ENISA, nell’ambito del Cyber Resilience Act (CRA), ha pubblicato lo SME Cyber Resilience Maturity Assessment Model, ossia un modello di valutazione della maturità della resilienza informatica volto a supportare le PMI.
Il Cyber Resilience Act (CRA – Regolamento (UE) 2024/2847) – che entrerà in vigore nel dicembre 2027 – introduce nuovi requisiti di sicurezza informatica per i prodotti con componenti digitali immessi sul mercato dell’UE.
In particolare, i produttori, i distributori e gli importatori, comprese le micro imprese e le PMI, dovranno garantire che i propri prodotti soddisfino i citati requisiti durante l’intero ciclo di vita del prodotto.
Poiché le PMI costituiscono una parte consistente dell’ecosistema digitale dell’UE, la loro capacità di comprendere e attuare il CRA avrà un ruolo importante nel successo complessivo del Regolamento.
Allo stesso tempo, molte organizzazioni di piccole dimensioni devono affrontare sfide pratiche legate alle risorse, alle competenze, al tempo e alla capacità di attuazione.
Per contribuire ad affrontare queste difficoltà, ENISA sta elaborando delle linee guida pratiche, strumenti e attività di supporto su misura per le realtà e le esigenze delle organizzazioni di piccole dimensioni.
Lo SME Cyber Resilience Maturity Assessment Model previsto per le PMI fornisce un approccio strutturato alle micro, piccole e medie imprese per valutare e rafforzare la propria resilienza informatica complessiva, tenendo conto dei requisiti del CRA.
Il modello di ENISA, si precisa, è destinato principalmente alle organizzazioni che fabbricano e immettono sul mercato prodotti con elementi digitali, poiché queste sono direttamente soggette ai requisiti del Cyber Resilience Act.
Nonostante ciò, può essere utilizzato anche da altre organizzazioni coinvolte nel ciclo di vita del prodotto – come integratori o fornitori di servizi – per valutare e migliorare le proprie pratiche di sicurezza dei prodotti.
Alla luce de fatto che le PMI potrebbero non disporre di team dedicati alla sicurezza e neppure di collaboratori con competenze specifiche, il modello è concepito per essere semplice e pratico.
L’obiettivo del modello è, quindi, aiutare le PMI a comprendere il loro stato di resilienza informatica e identificare i miglioramenti da attuare.
Il modello di ENISA si concentra su cinque ambiti:
- governance e documentazione
- risk management e sicurezza fin dalla progettazione e per impostazione predefinita
- gestione delle vulnerabilità e delle patch
- gestione del ciclo di vita del prodotto
- consapevolezza, competenza e abilità.
Ciascun ambito è suddiviso in cinque livelli di maturità che riflettono le pratiche previste dal CRA e dagli approcci alla sicurezza dei prodotti.
ENISA evidenzia, infine, come nonostante il modello rifletta pratiche a sostegno dell’attuazione del CRA, il possesso di un livello di maturità avanzato non sostituisce gli obblighi legali e non deve essere considerato una prova di conformità. Al contrario, supporta le organizzazioni nel rafforzare la sicurezza dei prodotti e la resilienza informatica nel tempo, in modo strutturato e gestibile.
