industria automobilistica 
La preparazione per il CRA inizia prima del 2027: come si sta preparando l'ODOT ora.
Il CRA non entrerà in vigore nel 2027.
Quando entrerà effettivamente in vigore l'EU Cyber Resilience Act?
Per molti produttori, Dicembre 2027è ancora considerata la data chiave. Ma la preparazione per la CRA non può essere semplicemente rimandata fino ad allora.
Il Cyber Resilience Act è entrato in vigore.
Gli obblighi di segnalazione previsti dall'Agenzia delle Entrate canadese (CRA) entreranno in vigore.
Gli obblighi principali rimarranno in vigore.
Il Cyber Resilience Act è entrato in vigore il 10 dicembre 2024I suoi obblighi principali si applicheranno a partire da 11 dicembre 2027, mentre gli obblighi di segnalazione previsti dalla CRA inizieranno ad applicarsi da 11 settembre 2026.
Per i produttori di prodotti con cifrain tutti gli elementi, questo significa una cosa sola:
È necessario iniziare i preparativi per la richiesta di informazioni all'Agenzia delle Entrate canadese (CRA) prima del 2027.
Il CRA è molto più di un semplice controllo finale di conformità.
La sicurezza informatica non può essere semplicemente aggiunta a un prodotto dopo che lo sviluppo è stato completato.
Per i produttori di automazione industriale, la preparazione al CRA comporta molto più della semplice esecuzione di un test o della predisposizione di un singolo documento tecnico. Richiede che le considerazioni sulla cybersicurezza diventino parte del ciclo di vita del prodotto: dai requisiti e dallo sviluppo fino alla verifica, alla gestione delle vulnerabilità, agli aggiornamenti e alla documentazione.
All'ODOT, questo è l'approccio che stiamo adottando oggi.
Il nostro lavoro preparatorio si sta progressivamente collegando:
- Revisione dei requisiti di prodotto
- Analisi dell'interfaccia di rete e della superficie di attacco
- Valutazione del rischio di sicurezza informatica
- Controllo del software e delle versioni
- Verifica e collaudo del prodotto
- Tracciabilità del prodotto e del firmware
- Gestione delle vulnerabilità
- Aggiornamenti software
- Documentazione tecnica
L'obiettivo è trasformare i requisiti normativi in azioni ingegneristiche concrete e tracciabili.
Dai requisiti di prodotto alla valutazione del rischio di sicurezza informatica.
La sicurezza informatica inizia molto prima del collaudo finale del prodotto.
Durante la fase di definizione dei requisiti del prodotto, è necessario identificare le considerazioni sulla sicurezza e integrarle nel processo di sviluppo. Interfacce esterne, tra cui porte di rete e comunicazione ProtocolloAnche le interfacce accessibili e altre interfacce simili devono essere considerate parte della potenziale superficie di attacco del prodotto.
Una volta comprese queste interfacce, è possibile identificare, valutare e affrontare i potenziali rischi per la sicurezza informatica.
Il punto fondamentale non è solo prendere decisioni ingegneristiche, ma anche garantire che il ragionamento e le azioni conseguenti rimangano documentati e tracciabili durante l'intero ciclo di vita del prodotto.
La sicurezza informatica continua anche dopo che il prodotto ha lasciato la fabbrica.
La conformità alle normative CRA non si conclude con il lancio di un prodotto.
I prodotti industriali continuano a evolversi attraverso modifiche del firmware, aggiornamenti software e nuove versioni. Quando viene segnalato un problema di sicurezza o una vulnerabilità, i produttori necessitano di processi per ricevere, valutare, risolvere, verificare e documentare il problema.
Ciò rende la gestione delle vulnerabilità un'attività continua, anziché un compito di sviluppo una tantum.
Anche gli aggiornamenti software devono essere controllati e verificati. L'identità del prodotto, che include numero di serie, versione hardware e versione firmware, aiuta a collegare le modifiche, i risultati dei test e le azioni successive alla corretta configurazione del prodotto.
La documentazione fa parte del ciclo di vita
Le valutazioni del rischio, i registri delle versioni, i rapporti di prova, i registri delle vulnerabilità e i registri degli aggiornamenti costituiscono insieme un insieme di prove tracciabili.
La documentazione tecnica, pertanto, non dovrebbe essere considerata la fase amministrativa finale, successiva al completamento del lavoro di progettazione. Essa è parte integrante del ciclo di vita del prodotto stesso.
Al contempo, le norme armonizzate pertinenti sono ancora in fase di sviluppo. L'ODOT continua a seguire il processo di standardizzazione e rivedrà e adeguerà le proprie attività preparatorie man mano che le norme pertinenti saranno disponibili.
ODOT si sta preparando ora
Il CRA non è un singolo test.
Non si tratta di un singolo documento.
E non è responsabilità di un solo dipartimento.
È un ciclo di vita che collega requisiti, valutazione del rischio, sviluppo, verifica, controllo delle versioni, gestione delle vulnerabilità, aggiornamenti e documentazione.
Per questo motivo, ODOT sta già lavorando per tradurre i requisiti di sicurezza informatica in processi pratici di ingegneria e di gestione del ciclo di vita del prodotto.