenza tipica |
|---|---|---|
| Classificazione del prodotto (artt. 6-7, All. III-IV) | CR-1 | Inventario dei prodotti con classe e motivazione |
| Valutazione del rischio di cybersicurezza (art. 13(2)) | CR-2 | Risk assessment per prodotto, incluso nella documentazione tecnica |
| Segnalazione di vulnerabilità e incidenti (art. 14) | CR-3 · CR-12 | Procedura 24h/72h/14gg, accesso alla piattaforma unica, registro delle segnalazioni |
| Documentazione tecnica e dichiarazione UE (artt. 28-31, All. VII) | CR-4 · CR-2 | Fascicolo tecnico, dichiarazione UE di conformità, periodo di supporto dichiarato |
| Secure by default, nessuna vulnerabilità nota (All. I-I(2)(a)(b)) | CR-5 | Checklist di rilascio, esito dei test, configurazione di default documentata |
| Accessi, autenticazione, protezione dei dati (All. I-I(2)(d)-(g)) | CR-6 · CR-7 | Specifiche di sicurezza, esiti dei test, architettura crittografica |
| Superficie d'attacco, resilienza, logging (All. I-I(2)(h)-(m)) | CR-8 · CR-10 | Analisi della superficie d'attacco, test DoS, specifica di logging |
| Aggiornamenti di sicurezza (All. I-I(2)(c), II(7)-(8)) | CR-9 | Meccanismo di update, firma, distribuzione, politica di supporto |
| SBOM e gestione delle vulnerabilità (All. I-II(1)-(6)) | CR-11 · CR-12 | SBOM in formato standard, policy CVD pubblica, registro delle vulnerabilità |
L'assessment non si limita a verificare l'esistenza di policy o procedure. Analizza concretamente quali prodotti rientrano nel Regolamento, in quale classe, quali requisiti essenziali sono già presidiati, quali evidenze esistono per la documentazione tecnica e quali interventi devono essere prioritizzati prima della valutazione di conformità.
Inventario reale dei prodotti con elementi digitali, delle versioni in commercio, dei componenti di terze parti e delle catene di fornitura.
Ruolo, classe di rischio e procedura di conformità per ciascun prodotto; obblighi già in vigore e obblighi in arrivo.
Livello di presidio dei requisiti essenziali, dei processi di gestione delle vulnerabilità e delle evidenze effettivamente disponibili.
Roadmap prioritizzata verso la dichiarazione UE di conformità: quick win, azioni prioritarie e iniziative strutturali.
Il Regolamento chiede tre cose diverse: rispettare gli obblighi del fabbricante, progettare il prodotto in modo sicuro, e mantenerlo tale per tutto il periodo di supporto. Il modello le tiene distinte perché richiedono funzioni, competenze ed evidenze diverse.
Analisi degli adempimenti che il Regolamento impone prima e dopo l'immissione sul mercato.
Analisi dei requisiti essenziali dell'Allegato I, Parte I, così come sono implementati nel prodotto.
Analisi dei processi dell'Allegato I, Parte II, che mantengono il prodotto sicuro dopo il rilascio.
Per ciascun controllo valutiamo livello di implementazione, ownership, processi, tecnologie, documentazione, evidenze verificabili, gap ed esposizione al rischio.
Ogni controllo ha un grado diverso di aderenza al Regolamento: alcuni corrispondono direttamente a un requisito essenziale, altri lo sostengono producendo le evidenze richieste. Nessuno di essi, da solo, esaurisce l'obbligo.
| ID | Controllo | Compatibilità | Principali riferimenti CRA |
|---|---|---|---|
| CR-1 | Inventario e classificazione | Diretta | Artt. 6-7 e Allegati III-IV; presupposto dell'art. 32 (procedura di conformità) |
| CR-2 | Valutazione del rischio | Diretta | Art. 13(2)-(3); All. I, Parte I, punto 1; All. VII (documentazione tecnica) |
| CR-3 | Segnalazione art. 14 | Diretta | Art. 14: allerta precoce 24h, notifica 72h, relazione finale 14 giorni; art. 16 (piattaforma unica) |
| CR-4 | Documentazione e conformità | Diretta | Art. 13(8) periodo di supporto; artt. 28, 30, 31; All. V e VII |
| CR-5 | Secure by default | Diretta | All. I, Parte I, punto 2 (a)-(b); art. 13(1) |
| CR-6 | Accessi e autenticazione | Diretta | All. I, Parte I, punto 2 (d) |
| CR-7 | Protezione dei dati | Diretta | All. I, Parte I, punto 2 (e)-(g); coordinamento con il GDPR |
| CR-8 | Superficie e resilienza | Diretta | All. I, Parte I, punto 2 (h)-(k), (m) |
| CR-9 | Aggiornamenti di sicurezza | Diretta | All. I, Parte I, punto 2 (c); Parte II, punti 7-8; art. 13(8) |
| CR-10 | Logging e monitoraggio | Molto rilevante | All. I, Parte I, punto 2 (l); supporta l'art. 14 (rilevazione) |
| CR-11 | SBOM | Diretta | All. I, Parte II, punto 1; All. VII (documentazione tecnica) |
| CR-12 | Vulnerabilità e CVD | Diretta | All. I, Parte II, punti 2-6; art. 13(6); art. 14 |
I 12 controlli sono un solido backbone operativo di product security, ma non esauriscono da soli gli obblighi del Regolamento: classificazione, procedura di conformità, informazioni all'utente e obblighi di filiera richiedono una verifica dedicata. Per questo il nostro CRA Gap Assessment integra la baseline con due moduli regolatori.
«Il prodotto è progettato, mantenuto e documentato in modo sicuro — e possiamo dimostrarlo?»
I 12 controlli sui tre pilastri: obblighi del fabbricante, sicurezza per progettazione, gestione delle vulnerabilità nel ciclo di vita.
«Quali prodotti rientrano nel Regolamento, in quale ruolo ci mette, e in quale classe ricade ciascuno?»
«Per ciascun obbligo applicabile: che cosa esiste e quale evidenza possiamo produrre?»
Verifica puntuale, requisito per requisito, degli obblighi risultati applicabili in base all'esito del Modulo 2.
Gli obblighi dipendono dal ruolo che l'organizzazione riveste rispetto a ciascun prodotto. La stessa azienda può essere fabbricante del proprio firmware e distributore di un dispositivo di terzi — e diventare fabbricante a tutti gli effetti di quel dispositivo se lo rimarchia o lo modifica in modo sostanziale.
| Ruolo | Chi è | Obblighi principali |
|---|---|---|
| FabbricanteArt. 13 | Sviluppa o fa sviluppare un prodotto con elementi digitali e lo commercializza con il proprio nome o marchio. | Requisiti essenziali dell'Allegato I, valutazione del rischio, due diligence sui componenti di terzi, gestione delle vulnerabilità per tutto il periodo di supporto, segnalazione ex art. 14, documentazione tecnica, valutazione di conformità, dichiarazione UE, marcatura CE, informazioni all'utente. |
| ImportatoreArt. 20 | Immette sul mercato dell'Unione un prodotto di un fabbricante stabilito in un Paese terzo. | Verifica che la procedura di conformità sia stata svolta, che esistano documentazione tecnica e marcatura CE; indicazione dei propri dati sul prodotto, conservazione della dichiarazione, informazione del fabbricante e delle autorità in caso di vulnerabilità. |
| DistributoreArt. 21 | Mette a disposizione sul mercato un prodotto, senza esserne fabbricante o importatore. | Verifica della marcatura CE e della documentazione, non messa a disposizione di prodotti non conformi, informazione al fabbricante e alle autorità su vulnerabilità e non conformità. |
| Open-source stewardArt. 24 | Persona giuridica che sostiene in modo sistematico lo sviluppo di software libero e open source destinato ad attività commerciali. | Regime leggero: policy di cybersicurezza per lo sviluppo sicuro e la gestione delle vulnerabilità, cooperazione con le autorità, segnalazione ove applicabile. Nessuna marcatura CE. |
Ogni controllo soddisfa contemporaneamente requisiti del CRA e pratiche di IEC 62443-4-1 ed ETSI EN 303 645. Esplorate le due mappe: sono le stesse che utilizziamo in fase di assessment.
Cliccate su uno dei 12 controlli al centro per vedere quali requisiti attiva. Cliccate su un requisito per vedere quali controlli lo presidiano. I requisiti tratteggiati in rosso non sono coperti dai controlli operativi.
Il modello non inventa un proprio elenco di minacce: parte dai cataloghi di riferimento per i prodotti e mappa ciascuna classe di vulnerabilità sui controlli, e da questi sui requisiti del CRA.
Raccolta delle informazioni sui prodotti: catalogo e versioni in commercio, architettura, componenti di terze parti, canali di distribuzione, documentazione esistente. Interviste a R&D, Product Management, Quality, Security, Operations e Legal.
Per ciascun prodotto: rientra nel Regolamento? In quale ruolo ci mette? In quale classe ricade? Quale procedura di conformità si applica? È l'esito che determina quali requisiti verificare nella fase successiva.
Valutazione dei 12 controlli e verifica puntuale dei requisiti essenziali applicabili: per ciascuno, livello di implementazione, evidenze disponibili, gap ed esposizione. Con crosswalk verso IEC 62443-4-1, ETSI EN 303 645 e NIST SSDF, così che un intervento di remediation valga su più fronti.
Per ogni area vengono formalizzati Current State, Gap, Risk, Priority e Recommended Action, orientati alla costruzione della documentazione tecnica e alla valutazione di conformità.
Requisiti essenziali dell'Allegato I, obblighi del fabbricante, segnalazione, documentazione tecnica e valutazione di conformità.
Pratiche del ciclo di sviluppo sicuro: requisiti, progettazione, implementazione, verifica, gestione dei difetti e degli aggiornamenti.
Baseline di sicurezza per i dispositivi IoT consumer e framework per lo sviluppo sicuro del software.
Documenti utilizzabili da direzione, R&D, Quality e Compliance — e che alimentano direttamente la documentazione tecnica dell'Allegato VII.
Readiness complessiva, aree di esposizione, rischi prioritari, punti di forza, gap e raccomandazioni.
Per ogni prodotto: ruolo, classe, procedura di conformità, periodo di supporto e obblighi applicabili, con motivazione.
Stato dei 12 controlli e dei requisiti dell'Allegato I: evidenze, gap, rischio, owner, remediation, priorità.
Mapping di evidenze e gap verso CRA, IEC 62443-4-1, ETSI EN 303 645 e NIST SSDF.
Piano verso la dichiarazione UE di conformità: Quick Win, Priority Actions e Strategic Initiatives.
Si parte dall'auto-valutazione gratuita, si approfondisce con il gap assessment, si consolida con il presidio continuativo.
Prima fotografia della readiness dei prodotti, generata in autonomia e senza rilascio di dati personali.
Ideale per: fabbricanti, integratori e PMI che vogliono capire da dove partire.
Avvia ora · GratuitoValutazione approfondita dei prodotti in perimetro, condotta dal nostro team con verifica delle evidenze.
Ideale per: chi ha prodotti già sul mercato UE o in lancio entro il 2027.
Richiedi il Gap AssessmentPresidio dei processi che il Regolamento richiede per tutto il periodo di supporto.
Ideale per: chi vuole trasformare l'assessment in un presidio permanente.
Parla con un consulenteSì, se immettete prodotti con elementi digitali sul mercato dell'Unione. Il Regolamento si applica al prodotto, non alla sede: un fabbricante extra-UE deve rispettarlo, e l'importatore che lo introduce nell'Unione ne verifica la conformità. Per un'organizzazione con clienti europei il perimetro va verificato prodotto per prodotto.
Il software è un prodotto con elementi digitali se ha una connessione dati diretta o indiretta a un dispositivo o a una rete. Il puro servizio cloud (SaaS) è escluso, ma le soluzioni di elaborazione remota senza le quali il prodotto non funziona rientrano nel perimetro. La distinzione va fatta caso per caso ed è uno degli esiti del Modulo 2.
Scattano gli obblighi di segnalazione dell'art. 14: entro 24 ore dalla conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave va inviata un'allerta precoce, entro 72 ore una notifica, entro 14 giorni la relazione finale, tramite la piattaforma unica di segnalazione. Riguarda anche i prodotti già sul mercato. Serve un processo, non solo una buona intenzione.
Per la classe importante I potete autovalutare la conformità solo applicando integralmente le norme armonizzate; altrimenti serve un organismo notificato. Per la classe importante II l'organismo notificato è sempre necessario. Per i prodotti critici è prevista la certificazione europea di cybersicurezza. Determinare la classe correttamente è il primo passo, ed è ciò che il Modulo 2 documenta.
Sono basi utili, non equivalenti. La IEC 62443-4-1 copre buona parte del ciclo di sviluppo sicuro e la ISO 27001 l'organizzazione, ma il CRA aggiunge obblighi propri: classificazione, SBOM, segnalazione entro 24 ore, periodo di supporto dichiarato, dichiarazione UE e marcatura CE. Il lavoro fatto non va rifatto: va mappato ed esteso. È il senso del crosswalk.
No. La marcatura CE deriva dalla procedura di valutazione della conformità dell'art. 32, che resta un atto del fabbricante o dell'organismo notificato. L'assessment costruisce la base che la rende possibile: classificazione documentata, requisiti presidiati con evidenze, documentazione tecnica strutturata e roadmap per chiudere i gap.
Il CRA Quick Assessment è gratuito, anonimo e immediato. Al termine ottenete un report con il vostro readiness score, le aree di esposizione, la preparazione rispetto ai requisiti del Regolamento e le priorità di intervento.
