Pronti per il Cyber Resilience Act in un pomeriggio.

Non ancora. Il generatore produce i 13 documenti in inglese o francese. Entrambe le versioni citano l'articolo del regolamento da cui deriva ogni clausola, così una verifica con il proprio consulente abituale resta breve.

I SaaS puri, i siti web e i servizi online non sono «prodotti con elementi digitali» (Considerando 12). A questi può applicarsi invece la NIS2. Ma se viene fornito anche un client (app mobile, app desktop, agente, SDK, dispositivo) e il back end è progettato internamente ed è necessario per una delle sue funzioni, quella «elaborazione remota dei dati» rientra nell'ambito di applicazione insieme al prodotto. Il test dell'ambito di applicazione spiega il ragionamento.

Il software libero e open source fornito fuori da un'attività commerciale è escluso dall'ambito di applicazione (Considerando 18). La monetizzazione lo fa rientrare. Questo significa supporto a pagamento, doppia licenza, oppure un'azienda che controlla il progetto e vende servizi collegati. Fondazioni e package steward beneficiano di un regime alleggerito (Articolo 24). Il kit prevede un percorso specifico per il ruolo di «open-source software steward».

L'articolo 14 diventa applicabile. Si ipotizzi che si venga a conoscenza del fatto che una vulnerabilità del prodotto è attivamente sfruttata, oppure di un incidente grave che ne compromette la sicurezza. Vanno quindi trasmessi un'allerta precoce entro 24 ore, una notifica entro 72 ore e una relazione finale, tramite la piattaforma unica di segnalazione dell'ENISA, e vanno informati gli utenti interessati. Se non accade nulla, non è necessario presentare alcuna comunicazione. Ma account, ruoli, procedura e modelli devono essere pronti prima che ciò accada. Il resto del Regolamento si applica dall'11 dicembre 2027.

L'articolo 64 si applica dall'11 dicembre 2027. Le microimprese e le piccole imprese sono nell'ambito di applicazione e vengono sanzionate in modo proporzionato. Non possono essere sanzionate per il solo mancato rispetto dell'allerta precoce entro 24 ore (Articolo 64(10)), ma la notifica entro 72 ore e la relazione finale restano comunque vincolanti. Anche le aziende extra-UE che vendono nell'UE sono nell'ambito di applicazione. Gli importi esatti sono indicati nella guida.

Il fattore che attiva il CRA è l'essere «attivamente sfruttata». Il catalogo Known Exploited Vulnerabilities è l'elenco pubblico più completo delle vulnerabilità con exploit confermato. Una vulnerabilità presente nel catalogo KEV in un componente distribuito non è automaticamente segnalabile, poiché va prima verificato se il prodotto ne è effettivamente esposto. Ma è il segnale per avviare l'albero decisionale lo stesso giorno.

No, in entrambi i casi. CRA Kit genera documenti operativi a partire dal testo del Regolamento e dalle risposte fornite, con riferimenti agli articoli per poter verificare ognuno di essi. La conformità dipende da come questi documenti vengono utilizzati: pubblicandoli, presidiando il processo, tenendo il registro, correggendo ciò che non funziona e segnalando quando necessario. Per i prodotti importanti o critici (Allegato III/IV), o in qualsiasi situazione con un'esposizione legale reale, è opportuno far verificare l'output da un avvocato.

Da nessuna parte. Lo scanner analizza i file nel browser e invia solo i nomi dei pacchetti e le versioni a OSV.dev. Il modulo del kit viene salvato nel local storage del browser. La generazione dei documenti avviene localmente. Le chiavi di licenza sono verificate da una piccola funzione presente sul sito, che interroga Creem. Non viene gestito alcun database.

Prima dell'acquisto è possibile consultare per intero tre documenti e l'inizio degli altri, e gli strumenti gratuiti restano comunque disponibili. Il kit è venduto a professionisti, quindi il diritto di recesso di 14 giorni previsto per i consumatori non si applica: per lo sblocco è necessario confermare l'acquisto nell'esercizio della propria attività professionale e richiedere la consegna immediata. Il piano generato registra tale dichiarazione. In caso di malfunzionamento, scrivere per ottenere una correzione o un rimborso.