Cyber Resilience Act e fornitori: cosa chiedere oggi per le macchine del 2027

Se una tua macchina connessa arriverà sul mercato dopo l'11 dicembre 2027, la sua conformità al Cyber Resilience Act (CRA) dipende anche da scelte che fai adesso, cioè dal modulo radio, dalla scheda elettronica, dalle librerie del firmware e dalla software house che sviluppa l'app. Nel webinar su CRA e NIS2 organizzato da Things5 con P4I – Partners4Innovation, Claudio Telmon, Senior Partner Information & Cyber Security di P4I, ha indicato le mosse da fare subito: mettere la conformità nei contratti di oggi, valutare i fornitori sulla storia delle vulnerabilità che hanno gestito e tenere la distinta dei componenti software. Dall'11 settembre 2026 si aggiunge un obbligo già in vigore, quello di segnalare gli incidenti che toccano la sicurezza del prodotto, anche quando nascono presso un fornitore.

Perché i contratti firmati oggi decidono la conformità del 2027

I contratti con i fornitori contano già adesso perché il CRA chiede che il prodotto immesso sul mercato sia conforme, e un prodotto connesso lo è solo se lo sono anche i componenti digitali che contiene. La scadenza dell'11 dicembre 2027 riguarda il momento in cui ogni singola macchina viene venduta, non quello in cui il modello è stato progettato: una linea disegnata oggi, o già a magazzino, dovrà essere conforme se la vendi dopo quella data.

Telmon lo ha spiegato pensando a chi sta chiudendo adesso gli accordi per un nuovo prodotto.

Se io adesso faccio un accordo con un fornitore di componentistica, con una società di sviluppo software per realizzare un prodotto che arriverà sul mercato a dicembre 2027, io devo già adesso pormi il problema contrattualmente di assicurarmi che quello che mi viene fornito possa essere conforme a questa normativa.

Claudio Telmon, Senior Partner Information & Cyber Security, P4I – Partners4Innovation

Sul prodotto in senso stretto i tempi non sono ancora stretti, mentre accordi strategici e progettazione vanno impostati subito, perché è lì che si decide se la macchina potrà rispettare i requisiti. Lo stesso punto è emerso nella chiusura del webinar: Daniele Delle Case, che lo ha moderato per Things5, ha indicato come prima priorità la scelta attenta di fornitori e componenti fin dalla progettazione.

Cosa chiedere a un fornitore di componenti per il CRA

A un fornitore di componenti va chiesto se ha un processo di gestione delle vulnerabilità, ma soprattutto come lo ha applicato finora. Il CRA chiama questa verifica due diligence sull'integrazione di componenti di terza parte, e la mette in capo al fabbricante.

Io posso anche rivolgermi a un produttore, chiedergli se ha un processo di gestione delle vulnerabilità e lui mi dice sì, il processo ce l'abbiamo, ma vulnerabilità non ne abbiamo mai avute. Dopodiché se questo processo funziona lo sapremo quando c'è una vulnerabilità.

Claudio Telmon, Senior Partner Information & Cyber Security, P4I – Partners4Innovation

Per questo Telmon suggerisce di guardare la storia del fornitore, cioè quante vulnerabilità sono emerse sui suoi prodotti e come le ha gestite. Le verifiche tecniche esistono (il vulnerability assessment è ormai una pratica consolidata nello sviluppo di prodotto), quindi puoi chiedere al fornitore se le fa, se le ha fatte sul componente che ti vende e con quali esiti. Il punto critico, secondo Telmon, non sono gli strumenti ma la capacità del fornitore di capire cosa gli stai chiedendo e di risponderti.

Quando il fornitore non si limita a venderti un componente ma accede alle tue macchine da remoto, per la manutenzione o con flussi di dati verso un sistema in cloud, nel contratto servono anche requisiti tecnici sulla connessione e sui suoi sistemi. Quali sono, e come cambiano tra un tecnico che si collega per un intervento e un sistema di manutenzione predittiva, lo spiega Telmon rispondendo a una domanda del pubblico nella registrazione del webinar su CRA e NIS2.

Come verificare i componenti già sul mercato prima del 2027

Per i componenti in vendita oggi, che non sono ancora tenuti a rispettare il CRA, l'unica verifica possibile è chiedere conferma al produttore. Dopo l'11 dicembre 2027 il controllo diventa più semplice, perché la maggior parte dei componenti connessi, fisici o logici, dovrà essere a sua volta conforme e avere una marcatura CE da verificare.

Nel periodo di mezzo la scelta resta tua, insieme al rischio. Come ricorda Telmon, se un componente si rivela non conforme, la sicurezza del prodotto finito devi gestirla comunque tu. Le macchine già vendute non hanno obblighi di adeguamento ai requisiti di progettazione, mentre quelle che vendi dopo il 2027 sì, anche se appartengono a una linea già in produzione. Scadenze e casi particolari sono raccolti nell'articolo su cosa chiede il CRA ai costruttori.

SBOM: perché la distinta base del software riguarda i fornitori

La distinta base del software (SBOM, software bill of materials) è l'elenco di tutti i componenti software usati nel prodotto. Il CRA la richiede perché il codice scritto in casa è ormai una piccola parte del firmware rispetto a librerie e componenti di terzi. Per ogni voce dell'elenco devi assicurarti che non ci siano vulnerabilità note e che quelle scoperte in seguito vengano corrette con aggiornamenti.

Da qui Telmon ricava alcune conseguenze pratiche per chi progetta.

• Scegli con attenzione le librerie da usare, valutando se riceveranno aggiornamenti di sicurezza.
• Assicurati di poter installare gli aggiornamenti sulle macchine dei clienti, perché una correzione che non arriva sul campo non chiude la vulnerabilità.
• Definisci il periodo di supporto, cioè il tempo durante il quale ti impegni a rendere disponibili gli aggiornamenti.

L'installazione sul parco installato richiede un canale verso le macchine, ed è uno dei motivi per cui la connettività delle macchine è diventata un tema di conformità oltre che di servizio: Things5 Connect permette di distribuire gli aggiornamenti firmware da remoto su una o molte macchine e di vedere l'esito per ciascuna. Per orientarti tra i requisiti tecnici, ENISA (l'Agenzia dell'Unione europea per la cybersicurezza) ha pubblicato una mappatura tra i requisiti del CRA e standard già diffusi come ISO/IEC 27001 e IEC 62443, utile se in azienda ne applichi già uno.

Importatori e prodotti rimarchiati: la responsabilità resta a te

Se importi o rimarchi un prodotto fatto da altri, la responsabilità verso il mercato europeo è tua. Un prodotto rimarchiato con il tuo nome ti rende formalmente fabbricante. L'importatore risponde invece della conformità del prodotto che immette sul mercato, della marcatura CE e del fatto che il fabbricante abbia redatto la documentazione tecnica.

In entrambi i casi non puoi correggere tu le vulnerabilità né garantire gli aggiornamenti, quindi l'unico strumento a tua disposizione è il contratto con chi ti fornisce il prodotto. Come ha spiegato Telmon, la Commissione europea vuole avere come interlocutore chi immette il prodotto sul mercato europeo, non il fornitore estero.

Incidenti nella filiera: cosa segnalare dall'11 settembre 2026

Dall'11 settembre 2026 il fabbricante deve segnalare a ENISA e al CSIRT nazionale le vulnerabilità sfruttate attivamente e gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto, con un preallarme entro 24 ore (articolo 14 del Regolamento UE 2024/2847). Quando si è tenuto il webinar era una scadenza futura, oggi è un obbligo in vigore.

Gli incidenti da segnalare, ha chiarito Telmon, sono soprattutto quelli che avvengono negli ambienti di sviluppo e di produzione, e diversi suoi esempi riguardano proprio la filiera:

• accessi abusivi all'ambiente di sviluppo;
• una backdoor inserita nel software da un dipendente insoddisfatto del tuo fornitore;
• chiavi di firma del codice sottratte, che possono poi servire a firmare un malware.

La segnalazione non obbliga a sospendere le vendite. Incidenti come questi si traducono spesso in vulnerabilità del prodotto, da gestire con il processo ordinario producendo le correzioni e rendendole disponibili. Fermare la produzione per sistemare le cose può convenire, ma resta una scelta operativa. Ne segue che, per rispettare i tempi di segnalazione, ti serve sapere in fretta che cosa succede negli ambienti di sviluppo dei tuoi fornitori.

Se la tua azienda è anche un soggetto NIS2

Se la tua azienda rientra nel perimetro della direttiva NIS2, la catena di fornitura è anche un obbligo organizzativo. Margherita Masseroni, Senior Legal Consultant di P4I, ha ricordato che il decreto legislativo 138/2024 chiede di identificare il rischio legato ai fornitori e di definire le misure per selezionarli, valutarli e monitorarli nel tempo. Per le aziende inserite nell'elenco dei soggetti NIS2 con le comunicazioni dell'ACN di aprile 2025, il termine di 18 mesi per adeguarsi a questi obblighi è arrivato a ottobre 2026. La data esatta dipende dalla comunicazione ricevuta, quindi verificala sul sito dell'Agenzia per la Cybersicurezza Nazionale.

Da dove partire con i fornitori

Il primo passo è fare l'elenco dei fornitori che toccano la parte digitale delle macchine che venderai dopo il 2027 (componenti elettronici, moduli radio, librerie, software house, servizi cloud). Per ciascuno verifica che cosa dice il contratto sulla conformità al CRA, come ha gestito le vulnerabilità finora e come ti avviserà di un incidente nei suoi sistemi. Conviene farlo prima di chiudere i nuovi accordi, quando hai ancora margine per chiedere garanzie. Se stai valutando l'elettronica di una nuova macchina, l'introduzione all'hardware IoT aiuta a capire quali componenti entreranno in gioco.

Nella registrazione del webinar Telmon affronta anche un caso che riguarda molti costruttori, cioè cosa succede quando aggiungi a una macchina un modulo radio e un'app per gestirla da remoto, e perché a quel punto l'app diventa parte del prodotto. Margherita Masseroni spiega invece chi rientra nella NIS2, comprese le regole per le piccole imprese che fanno parte di un gruppo.

Domande frequenti