Regolamento sulla ciberresilienza

Regolamento (UE) 2024/2847 e le librerie di componenti eSeGeCe. Ultimo aggiornamento: agosto 2026

A che punto è oggi il CRA

Il Regolamento (UE) 2024/2847 è entrato in vigore il 10 dicembre 2024, ma i suoi obblighi arrivano per fasi:

11 giugno 2026. Entrano in vigore le norme sulla notifica degli organismi di valutazione della conformità, quindi l'infrastruttura di valutazione inizia a esistere.

11 settembre 2026. I fabbricanti devono segnalare all'ENISA e al CSIRT competente le vulnerabilità attivamente sfruttate e gli incidenti gravi, con un preallarme entro 24 ore, una notifica più completa entro 72 ore e una relazione finale quando è disponibile una misura correttiva.

11 dicembre 2027. Si applicano integralmente i requisiti essenziali di cibersicurezza, i requisiti di gestione delle vulnerabilità, la documentazione tecnica, la dichiarazione di conformità UE e la marcatura CE.

Fino a dicembre 2027 nessun prodotto sul mercato reca una dichiarazione di conformità CRA, perché il quadro che la rilascia è ancora in fase di costruzione. Qualsiasi fornitore che oggi dichiari di avere una valutazione di conformità CRA completata sta descrivendo qualcosa che non esiste ancora. Ciò che possiamo fare ora, ed è lo scopo di questa pagina, è darvi gli elementi di prova di cui la vostra valutazione ha bisogno.

Classificazione del prodotto

Le librerie di componenti eSeGeCe non figurano nell'allegato III né nell'allegato IV del Regolamento. Non sono sistemi operativi, hypervisor, runtime per container, firewall, sistemi di rilevamento delle intrusioni, VPN, sistemi di gestione delle identità, gestori di password, gestori di avvio, infrastrutture a chiave pubblica, sistemi di gestione di rete né altra classe importante o critica.

Rientrano pertanto nella categoria predefinita, in cui la conformità è stabilita dal fabbricante con la procedura di controllo interno del modulo A e non da un organismo notificato. Per il vostro fascicolo, ciò significa che integrare i nostri componenti non trascina di per sé il vostro prodotto in una classe superiore di valutazione della conformità. La classificazione del vostro prodotto dipende da ciò che esso fa.

Chi risponde di cosa

Voi siete il fabbricante del prodotto che immettete sul mercato dell'UE, e la marcatura CE e la dichiarazione di conformità di quel prodotto sono vostre. Due articoli disciplinano il rapporto fra noi:

Articolo 13(5). Dovete esercitare la dovuta diligenza nell'integrare componenti provenienti da terzi, affinché non compromettano la cibersicurezza del vostro prodotto. Quanto segue è ciò che forniamo a tale scopo.

Articolo 13(6). Se individuate una vulnerabilità in un componente che avete integrato, dovete segnalarla a chi lo mantiene. Per il nostro codice, quel canale è descritto nella nostra politica di divulgazione delle vulnerabilità.

Cosa forniamo per la vostra due diligence

Codice sorgente completo. Ogni licenza include il codice sorgente Delphi e C++ Builder completo dei componenti che utilizzate. Non vi si chiede di fidarvi di un binario, potete rivedere, verificare, strumentare e ricompilare tutto ciò che distribuite. Per una valutazione ai sensi dell'allegato I questa è la prova più solida che un fornitore di componenti possa offrire, e la maggior parte dei produttori commerciali di componenti non la offre.

Un SBOM su richiesta. L'allegato I, parte II, punto 1 ci impone di redigere una distinta base che copra almeno le dipendenze di primo livello e di conservarla nella nostra documentazione tecnica, non ci impone di pubblicarla. Manteniamo la nostra in formato CycloneDX per ogni release e la forniamo su richiesta, così può confluire direttamente nel vostro inventario. Richiedetela tramite la nostra pagina sulla sicurezza.

Una politica di divulgazione coordinata delle vulnerabilità. Pubblicata, con un punto di contatto unico, tempi obiettivo per la conferma di ricezione e la valutazione, e una finestra di divulgazione, come richiesto dall'allegato I, parte II, punto 5.

Uno storico delle modifiche documentato. Ogni release include un file di storico che registra cosa è cambiato, comprese le modifiche rilevanti per la sicurezza, così avete una traccia scritta di cosa è stato corretto e quando.

Un periodo di supporto. Le correzioni di sicurezza di una versione maggiore restano disponibili per almeno cinque anni dalla sua pubblicazione, il che soddisfa il minimo dell'articolo 13(8).

Sicuro per impostazione predefinita

L'allegato I, parte I, richiede che un prodotto sia fornito con una configurazione sicura per impostazione predefinita, che si protegga dalla negazione del servizio e che la sua superficie di attacco sia ridotta al minimo. Questo lavoro è già visibile nel prodotto. Le release recenti hanno fatto sì che il server WebSocket limiti la frequenza dei frame di controllo in ingresso, che delimiti il numero di connessioni simultanee anziché accettarne un numero illimitato, che il server HTTP/2 disponga di una dimensione massima del corpo della richiesta e che siano ristrette le origini browser autorizzate a chiamare un server MCP. La sicurezza del trasporto è disponibile tramite OpenSSL oppure, su Windows, tramite SChannel senza alcuna libreria esterna da distribuire. Queste impostazioni predefinite sono state irrigidite perché sono quelle giuste, non perché lo imponesse una scadenza.

Cosa stiamo preparando

In vista delle scadenze sopra indicate stiamo lavorando alla documentazione tecnica descritta nell'allegato VII, alla dichiarazione di conformità UE dell'allegato V, alla marcatura CE ove ci riguardi, alle informazioni e istruzioni per l'utente dell'allegato II e al processo interno per gli obblighi di segnalazione dell'articolo 14 che iniziano a settembre 2026. Pubblicheremo qui i risultati man mano che saranno completati. Le norme armonizzate del Regolamento sono ancora in fase di redazione e ci allineeremo ad esse non appena saranno disponibili.

Questionari per i fornitori

Se il vostro team di conformità dispone di un modulo di valutazione dei fornitori, di un questionario sui componenti o di una richiesta di SBOM, inviatelo tramite il nostro modulo di contatto, indicando prodotto, edizione e versione in uso, e lo compileremo con le risposte specifiche per la vostra build.