Mitsubishi Electric Europe B.V. ha recentemente rivolto a tutti i costruttori di macchine un invito chiaro a seguire scadenze e requisiti contenuti nel CRA (Cyber Resilience Act) in materia di sicurezza informatica.
Introdotto per la prima volta dall’Unione Europea (UE) il 10 dicembre 2024, il CRA stabilisce requisiti obbligatori in materia di sicurezza informatica. I produttori e i rivenditori devono integrare tali requisiti nella pianificazione, nella progettazione, nello sviluppo e nella manutenzione dei prodotti dotati di una componente digitale per poter continuare a venderli nei mercati dell’UE.
Sebbene gli obblighi principali della legge non entrino in vigore fino all’11 dicembre 2027, l’obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi si applicherà già dall’11 settembre 2026. A partire da tale data, i costruttori di macchine dovranno rispettare una procedura di segnalazione articolata su tre livelli presso l’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) e i relativi team di risposta agli incidenti di sicurezza informatica.
Sono previsti obblighi di notifica da adempiere entro 24 ore, 72 ore e 14 giorni dal verificarsi di un incidente.
Agire tempestivamente è presupposto di conformità al CRA
Frederik Kok, esperto senior di sicurezza informatica di Mitsubishi Electric Europe B.V, ha recentemente esortato i costruttori ad agire tempestivamente per assicurarsi di essere pronti per garantire la piena conformità ai nuovi obblighi normativi scattati l'11 settembre 2026.
«Mentre i costruttori di macchine che sono già conformi alla direttiva NIS2 dell’UE si troveranno in una posizione di vantaggio per soddisfare i requisiti di segnalazione delle vulnerabilità previsti dal CRA, molti altri dovranno invece sviluppare da zero le capacità di segnalazione necessarie», spiega Kok.
«È comprensibile che l’imminente scadenza possa sembrare una prospettiva scoraggiante per queste organizzazioni. Riconosciamo che districarsi tra i vari requisiti potrebbe rivelarsi un compito arduo. Pertanto, siamo pronti a supportare i costruttori per garantire la conformità ed evitare sanzioni severe, che potrebbero ammontare fino a 15 milioni di euro o al 2,5% del loro fatturato annuo globale, a seconda di quale dei due importi sia maggiore».
Il consiglio di Mitsubishi Electric per i costruttori di macchine è quello di visitare il sito web dell’Agenzia dell’Unione europea per la sicurezza informatica (ENISA), responsabile della creazione e della gestione della Piattaforma unica di segnalazione (SRP) del CRA.
L’ENISA ha inoltre lanciato una pagina web con le domande più frequenti sugli obblighi di segnalazione e sullo sviluppo della Piattaforma unica di segnalazione del CRA (SRP) | ENISA.
Vulnerabilità e CRA: come si assegnano gli identificatori CVE
Inoltre, in qualità di Autorità di numerazione CVE (CNA), Mitsubishi Electric è autorizzata, nell’ambito del programma globale CVE (Common Vulnerabilities and Exposures), ad assegnare identificatori CVE alle vulnerabilità che interessano i prodotti di sua competenza. Può inoltre pubblicare le informazioni in un formato standardizzato e riconosciuto a livello internazionale.
«Lo status di Mitsubishi Electric come CNA riflette la nostra esperienza pratica nella gestione delle vulnerabilità e significa che siamo nella posizione ideale per supportare i costruttori di macchine nell’adempimento dei loro obblighi previsti dal CRA», continua Kok. «Esorto i costruttori di macchine a contattarci quanto prima per prepararsi adeguatamente agli obblighi previsti dal Cyber Resilience Act».
