Con il Cyber Resilience Act, la cybersecurity non riguarda più soltanto le organizzazioni che utilizzano tecnologie digitali, ma entra direttamente nel ciclo di vita di prodotti hardware e software. Il nuovo quadro europeo impone ai produttori requisiti di sicurezza, gestione delle vulnerabilità e maggiore trasparenza sui componenti, creando nuove leve anche per le aziende chiamate a rispettare NIS2 e DORA.
Il cambio di prospettiva è significativo: la sicurezza deve essere affrontata a monte, già nelle fasi di progettazione, sviluppo e produzione, con l’obiettivo di ridurre le vulnerabilità prima che un prodotto venga immesso sul mercato e successivamente integrato nei sistemi di un’organizzazione.
Il CRA non si limita però alla fase di progettazione. I requisiti di cybersecurity devono essere considerati lungo l’intero ciclo di vita del prodotto, prevedendo processi strutturati per identificare, documentare e correggere le vulnerabilità, oltre a meccanismi per fornire gli aggiornamenti di sicurezza e le relative informazioni.
Si afferma così un approccio security by design, nel quale una parte della responsabilità della sicurezza viene spostata verso il produttore. L’obiettivo è evitare che vulnerabilità presenti all’origine in software, hardware o componenti di terze parti diventino successivamente un rischio per l’organizzazione che utilizza il prodotto.
Questa impostazione crea importanti punti di contatto con NIS2 e DORA, pur senza sostituirne gli obblighi. Le informazioni e le evidenze generate nell’ambito del CRA possono infatti diventare input per i processi aziendali di supply chain security, vulnerability management, procurement e valutazione dei fornitori.
Per le organizzazioni soggette alla NIS2, la documentazione sulla sicurezza dei prodotti, le informazioni sulle vulnerabilità e la Software Bill of Materials (SBOM) possono contribuire a rafforzare la valutazione della supply chain. Nel caso di DORA, il CRA può aggiungere alla valutazione del rischio del fornitore una dimensione ulteriore, quella del rischio associato al prodotto digitale.
Resta però un punto fondamentale: la conformità al CRA non equivale automaticamente alla conformità a NIS2 o DORA. Le normative mantengono ambiti e responsabilità distinti, ma possono essere integrate all’interno di un approccio comune alla gestione del rischio.
Il valore del CRA sta quindi anche nella possibilità di intervenire sul rischio prima che raggiunga l’organizzazione, portando la cybersecurity più vicino all’origine del problema e accompagnandola lungo tutto il ciclo di vita del prodotto. Una prospettiva che rafforza il collegamento tra sicurezza by design, sicurezza della supply chain e resilienza operativa.
