Il CRA riguarda anche te? Il perimetro dei prodotti digitali

Se la tua macchina ha un PLC collegato in rete, il Cyber Resilience Act ti riguarda. Il Regolamento (UE) 2024/2847 definisce il perimetro dei "prodotti con elementi digitali" in modo volutamente largo, e molti fabbricanti di macchine scoprono di rientrarci senza averlo previsto.

Cosa intende il CRA per "prodotto con elementi digitali"

La definizione copre hardware, software, o la combinazione dei due, quando includono una connessione, diretta o indiretta, a un dispositivo o a una rete. Non conta se il prodotto è "nato digitale" o se il collegamento in rete è un'aggiunta successiva.

Questa ampiezza è una scelta precisa del legislatore. Il Regolamento (UE) 2024/2847 non vuole lasciare fuori dal perimetro prodotti che, di fatto, espongono superfici di attacco informatico solo perché non sono nati come dispositivi IoT.

Le esclusioni: non dare nulla per scontato

Il CRA esclude prodotti già coperti da regolamentazione settoriale equivalente in materia di cybersicurezza, alcuni dispositivi medici e il settore automotive. Ma l'esclusione non è automatica per categoria merceologica: va verificata caso per caso, guardando se esiste davvero una normativa settoriale che copre gli stessi rischi in modo equivalente.

Non basta dire "il mio prodotto è un dispositivo medico" per uscire dal perimetro. Serve verificare se quel dispositivo medico specifico ha già requisiti di cybersicurezza equivalenti a quelli del CRA, previsti dalla sua normativa di settore.

se ti affidi a un'esclusione senza verificarla contro il testo del Regolamento (UE) 2024/2847, rischi di scoprire il problema durante un audit, non prima.

Perché il PLC in rete ti mette dentro il perimetro

Una macchina industriale moderna quasi sempre integra un PLC, un HMI o un modulo di comunicazione che si collega a una rete aziendale, a un cloud del fabbricante per la manutenzione predittiva, o anche solo a una porta Ethernet per la diagnostica remota. Questo basta a far rientrare la macchina nella definizione di "prodotto con elementi digitali" del CRA.

Non serve che la macchina sia un prodotto IoT di consumo. Non serve nemmeno che la connessione sia sempre attiva: la definizione copre anche la connessione indiretta, quindi un'interfaccia predisposta per un collegamento futuro può già essere sufficiente a far scattare gli obblighi.

Le tre categorie di criticità

Il CRA classifica i prodotti in tre fasce: default, importante, critica. La fascia determina l'intensità degli obblighi di conformità, non solo la loro esistenza.

I prodotti in fascia default seguono il regime generale di autovalutazione. I prodotti importanti e critici, elencati negli allegati del regolamento, richiedono invece un coinvolgimento più stringente di organismi di valutazione della conformità, con procedure che si avvicinano a quelle già note nel Regolamento Macchine per le funzioni di sicurezza.

Capire in quale fascia cade il tuo prodotto non è un esercizio accademico. Cambia il tipo di documentazione tecnica da produrre, i tempi di certificazione e chi deve firmare cosa.

Cosa significa per te

• Verifica se la tua macchina ha una connessione diretta o indiretta a rete o dispositivo: se sì, parti dal presupposto di rientrare nel CRA.
• Non applicare esclusioni per categoria di prodotto senza controllare se esiste davvero una normativa settoriale equivalente sulla cybersicurezza.
• Identifica in quale fascia di criticità (default, importante, critica) cade il tuo prodotto: cambia il livello di obblighi e chi deve intervenire nella valutazione.
• Coordina la valutazione CRA con quella già in corso per il Regolamento Macchine (UE) 2023/1230: i due impianti normativi si toccano su cybersicurezza e documentazione tecnica.
• Tieni traccia delle fonti: il testo di riferimento è il Regolamento (UE) 2024/2847 su EUR-Lex.

Clausify verifica che la documentazione tecnica della tua macchina rifletta correttamente il regime applicabile, incluso il perimetro del Cyber Resilience Act.