Copla lancia il quadro di conformità al Cyber Resilience Act

Copla ha spiegato che il suo quadro suddivide gli obblighi del CRA in materia di progettazione sicura e gestione delle vulnerabilità in compiti distinti e aggiunge un piano di preparazione strutturato. Fornisce anche modelli per la documentazione tecnica e per la dichiarazione di conformità UE. Il quadro CRA si affianca al supporto che Copla offre già per DORA, NIS2, ISO 27001, SOC 2 e PCI DSS.

Altri fornitori propongono strumenti per la conformità al CRA. ArmorCode ha annunciato funzionalità CRA all'interno della sua Agentic AI Platform a giugno 2026, tra cui il supporto a SBOM e VEX e i flussi di divulgazione. exida ha rilasciato exSILentia CRA il 3 novembre 2026, uno strumento per le valutazioni dei rischi di prodotto e la documentazione tecnica.

Il via libera alle vendite nel 2027

Dall'11 dicembre 2027 i prodotti privi di una dichiarazione di conformità valida e della marcatura CE non potranno essere venduti legalmente nell'UE. Gli organismi nazionali di vigilanza del mercato avranno il potere di chiedere ritiri o richiami. La marcatura CE, già nota per giocattoli, bollitori e caricabatterie, si estende così anche al software. I produttori devono firmare una dichiarazione di conformità UE prima di apporre il marchio. Il regolamento è entrato in vigore il 10 dicembre 2024, e il suo capitolo sugli organismi notificati di valutazione della conformità si applica dall'11 giugno 2026.

Gli obblighi di segnalazione sono già in vigore

La Commissione europea afferma che l'articolo 14 si applica dall'11 settembre 2026. Un produttore che viene a conoscenza di una vulnerabilità attivamente sfruttata deve presentare un avviso tempestivo entro 24 ore e una notifica dettagliata entro 72 ore. Una relazione finale va inviata entro 14 giorni dalla mitigazione di una vulnerabilità sfruttata, oppure entro un mese dalla notifica delle 72 ore per gli incidenti gravi. Le segnalazioni passano attraverso la Single Reporting Platform di ENISA, che inoltra una singola comunicazione all'agenzia e al coordinatore CSIRT stabilito in base alla sede principale del produttore nell'UE. La piattaforma è stata lanciata senza API, quindi ogni segnalazione va presentata a mano tramite un portale web.

L'articolo 69(3) estende gli obblighi di segnalazione dell'articolo 14 ai prodotti interessati già presenti sul mercato UE, anche se la maggior parte degli altri requisiti del CRA non si applica ai prodotti precedenti al 2027. Gli obblighi di segnalazione continuano anche dopo che un prodotto non è più supportato, il che tiene nel campo di applicazione i sistemi legacy e i componenti di terze parti. Le violazioni delle regole di sicurezza fondamentali possono costare fino a 15.000.000 di euro o al 2,5% del fatturato annuo globale, se superiore.

ENISA rileva un ritardo nella preparazione

ENISA ha pubblicato a giugno 2026 il suo primo studio sul CRA dedicato alle PMI, intervistando 194 organizzazioni in 31 paesi. È emerso che il 66% degli intervistati conosceva il regolamento, ma solo circa uno su tre utilizzava una distinta base software. La risposta agli incidenti e la gestione del ciclo di vita del prodotto sono risultate le aree più deboli, indipendentemente dalle dimensioni dell'azienda. ENISA ha avvertito che la partecipazione era volontaria e probabilmente orientata verso le PMI che già seguivano la questione, il che significa che la preparazione effettiva potrebbe essere ancora inferiore.

Aurimas Bakas, amministratore delegato e cofondatore di Copla, ha dichiarato: "I risultati di ENISA mostrano che la consapevolezza c'è, ma spesso manca ancora il lavoro preparatorio concreto. Una SBOM, un processo di gestione delle vulnerabilità e un piano di risposta agli incidenti richiedono tempo per essere messi in piedi come si deve, e gli obblighi di segnalazione si applicano già oggi. Le aziende che iniziano ora hanno ancora una finestra realistica per arrivarci prima di dicembre 2027, ed è questo che vogliamo aiutarle a fare."

Documentazione e orientamenti

I produttori devono anche produrre una distinta base software, un inventario strutturato dei componenti contenuti in un prodotto. Pubblicarla non è obbligatorio, ma le autorità di vigilanza del mercato possono chiedere di vederla. La BSI TR-03183 tedesca offre un modello di formattazione; è esplicitamente non vincolante e non crea alcuna presunzione legale di conformità. La Commissione europea ha pubblicato orientamenti attuativi che coprono l'ambito dei prodotti, le modifiche sostanziali, i periodi di supporto e gli obblighi di segnalazione.