Se la vostra azienda fornisce prodotti con elementi digitali — ad esempio un termostato intelligente, software che accompagna una macchina, o un'app che comunica con un dispositivo — il Cyberresilience Act richiede un dossier che dimostri come è stata garantita la cibersicurezza di quel prodotto. In linea di massima, si tratta di una valutazione dei rischi del prodotto, della documentazione tecnica sul suo funzionamento e la sua protezione, di una panoramica dei componenti software utilizzati, di un processo per la gestione delle vulnerabilità e di una dichiarazione di conformità. La struttura esatta e i nomi si trovano nel testo ufficiale del regolamento; consultate quello, o la vostra autorità di vigilanza, per l'applicazione precisa al vostro prodotto.
Ciò che distingue questo dossier da, ad esempio, un dossier di sicurezza dei prodotti o un dossier sugli imballaggi, è che non è completo al momento della consegna. Un dossier di sicurezza dei prodotti descrive un prodotto come esce dalla fabbrica. Il dossier di cibersicurezza deve anche mostrare ciò che accade dopo quella consegna: come individuate le vulnerabilità, con quale rapidità pubblicate un aggiornamento e come lo documentate. Questo è il dettaglio che gioca il ruolo più importante in questo argomento e dove le aziende abituate a dossier una tantum rischiano più facilmente di inciampare.
Cosa contiene solitamente il dossier
Per la maggior parte dei prodotti con elementi digitali, un dossier di cibersicurezza si riduce a una combinazione dei seguenti componenti. Un'analisi dei rischi che descrive quali rischi cibernetici sono associati al prodotto e come sono stati affrontati. Una panoramica tecnica dell'architettura, includendo quale software e quali componenti di terzi vi sono contenuti — spesso indicati come software bill of materials, un elenco di tutti i componenti software del prodotto. Una descrizione del processo mediante il quale individuate, valutate e remediate le vulnerabilità. E una dichiarazione in cui indicate che il prodotto soddisfa i requisiti vigenti.
Se il vostro prodotto ha bisogno esattamente di questi documenti e in quale forma dipende dal tipo di prodotto e dalla categoria in cui rientra. Questa è una questione sostanziale che esce dall'ambito di ciò che reglia fa; per questo il testo del regolamento o un avvocato è il punto di riferimento più appropriato. Un primo orientamento sugli obblighi che potrebbero applicarsi al vostro tipo di attività si trova presso la panoramica delle piattaforme collegate.
Perché il processo di aggiornamento merita attenzione particolare
Molti degli altri dossier che appartengono a un'azienda sono essenzialmente un'istantanea: li compilate, li conservate e li aggiornate se qualcosa di sostanziale cambia. Il dossier di cibersicurezza richiede qualcosa di diverso: un processo continuo che potete anche dimostrare. Chi segnala una vulnerabilità, entro quale termine viene valutata e come un aggiornamento raggiunge l'utente? Non è qualcosa che scrivete una volta e poi lasciate stare — è una parte del dossier che continua a svilupparsi fintanto che il prodotto è in uso.
In pratica, questo significa che il dossier contiene due tipi di informazioni: documenti fissi che cambiano quando il prodotto stesso cambia e un registro continuo che cresce con ogni aggiornamento o segnalazione. Le aziende che non fanno questa distinzione corrono il rischio che il dossier sulla carta sia completo ma nella pratica non mostri come la sicurezza è stata mantenuta dopo la consegna. Se e come questo si applica al vostro prodotto lo valutate meglio insieme a un avvocato o all'ente competente in materia.
Un dossier, ma non l'unico vostro obbligo
Un prodotto con elementi digitali che vende ai consumatori tocca spesso nella pratica più della sola Cyberresilience Act. Gli stessi dati sul prodotto — specifiche tecniche, paese di destinazione, responsabile all'interno della sua azienda — ricompaiono anche in sicurezza dei prodotti, in imballaggi e a volte in protezione dei dati personali. Reglia non compila essa stessa la normativa, ma fa sì che lei compili una volta un dossier aziendale e dei prodotti e che le piattaforme che si occupano effettivamente dei contenuti leggano quel dossier invece che lei lo digiti quattro volte. Come funziona esattamente e cosa reglia fa e non fa con quei dati, lo legga su la spiegazione del funzionamento di reglia.
Chi vuole sapere come i dati vengono protetti e chi vi ha accesso, lo trova su la pagina su sicurezza e privacy. Creare un account è gratuito e non la impegna a nulla; quello che successivamente utilizza presso una piattaforma, lo paga lì, al tariffario che quella piattaforma applica.
Curioso di sapere quali piattaforme sono collegate a reglia e quale parte della sua azienda riguarda ciascuna? Consulti le domande più frequenti su reglia oppure dia un'occhiata alla panoramica delle soluzioni disponibili.