normakte / CRA e NIS2
Entrambe le norme parlano di cybersicurezza e hanno termini di segnalazione simili, ma riguardano cose diverse: il CRA il prodotto, la NIS2 l'impresa.
| CRA | NIS2 | |
|---|---|---|
| Oggetto | prodotti con elementi digitali | soggetti e loro reti e servizi |
| Chi | fabbricanti, importatori, distributori | soggetti medi e grandi dei settori elencati |
| Forma giuridica | regolamento, direttamente applicabile | direttiva, recepimento nazionale |
| Segnalazioni | tramite la piattaforma ENISA | all'autorità nazionale competente |
| Termini | 24 h, 72 h, relazione finale | 24 h, 72 h, relazione finale dopo un mese |
La direttiva NIS2 (UE) 2022/2555 obbliga i soggetti medi e grandi di determinati settori a proteggere le proprie reti e i propri servizi e a segnalare gli incidenti significativi. È attuata da leggi nazionali, il cui stato varia da uno Stato membro all'altro.
Tra i settori c'è anche la fabbricazione di macchine, apparecchiature elettriche e computer e prodotti elettronici. Un fabbricante di dimensioni medie o superiori può quindi rientrare nella NIS2 per la propria attività e nel CRA per i propri prodotti.
Due canali di segnalazione: gli incidenti nella propria attività secondo la NIS2 all'autorità nazionale; le vulnerabilità attivamente sfruttate e gli incidenti sul prodotto secondo il CRA tramite la piattaforma ENISA. I soggetti NIS2 curano anche la sicurezza della catena di fornitura, e chiedono sempre più spesso ai fornitori prodotti conformi al CRA.
Registro, classificazione, SBOM, segnalazioni con scadenze e pagina per gli utilizzatori: un fascicolo di prova gratis fino al 20.01.2027.
Fonte. Regolamento (UE) 2024/2847, GU L, 2024/2847 del 20.11.2024. Riassunto; fa fede il testo ufficiale. normakte non sostituisce una consulenza legale.