Cyber Resilience Act: fondamenti operativi e assessment preliminare

Programma

MODULO FORMATIVO - 4 ore

• Logiche del Cyber Resilience Act e perimetro di applicazione
• Cosa si intende per prodotto con componente digitale
• Criteri di inclusione ed esclusione
• Ruoli e responsabilità lungo la filiera
• Requisiti tradotti in pratica
• Principi di sicurezza applicati al prodotto
• Gestione del ciclo di vita e delle vulnerabilità
• Implicazioni operative per sviluppo, IT e business
• Lettura strutturata dei requisiti in chiave organizzativa
• Principali aree di valutazione: governance, sviluppo, sicurezza, gestione vulnerabilità, documentazione
• Introduzione alle logiche di valutazione e scoring
• Preparazione all’assessment preliminare
• Come utilizzare il modello di assessment
• Quali informazioni raccogliere
• Come approcciare una prima autovalutazione

ASSESSMENT PRELIMINARE INDIVIDUALE - 4 ore on line per ciascuna azienda

• Prima valutazione introduttiva dello stato dell’organizzazione rispetto al CRA
• Analisi mirata del contesto aziendale specifico
• Individuazione delle principali aree di attenzione
• Evidenza dei principali gap rispetto ai requisiti CRA
• Prime indicazioni sulle priorità di intervento
• Base informativa per eventuali analisi strutturate successive

A valle dell’Assessment preliminare individuale è previsto il rilascio di un documento sintetico di output che costituirà una prima restituzione strutturata rispetto agli elementi emersi durante l’analisi. L’obiettivo è fornire all’azienda una base informativa chiara e utilizzabile per orientare le successive valutazioni. In particolare, il report conterrà:
· le principali aree da attenzionare rispetto al contesto specifico dell’azienda, con particolare focalizzazione sui prodotti (hardware con componenti digitali potenzialmente collegato ad una rete);
· l’evidenza dei principali gap o punti di possibile disallineamento rispetto ai requisiti CRA;
· una prima indicazione delle priorità di intervento;
· eventuali raccomandazioni rispetto ad azioni correttive, interventi di miglioramento o assessment più approfonditi da pianificare in una fase successiva.

A chi è rivolto

Il percorso è rivolto a figure aziendali coinvolte nella progettazione, sviluppo, gestione, commercializzazione, acquisto, compliance o valorizzazione di prodotti con componenti digitali, software, hardware, embedded o IT.

Non sono richiesti software specifici. È sufficiente una normale dotazione per la partecipazione al corso e all’assessment: PC o device personale, connessione internet in caso di erogazione da remoto, sistema di videoconferenza se previsto ed eventuale disponibilità di documentazione aziendale utile alla fase di assessment, come informazioni su prodotti, processi di sviluppo, gestione vulnerabilità, documentazione tecnica, supply chain e ruoli interni.

In fase di assessment è utile avere a disposizione, anche in forma preliminare o parziale, la documentazione relativa ai prodotti con elementi digitali oggetto di valutazione, ai processi di sviluppo, alla gestione delle vulnerabilità, agli aggiornamenti software, alla sicurezza by design/by default, alla gestione delle componenti software e delle dipendenze, alla documentazione tecnica di prodotto, alle responsabilità interne e agli eventuali processi di conformità già presenti. Non è necessario che tutta la documentazione sia già completa: l’obiettivo dell’assessment è proprio comprendere lo stato di maturità attuale, identificare eventuali gap e definire le prime priorità di intervento. Forniremo inoltre un questionario propedeutico al pre assessment.