CYBER RESILIENCE ACT: SCATTA LA PRIMA FASE
L’11 settembre 2026 è entrato in applicazione il primo degli obblighi previsti dal Cyber Resilience Act (CRA), il Regolamento (UE) 2024/2847 sulla cybersecurity dei prodotti con elementi digitali. Da questa data, i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei propri prodotti.
Una novità rilevante anche per il settore della sicurezza degli accessi, dove dispositivi come serrature elettroniche, lettori di credenziali e sistemi di controllo integrano sempre più firmware, software, applicazioni e servizi cloud.
“L’11 settembre 2026 segna un primo passaggio concreto nell’applicazione del Cyber Resilience Act”, commenta Marco Bonometti, Corporate Information Security Officer di ISEO Ultimate Access Technologies. “Per un’azienda come ISEO, questa scadenza si inserisce in una trasformazione che il mercato dell’accesso sta già vivendo”.
Un nuovo approccio alla gestione delle vulnerabilità
Per affrontare i nuovi obblighi, ISEO ha esteso il proprio modello di incident management al perimetro CRA, definendo procedure specifiche per la vulnerability disclosure e notification e attivando un canale per le segnalazioni responsabili.
L’azienda ha inoltre introdotto un “CRA gate”, che permette di valutare già nelle prime fasi di un incidente se un evento coinvolga un prodotto e possa richiedere una notifica. L’approccio è stato adottato a livello di Gruppo, per garantire criteri comuni nella valutazione delle vulnerabilità.
Secondo Bonometti, il CRA rafforza un’evoluzione già in corso: “Non basta più progettare un prodotto sicuro e immetterlo sul mercato. Occorre essere in grado di seguirne il comportamento nel tempo, individuare le vulnerabilità, distribuire gli aggiornamenti e reagire rapidamente quando emerge una minaccia”.
CRA e NIS2, una gestione integrata
Il percorso di adeguamento al CRA si intreccia inoltre con la NIS2, che introduce obblighi specifici sulla sicurezza delle reti e dei sistemi informativi. Sebbene si tratti di normative con ambiti differenti, uno stesso incidente può interessare entrambi i perimetri.
Per questo ISEO ha scelto di adottare un unico modello di incident response, in grado di attivare flussi di gestione e notifica differenti quando necessario. “La sicurezza diventa così una responsabilità continuativa del produttore”, conclude Bonometti, “che deve accompagnare il prodotto durante il suo intero ciclo di vita”.
