normakte / Valutazione dei rischi CRA
La valutazione dei rischi è la base di tutti gli obblighi del CRA: da essa deriva quali requisiti dell'allegato I si attuano e come, e va aggiornata per tutto il periodo di supporto.
| Passo | Contenuto |
|---|---|
| 1. Scopo e ambiente | uso previsto e ragionevolmente prevedibile, ambiente operativo, utilizzatori |
| 2. Beni da proteggere | funzioni, dati, interfacce |
| 3. Minacce e superficie d'attacco | chi potrebbe attaccare, attraverso quali vie |
| 4. Stima del rischio | probabilità e impatto |
| 5. Misure | collegamento ai requisiti dell'allegato I, motivazione se non applicabili |
| 6. Rischio residuo e aggiornamento | rischi rimanenti, aggiornamento in caso di modifiche e nuove vulnerabilità |
Il fabbricante valuta i rischi di cybersicurezza del prodotto e ne tiene conto in pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione. La valutazione indica se e come i requisiti dell'allegato I sono applicabili e attuati; è documentata, aggiornata durante il periodo di supporto e fa parte della documentazione tecnica.
Le norme armonizzate per il CRA sono in preparazione. Nel frattempo fanno da riferimento norme esistenti, come la EN 18031 per le apparecchiature radio, la IEC 62443-4-1 e 4-2 per i componenti industriali e la ETSI EN 303 645 per l'IoT di consumo.
Per le macchine con elementi digitali le due valutazioni vanno insieme: il regolamento macchine chiede protezione contro la corruzione e sistemi di comando sicuri, il CRA la cybersicurezza del prodotto. Una valutazione comune evita doppio lavoro e mostra le sinergie richieste dal considerando 53 del CRA.
Registro, classificazione, SBOM, segnalazioni con scadenze e pagina per gli utilizzatori: un fascicolo di prova gratis fino al 20.01.2027.
Fonte. Regolamento (UE) 2024/2847, GU L, 2024/2847 del 20.11.2024. Riassunto; fa fede il testo ufficiale. normakte non sostituisce una consulenza legale.