CRA pronto per l'11 settembre, senza fermare lo sviluppo

Il contesto

L’11 settembre 2026 scattano gli obblighi del Cyber Resilience Act sulla gestione delle vulnerabilità e la segnalazione degli incidenti: valgono per chi mette in commercio prodotti con elementi digitali, a prescindere dal fatto che il prodotto sia certificato o meno. Un produttore di macchine agricole si è trovato con due problemi sullo stesso tavolo: rispettare quella scadenza sui prodotti digitali già a catalogo, e gestire il CRA su un nuovo prodotto ancora in sviluppo senza rallentarne la progettazione.

La difficoltà non era capire la norma, ma tradurla in qualcosa che un’azienda con un sistema qualità ISO 9001 già rodato potesse adottare senza creare un secondo sistema parallelo da mantenere.

L’approccio

Ho lavorato su due piani in parallelo. Sul piano della scadenza obbligatoria ho prodotto la mappa degli obblighi CRA applicabili, una gap analysis del processo di gestione delle vulnerabilità esistente, e poi i documenti operativi che mancavano: il processo di vulnerability handling, la policy di Coordinated Vulnerability Disclosure, e una checklist puntuale di cosa dover avere pronto prima dell’11 settembre. Per non duplicare il sistema, ho integrato questi processi dentro il SGQ ISO 9001 già in uso, anziché affiancarne uno nuovo.

Sul piano del prodotto pilota ho impostato la classificazione CRA del prodotto e l’analisi del rischio cybersecurity sulle interfacce effettivamente esposte, così da fissare i requisiti di sicurezza quando il prodotto è ancora sul tavolo di progettazione — non a posteriori.

L’esito

L’azienda arriva alla scadenza con i processi obbligatori del CRA operativi e documentati, dentro il sistema qualità che già usava — niente doppio binario da mantenere. Il nuovo prodotto entra in sviluppo con la classificazione e i requisiti di sicurezza già definiti: l’integrazione costa molto meno ora di quanto sarebbe costata a prodotto finito. È esattamente il punto della tesi che porto ai produttori industriali: il requisito normativo, preso in fase di progetto, diventa una decisione di prodotto come un’altra.