Cyber Resilience Act: nuove linee guida ENISA su SBOM e aggiornamenti sicuri
L'ENISA ha pubblicato advisory tecnici sulle distinte base del software (22 ottobre) e sui meccanismi di aggiornamento sicuri (4 novembre) per il CRA.
L'Agenzia dell'Unione europea per la cibersicurezza (ENISA) ha pubblicato il 22 ottobre 2026 un Technical Advisory for Software Bill of Materials e il 4 novembre 2026 un Technical Advisory on Secure Update Mechanisms. Entrambi sono rivolti ai fabbricanti soggetti al Cyber Resilience Act (CRA), in particolare alle PMI. Sono linee guida, non norme, e non danno presunzione di conformità.
Cosa cambia
Il CRA richiede una SBOM in un formato comune e leggibile da macchina, che copra almeno le dipendenze di primo livello, e un'autorità di vigilanza del mercato può chiederla (allegato I, parte II, e allegato VII). Gli aggiornamenti di sicurezza vanno distribuiti in modo sicuro, senza ritardo e gratuitamente, ove possibile separati da quelli funzionali. L'ENISA mostra ora come farlo in pratica:
- SBOM: usare CycloneDX o SPDX, generare una SBOM a ogni build, poi validarla, firmarla, conservarla e mantenerla. Conservare le evidenze per audit e richieste delle autorità e registrare le lacune nella copertura.
- Aggiornamenti: firmare i metadati e proteggere le chiavi, accettare aggiornamenti solo da fonti attendibili su connessioni cifrate e rifiutare metadati obsoleti o riprodotti. Installare gli aggiornamenti di sicurezza automaticamente per impostazione predefinita, ove possibile, e pubblicare un avviso chiaro con ogni correzione.
Date chiave
- 11 settembre 2026: la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi tramite la piattaforma unica di segnalazione dell'ENISA si applica già. Le dichiarazioni congiunte UE sulle vulnerabilità critiche di PHP (21 ottobre) e sugli incidenti ai sistemi di refrigerazione (4 novembre) lo hanno ricordato ai fabbricanti.
- 11 dicembre 2027: il CRA si applica integralmente, comprese SBOM, aggiornamenti sicuri e un periodo di assistenza di almeno cinque anni, salvo che il prodotto sia destinato a un uso più breve (articolo 13, paragrafo 8).
Approfondisci: Cyber Resilience Act: le segnalazioni sono attive.
Cosa fare ora
Censisci i prodotti nell'ambito, produci una SBOM per ogni release e verifica chi può firmare un aggiornamento e come i dispositivi lo controllano. Dazr Compliance raccoglie tutto in un modulo CRA: classificazione dei prodotti, caricamento di SBOM in CycloneDX o SPDX JSON con controllo delle vulnerabilità note, scadenze di segnalazione dell'articolo 14 e documentazione tecnica dell'allegato VII.
Fonti
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 7 novembre 2026.
Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål