Il CRA chiede di sapere di che cosa è fatto il Suo prodotto.
Per chi produce, importa o integra prodotti con elementi digitali: HodeiShield acquisisce lo SBOM dei fornitori o di un asset proprio, lo incrocia con i CVE e Le invia un’allerta per componente. Non sostituisce la Sua documentazione tecnica né la Sua notifica.
- SBOM solo in JSON (CycloneDX o SPDX), con caricamento autenticato
- Dati nell’UE (OVH, Gravelines); Cloudflare (USA) lungo il percorso della richiesta
Che cosa richiede il CRA, in breve
Il CRA fissa requisiti di cybersicurezza per i prodotti con elementi digitali lungo tutto il loro ciclo di vita.
Riepilogo informativo, non consulenza legale. Se il Suo prodotto rientri nell’ambito e in quale categoria dipende dal testo ufficiale.
- Sapere di che cosa è fatto
- Il produttore identifica e documenta le vulnerabilità e i componenti del prodotto, compresa una distinta base del software (SBOM) in un formato di uso comune e leggibile da dispositivo automatico (allegato I, parte II).
- Diligenza con i componenti di terze parti
- Chi integra componenti di terze parti deve agire con la dovuta diligenza affinché non compromettano la cybersicurezza del prodotto (articolo 13).
- Correggere e notificare
- Le vulnerabilità vengono corrette senza indugio, anche con aggiornamenti di sicurezza (allegato I, parte II). Le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza del prodotto vengono notificati contemporaneamente al CSIRT coordinatore e all’ENISA tramite la piattaforma unica di segnalazione, con un preallarme entro 24 ore (articolo 14).
- Documentare e marcare
- Documentazione tecnica, valutazione di conformità e marcatura CE secondo la categoria del prodotto. Un servizio cloud di per sé (SaaS) resta in linea di principio fuori dal suo ambito, ma il trattamento a distanza dei dati di cui un prodotto ha bisogno per funzionare fa parte di quel prodotto (articolo 3, punto 2, e considerando 11 e 12).
Dallo SBOM alle evidenze sui componenti
I passaggi che la piattaforma copre e quelli che restano di Sua competenza.
1
Non copertaOttenere lo SBOM
Lo genera la Sua build o Le viene fornito dal fornitore. HodeiShield non lo genera a partire dal codice.
2
DirettaCaricamento autenticato
SBOM in JSON CycloneDX o SPDX, associato a un fornitore o a un asset proprio.
3
DirettaIncrocio con i CVE
I componenti vengono confrontati con OSV.dev e con la sincronizzazione giornaliera dei CVE e di CISA KEV.
4
DirettaAllerta per componente
Il CVE che interessa un componente diventa un’allerta collegata al fornitore, instradata verso le Sue destinazioni.
5
DirettaInventario e download
I componenti e il loro stato rispetto ai CVE restano consultabili per fornitore, e lo SBOM originale può essere scaricato.
6
Non copertaCiò che resta a Suo carico
Documentazione tecnica e notifica CRA: correggere, notificare all’ENISA o al CSIRT e mantenere il fascicolo.
Lo SBOM non viene attestato: il Trust Center non ne firma il contenuto.
Da ogni obbligo del CRA a una capacità di HodeiShield
Con la fase del ciclo e la reale portata di ciascuna.
Diretta: lo svolge la piattaforma. Parziale: fornisce evidenze o una parte, il resto spetta a Lei. Non coperta: resta fuori da HodeiShield.
- Obbligo:
Identificare e documentare i componenti, compreso uno SBOM
Allegato I, parte II
Che cosa fa HodeiShield:Acquisisce e analizza lo SBOM di un fornitore o di un asset proprio. Non lo genera a partire dal codice sorgente.
Docs · Catena SBOM, CVE e allerta (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Affrontare le vulnerabilità senza indugio
Allegato I, parte II
Che cosa fa HodeiShield:Allerte per componente con CVE, KEV, probabilità di sfruttamento (EPSS) e raggio d’impatto. Le allerte vengono instradate verso 9 destinazioni e notificano o creano un ticket nel Suo sistema secondo la Sua regola. Non è remediation.
Docs · Connettori (si apre in una nuova scheda)FasePREDICTACTCoperturaParziale - Obbligo:
Sapere se una vulnerabilità è sfruttata attivamente
Art. 14
Che cosa fa HodeiShield:Contrassegna i componenti con CVE nel catalogo CISA KEV. La notifica all’ENISA e al CSIRT spetta a Lei.
Docs · Motore di rischio (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Dovuta diligenza con i componenti di terze parti
Art. 13
Che cosa fa HodeiShield:Questionari ai fornitori, scansione esterna periodica e SBOM nello stesso grafo delle dipendenze dichiarate.
Docs · Catena SBOM, CVE e allerta (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaParziale - Obbligo:
Raccogliere le evidenze sui componenti
Allegato VII
Che cosa fa HodeiShield:Inventario dei componenti di ciascuno SBOM con il loro stato rispetto ai CVE, e download dello SBOM originale. Non è la documentazione tecnica né la dichiarazione UE di conformità.
Docs · Catena SBOM, CVE e allerta (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Politica di divulgazione coordinata delle vulnerabilità
Allegato I, parte II
Che cosa fa HodeiShield:Fuori da HodeiShield.
FaseFuori dal cicloCoperturaNon coperta - Obbligo:
Valutazione di conformità, dichiarazione UE e marcatura CE
Cap. III
Che cosa fa HodeiShield:Fuori da HodeiShield.
FaseFuori dal cicloCoperturaNon coperta
Ciò che HodeiShield non fa con il CRA
Che cosa aspettarsi e che cosa no.
Non genera il Suo SBOM
Acquisisce SBOM in JSON CycloneDX o SPDX. Non li costruisce a partire dal Suo repository né dalla Sua compilazione.
Non notifica all’ENISA né al CSIRT
Le dice quali componenti hanno CVE e quali sono in KEV. La notifica delle vulnerabilità sfruttate e degli incidenti gravi la effettua Lei.
Non sostituisce la documentazione tecnica né la marcatura CE
L’inventario raccoglie le evidenze sui componenti. La valutazione di conformità e la dichiarazione UE restano di competenza del produttore.
Non monitora in modo continuo
La sincronizzazione dei CVE è giornaliera e l’incrocio avviene con lo SBOM che ha caricato. Uno SBOM non aggiornato dà un risultato non aggiornato.
Domande sul CRA
Per produttori, importatori e integratori.
HodeiShield genera lo SBOM del mio prodotto?
No. Acquisisce SBOM in JSON CycloneDX o SPDX che carica Lei o che Le fornisce un fornitore, li incrocia con i CVE e avvisa per componente.
Quali evidenze sui componenti fornisce?
L’inventario dei componenti di ciascuno SBOM con il loro stato rispetto ai CVE, e il download dello SBOM originale. Non è la Sua documentazione tecnica né la dichiarazione UE di conformità.
Quando si applica il CRA?
Il Regolamento (UE) 2024/2847 è entrato in vigore il 10 dicembre 2024. Le norme sugli organismi di valutazione della conformità (capo IV) si applicano dall’11 giugno 2026, gli obblighi di notifica dei produttori (articolo 14) dall’11 settembre 2026, anche ai prodotti immessi sul mercato prima dell’11 dicembre 2027, e il resto dall’11 dicembre 2027 (articoli 69 e 71).
Utilizzo solo software di terze parti. Mi riguarda?
Il CRA si rivolge a produttori, importatori e distributori di prodotti con elementi digitali. Se utilizza soltanto software, Le arriva attraverso i Suoi fornitori e i Suoi obblighi sulla supply chain, ad esempio in NIS2.
Lo SBOM viene attestato?
No. Lo SBOM serve a rilevare i CVE e ad allertare, ma il Trust Center non ne firma il contenuto.
Carichi uno SBOM e veda quali componenti La espongono
Nella demo acquisiamo uno SBOM di esempio, lo incrociamo con i CVE e arriviamo all’inventario dei componenti.
Senza impegno. Dati di esempio.