CRA assessment support

Il Cyber Resilience Act è entrato in vigore nel 2024, con obblighi progressivi che si applicheranno nel tempo.

Le principali scadenze includono:

• 11 settembre 2026: obbligo di gestione e segnalazione delle vulnerabilità
• 11 dicembre 2027: piena applicazione dei requisiti del CRA per i prodotti con elementi digitali
• 11 giugno 2028: termine del periodo di transizione per i dispositivi certificati ai sensi della Direttiva RED

Questo significa che le aziende devono iniziare ad adattare in anticipo i propri processi di sviluppo, manutenzione e operatività per evitare ritardi, sanzioni o il blocco dell’accesso al mercato.

Una preparazione tempestiva è fondamentale, soprattutto per le piattaforme embedded con cicli di vita lunghi.

Supporto end‑to‑end per il Cyber Resilience Act

DAVE Embedded System fornisce un supporto completo alla conformità CRA, combinando competenze tecniche, strumenti dedicati e supporto a lungo termine per prodotti embedded.

Il nostro approccio è pratico, orientato all’ingegneria e pienamente allineato alle esigenze reali degli ambienti industriali ed embedded.

Security Assessment

Iniziamo con una valutazione della sicurezza orientata al CRA del vostro prodotto, che include:

• Analisi dell’architettura e della superficie d’attacco
• Revisione dei componenti software e hardware
• Identificazione dell’applicabilità del CRA e classificazione del prodotto
• Gap analysis rispetto ai requisiti essenziali del CRA

Il risultato è una roadmap chiara, con requisiti definiti e azioni prioritarie.

Security by Design

DAVE supporta l’integrazione dei principi di security by design direttamente nell’architettura embedded fin dalle fasi iniziali.

I servizi tipici includono:

• Secure boot e root of trust
• Funzionalità di sicurezza hardware (TPM, HSM, secure elements)
• Conservazione sicura delle chiavi e accelerazione crittografica
• Hardening di bootloader, kernel e userspace
• Progettazione di aggiornamenti OTA sicuri
• Meccanismi di identità del dispositivo e autenticazione

Allineando sicurezza hardware e software, aiutiamo a ridurre la superficie di attacco e i costi di manutenzione nel lungo periodo.

Vulnerability Monitor

Il CRA richiede un monitoraggio continuo delle vulnerabilità e una risposta strutturata.

DAVE fornisce un servizio di vulnerability monitoring per piattaforme embedded che include:

• Tracciamento delle vulnerabilità note che impattano i componenti hardware e software
• Valutazione del rischio e prioritizzazione in base alla configurazione specifica
• Supporto alla pianificazione delle misure di mitigazione

In questo modo, la sicurezza non si interrompe con il rilascio del prodotto.

Monitoraggio SBOM / HWBOM

Il monitoraggio delle vulnerabilità su SBOM e HWBOM è un requisito centrale del CRA.

Supportiamo:

• Generazione, manutenzione e scansione delle vulnerabilità della Software Bill of Materials (SBOM)
• Generazione, manutenzione e scansione delle vulnerabilità della Hardware Bill of Materials (HWBOM)
• Mappatura delle vulnerabilità su componenti e versioni specifiche
• Aggiornamenti coerenti con il ciclo di vita del prodotto

Questo consente una valutazione rapida dell’impatto e una documentazione di conformità trasparente.

BSP Maintenance

La manutenzione nel tempo di una Board Support Package (BSP) sicura è una delle principali sfide del CRA.

DAVE offre servizi di manutenzione BSP a lungo termine, tra cui:

• Aggiornamenti di kernel, bootloader e distribuzione
• Stream di aggiornamenti stabili e periodici per l’intero ciclo di vita del prodotto
• Strategie di manutenzione indipendenti dal fornitore

Aiutiamo a garantire che le piattaforme rimangano sicure e conformi per anni, non solo al momento del lancio.

Automatic Testing and Publishing

Per supportare rilasci sicuri e ripetibili, DAVE integra:

• Pipeline di build automatizzate
• Test di regressione con focus sulla sicurezza
• Controlli su vulnerabilità e dipendenze
• Workflow controllati di generazione e pubblicazione delle immagini
• Test automatici su hardware reale (Hardware‑In‑the‑Loop)

L’automazione riduce gli errori umani, accelera le attività di conformità e garantisce coerenza tra le release.

Reporting e Documentazione

Il CRA attribuisce grande importanza alla documentazione tecnica e alle evidenze di conformità.

DAVE supporta la creazione e il mantenimento di:

• Documentazione tecnica allineata al CRA
• Descrizioni dell’architettura di sicurezza
• Procedure di gestione delle vulnerabilità
• Politiche di aggiornamento e supporto
• Report di conformità pronti per audit

La documentazione è pensata non solo per le autorità di controllo, ma anche per clienti, partner e stakeholder interni.