📚 Il CYBER RESILIENCE ACT spiegato semplice

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di una rivoluzione nel mondo della sicurezza informatica: il Cyber Resilience Act, il primo regolamento europeo che impone requisiti di cyber security per tutti i prodotti digitali, software o hardware venduti nell'Unione Europea. Se non avete mai sentito parlare del Cyber Resilience Act o CRA, è banalmente perché è entrato in vigore da pochissimo, ovvero a dicembre 2024. E non comporterà obblighi per i produttori fino al 2026. Quindi probabilmente fino a quel momento tutti faranno un po' finta di niente, poi il giorno in cui scatterà l'obbligo ci sarà la corsa alla compliance. Io sicuramente farò anche degli altri video più avanti per parlarne in modo un po' più approfondito, soprattutto quando arriveremo sulla soglia, diciamo, dell'adeguamento. Penso però che intanto possa essere utile capire di cosa si tratta e come cambieranno effettivamente le cose. Quindi se lavorate nello sviluppo software o hardware o nella produzione di prodotti digitali o in un'azienda o in un ente che hanno dei fornitori di prodotti digitali, questo video è assolutamente per voi perché vi spiegherò esattamente cosa cambia, come prepararvi e a cosa prestare attenzione. Prima di iniziare facciamo un attimo un passo indietro. Perché l'Europa ha deciso di creare questa nuova normativa? Immaginate il mercato dei prodotti digitali come una grande città senza delle regole edilizie. Alcuni costruiranno delle case solide e sicure, ma altri sicuramente realizzeranno degli edifici con delle fondamenta fragili, delle porte che non si chiudono, delle finestre senza vetri e così via, perché tutti chiaramente puntano a risparmiare il più possibile. Adesso noi stiamo vivendo in una città digitale senza regole. Ogni giorno vediamo incidenti informatici, vulnerabilità critiche, cyberattacchi che costano miliardi di euro e mettono a rischio i dati e la sicurezza di milioni di persone. Fino ad oggi la sicurezza informatica dei prodotti digitali era principalmente lasciata alle case di produzione, sperando che in qualche modo decidessero di inserire volontariamente dei sistemi di sicurezza. C'erano degli standard volontari, questo sì, delle linee guida, delle best practice, ma non c'era nessun obbligo legale davvero vincolante per assicurare che i dispositivi e i software immessi sul mercato rispettassero dei requisiti anche solo minimi di cybersicurezza. Il risultato ovviamente è stato la realizzazione di un ecosistema digitale pieno di prodotti vulnerabili che rappresentano dei bersagli facilissimi per gli attacchi informatici. E se avete visto il video dell'attacco a Dyn del 2016 sapete bene che non sto assolutamente esagerando. Con il Cyber Resilience Act l'Unione Europea ha deciso di stabilire delle regole precise per i produttori di software, per garantire che tutti i nuovi software e device, quindi anche in realtà i dispositivi hardware, rispettino degli standard minimi di sicurezza. Il CRA è quindi un regolamento dell'Unione Europea che stabilisce dei requisiti di cybersicurezza obbligatori per tutti i prodotti digitali venduti nel mercato europeo. Non deve essere considerata come una normativa a sé stante, ma fa parte di una strategia europea più ampia per la sicurezza informatica. Quindi si collega anche direttamente ad altre normative come la Direttiva NIS 2, che si concentra sulla sicurezza delle reti e dei sistemi informatici, il GDPR che riguarda i dati personali, l'AI Act che regola l'intelligenza artificiale e il DORA per il settore finanziario e per tutte le parti bancarie, assicurative, pensionistiche e così via. Pensate a queste normative come se fossero diversi capitoli di un unico grande libro sulla sicurezza digitale europea. Il Cyber Resilience Act è il capitolo che riguarda specificamente i prodotti digitali. Ma cosa intende esattamente il CRA per prodotti digitali? La definizione che viene data è molto ampia perché comprende gli hardware con componenti software preinstallati, quindi ad esempio una console di gioco o anche solo uno smartphone, I software in sé, ad esempio le applicazioni per telefono o i software che installiamo nel computer come un antivirus. E poi tutti i componenti e i dispositivi venduti da soli senza essere parte di un prodotto più grande, quindi ad esempio una chiavetta USB o una webcam. La condizione fondamentale è che questi prodotti abbiano la possibilità di connettersi direttamente o indirettamente a un dispositivo o a una rete. Facciamo alcuni esempi concreti. Il nostro modem di casa, visto che si connette direttamente a una rete, rientra chiaramente nell'ambito del CRA. Ma anche un semplice termostato smart che possiamo controllare dal cellulare rientra nel CRA. Una macchina fotografica che si può collegare al computer rientra nel CRA. Un'app per smartphone rientra nel CRA e così via. Quindi non solo il prodotto classico che si connette alla rete. Ho detto infatti che la condizione che fa capire se un prodotto è incluso nel Cyber Resilience Act o meno è la possibilità di connettersi direttamente o indirettamente a una rete. Ma cosa si intende con connessione indiretta? Pensiamo a una chiavetta USB usata per trasferire file fra due computer. Anche se non ha una connessione di rete diretta, perché non si collega a una rete, può comunque connettersi a dei dispositivi, cioè computer, che sono connessi a internet. Se la chiavetta è infetta da un malware, può infettare il computer che che si può connettere a internet e diffondere il malware ad altri dispositivi. Quindi l'Unione Europea ha stabilito che anche la chiavetta USB rientra nel CRA. Praticamente quasi ogni prodotto tecnologico moderno rientra in questa definizione. È più facile capire cosa è escluso, ovvero: i software open source forniti gratuitamente, quindi fuori da attività commerciali, i servizi cloud puri disponibili solo da browser, e i prodotti già regolamentati da normative settoriali specifiche sulla cyber security, di cui parlerò comunque fra qualche minuto. Per tutte le case di produzione che sviluppano e commercializzano i prodotti che rientrano nel CRA sono previsti degli obblighi specifici che coprono l'intero ciclo di vita del dispositivo o del software, quindi dalla progettazione al fine vita. Prima di tutto il CRA stabilisce che i prodotti digitali devono rispettare determinati requisiti essenziali di cybersicurezza, quindi dei requisiti minimi, base, che vengono specificati nell'Allegato 1 del regolamento. In particolare è previsto che al momento dell'immissione sul mercato il prodotto non debba contenere delle vulnerabilità già conosciute e sfruttabili. Se ci sono delle falle di sicurezza che la casa di produzione conosce, prima di vendere il prodotto deve risolverle. Inoltre i prodotti devono uscire dalla fabbrica con delle impostazioni già sicure, cioè non devono essere presenti ad esempio delle credenziali preimpostate tipo admin/admin oppure delle password come 1234. Se il dispositivo o il software conterrà poi dei dati sensibili, devono essere implementate delle protezioni aggiuntive basate ad esempio su algoritmi crittografici aggiornati e sicuri, e dovranno essere anche implementate delle misure per impedire degli accessi non autorizzati. Ultimo ma non ultimo, anche in caso di attacco il prodotto deve limitare i danni potenziali, quindi devono essere previste delle misure che contengano un po' l'effetto dell'attacco. È un po' il principio del compartimento stagno nelle navi, nel senso che le navi sono strutturate in modo che anche se una sezione viene allagata le altre restino sicure. I prodotti oggetto del CRAB dovranno seguire un principio simile per fare in modo che i danni si estendano il meno possibile. Oltre a questi requisiti essenziali ci sono anche obblighi specifici per la gestione delle vulnerabilità. In pratica chi produce software o hardware deve impegnarsi a rilasciare aggiornamenti di sicurezza per un periodo minimo di 5 anni. Se però il prodotto è fatto per durare più a lungo, perché ad esempio si tratta di una macchina industriale pensata per durare 10 anni, allora gli aggiornamenti devono essere garantiti per tutta la durata di vita del prodotto. A decidere quanto dovrebbe durare un prodotto è la casa di produzione stessa. Se vendi un computer e dici che è indistruttibile e che durerà 20 anni, benissimo, però devi continuare a tenerlo aggiornato per 20 anni. Nel caso in cui un prodotto già sul mercato venga colpito proprio a causa di una vulnerabilità esistente, il produttore deve notificare le autorità competenti entro 24 ore dalla scoperta e attivarsi immediatamente per identificare, documentare e risolvere tempestivamente le vulnerabilità. Capite ora perché il CRA è così rivoluzionario? Impone una responsabilità continua durante tutto il ciclo di vita del prodotto. È un cambio di paradigma rispetto al passato, perché molti produttori abbandonavano i loro prodotti subito dopo la vendita. Di fatto era così. Inoltre si sposta un po' il focus dall'utilizzatore al produttore. Se un'azienda viene colpita da un hacker che sfrutta la vulnerabilità di un sistema operativo, l'azienda farà comunque una segnalazione, ma anche il produttore del sistema operativo deve assumersi le proprie responsabilità e fare a sua volta una notifica alle autorità. Tra l'altro, prima di mettere un prodotto sul mercato, i produttori dovranno dimostrare la conformità al CRA preparando una documentazione tecnica completa che dica che sono rispettati tutti i requisiti del regolamento. La documentazione tecnica deve includere una descrizione completa del prodotto con le specifiche tecniche, funzionalità, componenti hardware hardware e software utilizzati. È necessaria anche una valutazione dei rischi di cybersicurezza, quindi un'analisi delle potenziali minacce e delle misure adottate per mitigarle. Servono poi prove di conformità, come risultati dei test di sicurezza e certificazioni ottenute, e va incluso un SBOM, cioè un Software Bill of Materials, che consiste in un inventario dettagliato di tutti i componenti software utilizzati, inclusi quelli di terze parti e quelli open source. Quindi anche se i data e software open source non sono soggetti al regolamento, lo diventano per chi prende quei software open source e li introduce all'interno del proprio prodotto. Infine si deve allegare anche un piano di supporto manutenzione con dettagli anche su come verranno forniti gli aggiornamenti di sicurezza durante tutto il ciclo di vita del prodotto e il periodo di supporto minimo di 5 anni. Tutta questa documentazione va conservata per almeno 10 anni dall'immissione sul mercato, o più a lungo se il prodotto è fatto per durare più di 10 anni, e deve essere fornita alle le autorità di vigilanza che ne facciano richiesta, ad esempio durante un'ispezione. Una volta verificata la conformità, il produttore può apporre la marcatura CE sul prodotto, che indica che questo soddisfa tutti i requisiti essenziali del CRA, oltre a quelli di altre chiaramente normative europee applicabili. Visto che comunque non tutti i prodotti sono uguali in termini di rischio per la sicurezza, perché se mi hackerano il frigo è un conto, se mi hackerano il computer è un altro, il CRA introduce delle diversificazioni in basata sul livello di rischio, classificando i prodotti in 3 categorie. La prima categoria è chiamata default e sono i prodotti con rischio base, che rappresentano in realtà circa il 90% dei prodotti digitali sul mercato, come gli elettrodomestici smart, i giocattoli che si connettono a internet, tutto l'IoT, l'Internet of Things, le smart TV, i sensori ambientali. Per questi prodotti il produttore può effettuare una autovalutazione interna della conformità, quindi non ha necessità di una certificazione da parte di terzi. La seconda categoria è prodotti critici classe prima. Sono prodotti con funzioni critiche limitate, come browser, gestori di password, client VPN, ma anche dispositivi smart home di sicurezza base, quindi ad esempio le serrature intelligenti. Per questi prodotti si devono adottare degli standard predefiniti. Se non si adottano standard predefiniti oppure non ci sono degli standard, allora la valutazione di conformità viene fatta da un organismo autorizzato. Quindi non si può fare l'autovalutazione, ma si deve richiedere una certificazione esterna. La terza categoria è quella dei prodotti critici classe seconda. Sono prodotti a più alto rischio d'impatto come i firewall di rete, i sistemi di intrusion detection, i microcontrollori con funzioni crittografiche avanzate. Per questi prodotti ci sono requisiti molto più stringenti ed è obbligatoria la valutazione da parte di un organismo autorizzato di terze parti. La classificazione determina quindi il tipo di valutazione di conformità richiesta prima della marcatura CE. Più alto il rischio, più rigorosa sarà la valutazione necessaria. Per quanto riguarda le scadenze entro cui adeguarsi a questi obblighi, il Cyber Resilience Act prevede un'implementazione graduale, per dare quindi alle aziende il tempo di adeguarsi. La prima data importante è stata il 10 dicembre 2024, quando il CRA è entrato ufficialmente in vigore. Da questa data il regolamento è giuridicamente valido ed esistente, ma gli obblighi non si applicano immediatamente. L'11 giugno 2026 diventeranno applicabili le disposizioni relative agli organismi autorizzati, quelli che possono mettere il bollino di sicurezza sui prodotti, il marchio CE, che vengono anche definiti organismi notificati. In sostanza, gli stati membri possono iniziare ad accreditare gli enti che certificheranno i prodotti quando è richiesta la valutazione esterna, quindi per le due categorie più a rischio. L'11 settembre 2026 entreranno in vigore gli obblighi invece di notifica. Da questa data i produttori dovranno segnalare entro 24 ore le vulnerabilità zero-day sfruttate in degli attacchi oppure gli incidenti di sicurezza significativi. Infine, l'11 dicembre 2026 2027 vedrà l'applicazione definitiva e completa di tutti i requisiti del CRA. Da questa data tutti i prodotti con degli elementi digitali immessi per la prima volta sul mercato devono essere conformi al regolamento. E cosa succede ai prodotti immessi sul mercato prima di dicembre 2027? Il regolamento per questi prevede delle clausole transitorie. I prodotti immessi sul mercato prima dell'11 dicembre 2027 non devono essere ritirati e non devono neanche essere immediatamente adeguati ai nuovi requisiti. Però se un prodotto esistente subisce delle modifiche sostanziali dopo questa data, ad esempio viene fatto un importante aggiornamento software, allora il prodotto così come aggiornato dovrà essere reso conforme al CRA. Gli obblighi di notifica delle vulnerabilità invece si applicano comunque anche per i prodotti messi sul mercato europeo prima di dicembre 2027, quindi come se fossero stati commercializzati dopo. In pratica le aziende produttrici di hardware e software che rientrano nel regolamento hanno ancora circa 2 anni e mezzo per adeguarsi completamente. Può sembrare tanto tempo, ma considerata la portata dei cambiamenti necessari è meglio iniziare subito, almeno a preparare la documentazione. Anche perché le sanzioni sono belle pesantine. Le aziende che violano i requisiti essenziali, cioè quelli minimi di base, rischiano multe fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo. Le aziende che forniscono informazioni false o incomplete alle autorità possono ricevere invece sanzioni fino a 10 milioni di euro o al 2% del fatturato. Per le altre violazioni minori, come ad esempio la mancata notifica entro 24 ore degli incidenti, la sanzione arriva fino a 5 milioni di euro o all'1% del fatturato. Fra l'altro, oltre alle multe, le autorità nazionali potranno anche bloccare la vendita dei prodotti, imporre il ritiro dal mercato o vietare del tutto l'immissione del prodotto nell'Unione Europea. Il bello del CRA, a mio parere, è che impone alle case di produzione un vero e proprio cambiamento culturale. La sicurezza non è più un optional e non è neanche qualcosa da considerare alla fine del processo sviluppo. Deve essere integrata in ogni fase, dalla progettazione alla manutenzione, per tutto il ciclo di vita. Nella progettazione si dovranno fare analisi delle minacce, dei rischi, progettando delle architetture sicure fin dall'inizio. Durante lo sviluppo serviranno pratiche come il secure coding, delle linee guida di sicurezza, l'uso di librerie aggiornate. Nei test sarà necessario condurre static code analysis, fuzz testing, penetration testing, per identificare quindi tutte le vulnerabilità prima del rilascio. Al momento del rilascio occorrerà fare una verifica finale della sicurezza, eliminando tutte le eventuali vulnerabilità che sono emerse nelle fasi precedenti. Poi nella manutenzione servirà monitoraggio continuo, una gestione proattiva delle vulnerabilità e anche rilascio tempestivo di tutti gli aggiornamenti di sicurezza necessari. Un aspetto cruciale del CRA è la responsabilità sull'intera catena di fornitura. Se utilizzate componenti hardware o software di terze parti nei vostri prodotti, siete responsabili anche della sicurezza di queste parti. Questo comporta un enorme cambiamento anche nella gestione dei fornitori. Non basta più scegliere in base al prezzo e alle prestazioni. Ora la sicurezza diventa uno dei criteri fondamentali, come prezzo e le prestazioni, perché nel software bill of materials, quello che ho citato prima, devono essere inclusi tutti i componenti software utilizzati per poter tracciare rapidamente eventuali vulnerabilità. E se un componente terzo che io inserisco nel mio prodotto ha delle falle, devo trovare il modo per eliminarle, perché altrimenti sono responsabile anch'io. Quindi eventualmente cambierò però anche fornitore se serve. Riguardo all'ambito di applicazione del regolamento, come accennavo qualche minuto fa, il CRA ha un ambito di applicazione molto ampio, ma prevede alcune esclusioni importanti per settori che sono specifici e sono già regolamentati in materia di cybersecurity. Tra i settori esclusi troviamo i dispositivi medici, che sono regolati da Regolamento su Dispositivi Medici, che si chiama MDR, e da Regolamento su Dispositivi Medico-Diagnostici in vitro, che si chiama IVDR, che già includono dei requisiti di cybersicurezza. Quindi, se preferite, ma mantenerli separati, diciamo, dal CRA. L'automotive è escluso perché ci sono anche in questo caso delle normative specifiche. Sono esclusi poi l'aviazione civile e il settore marittimo, che sono coperti da un'altra direttiva. E infine sono esclusi i prodotti realizzati esclusivamente per difesa e sicurezza nazionale o per gestire delle informazioni classificate. È importante notare che l'esclusione è valida solo se il prodotto è già soggetto alle normative europee che coprono gli aspetti di cyber security. Ad esempio, a un cardiofrequenzimetro classificato come dispositivo medico non si applica il CRA, perché come ho detto non vale per i dispositivi medici. Ma i dispositivi che fanno la stessa cosa per le persone comuni, come il classico Fitbit, rientrano invece nel CRA, perché non sono classificati come dispositivi medici. Un caso particolare riguarda i sistemi di intelligenza artificiale. L'articolo 12 del CRA affronta proprio l'intersezione con l'AI Act, stabilendo delle norme specifiche per i sistemi di IA ad alto rischio che contengono elementi digitali. Digitali. In pratica, un sistema di intelligenza artificiale ad alto rischio dovrà rispettare sia i requisiti dell'AI Act relativi all'etica, alla trasparenza, alla supervisione umana, sia quelli del CRA relativi alla cyber sicurezza. Ora che abbiamo fatto una panoramica generale del regolamento, vediamo brevemente come potrebbe essere il processo di adeguamento al CRA per un prodotto reale. Prendiamo come esempio una videocamera di sicurezza smart per uso domestico. La prima cosa da fare è determinare in quale categoria rientra il prodotto. Una videocamera di sicurezza domestica probabilmente rientrerebbe nella categoria critica classe 1 perché ha accesso a dati sensibili, una sua compromissione potrebbe avere impatti sulla privacy, sulla sicurezza degli utenti, quindi dei proprietari della telecamera, e perché svolge funzioni di sicurezza. Dobbiamo poi esaminare il prodotto che abbiamo già in commercio per identificare eventuali mancanze rispetto ai requisiti del CRA. Dobbiamo chiederci quindi, ad esempio, se usa credenziali default deboli oppure no, se le comunicazioni sono criptate, se ha un meccanismo di aggiornamento sicuro, come gestisce i dati raccolti, se ha vulnerabilità note, eccetera eccetera eccetera. In base alla valutazione implementiamo le modifiche necessarie. Ad esempio possiamo eliminare le password predefinite costringendo l'utente a creare una password forte al primo avvio, possiamo implementare la crittografia end-to-end per le comunicazioni video, possiamo sviluppare un meccanismo di aggiornamento automatico, possiamo aggiungere l'autenticazione a due fattori, possiamo minimizzare i dati raccolti e memorizzati per diminuire anche l'impatto di un attacco, e via dicendo. Prepariamo poi la documentazione tecnica richiesta dal CRA con una descrizione dettagliata del prodotto e delle sue funzionalità, una valutazione dei rischi di cyber sicurezza e tutte le misure di mitigazione adottate. Prepariamo anche il software bill of materials con tutti i componenti software utilizzati mettiamoci dentro anche i risultati dei test di sicurezza, e poi facciamo anche un piano di supporto e aggiornamenti per i prossimi 5 anni, o di più se la mia videocamera è fatta per durare di più. Iniziamo poi a condurre dei test approfonditi. I test saranno funzionali, per verificare che le modifiche non abbiano impattato le funzionalità del prodotto, di sicurezza, per verificare l'efficacia delle misure implementate, e di usabilità, per assicurarci che le nuove funzionalità di sicurezza siano accessibili agli utenti. A questo punto vediamo se ci sono degli standard armonizzati predefiniti a cui dobbiamo adeguarci, perché se non ci sono o se non siamo in grado di seguirli dobbiamo sottoporre il prodotto alla valutazione di un organismo notificato. Invece se li abbiamo applicati tranquillamente procediamo con l'autocertificazione, quindi redigiamo la dichiarazione di conformità UE, apponiamo la marcatura CE sul prodotto e sul packaging e preparando la documentazione per gli utenti, incluse anche le informazioni sul periodo di supporto. Dopo il lancio del prodotto conforme al CRA, attiviamo il sistema di monitoraggio continuo per identificare le nuove vulnerabilità, perché chiaramente non è detto che sia venuto tutto fuori nella fase di testing. Stabiliamo delle procedure di risposta rapida per rilasciare gli aggiornamenti di sicurezza quando necessario. Manteniamo un canale di comunicazione con gli utenti per informarli sugli aggiornamenti di sicurezza e documentiamo attentamente tutte le vulnerabilità trovate e risolte. Questo esempio che ho fatto, per quanto banale, mostra che il CRAN non richiede solo le modifiche tecniche al prodotto, ma proprio anche dei cambiamenti nei processi aziendali e nella cultura organizzativa. La sicurezza diventa parte integrante dell'intero ciclo di vita del prodotto, dalla progettazione al supporto post vendita. Il risultato finale è una videocamera di sicurezza molto più affidabile che protegge realmente la privacy e la sicurezza degli utenti, o almeno ci prova, invece di diventare essa stessa un potenziale punto d'ingresso per gli attacchi informatici. Quindi cerchiamo quantomeno di evitare che finisca coinvolta in una botnet. Tirando le somme del regolamento, tra i problemi che sicuramente saltano subito all'occhio c'è l'aumento dei costi iniziali. Implementare dei processi di sicurezza, ottenere le certificazioni, garantire il supporto a lungo termine sono tutte cose che comporteranno inevitabilmente dei costi aggiuntivi. C'è poi la complessità della conformità, perché classificare prodotti preparare la documentazione tecnica e le procedure di valutazione della conformità sono tutte cose che richiedono delle competenze molto specifiche. L'adeguamento della supply chain, quindi della catena dei fornitori, è un'altra sfida molto importante, perché assicurare che tutti i fornitori rispettino i requisiti di sicurezza può essere veramente complicato, soprattutto per le aziende che hanno catene di fornitura globali. Per non parlare dei costi relativi all'estensione del supporto, perché comunque anche qui Garantire aggiornamenti di sicurezza per 5 anni e passa richiede in pratica di avere un team dedicato solo alla manutenzione continua. I lati positivi ci sono comunque, senza dubbio, soprattutto per i cittadini che utilizzano i prodotti soggetti al CRA, che saranno inevitabilmente più sicuri. Ci sarà anche un vantaggio competitivo secondo me per le aziende che si adegueranno molto rapidamente al CRA, anche solo per l'accesso ai bandi pubblici e al mercato europeo, perché alla fine con la marcatura CE per la cyber sicurezza i prodotti possono essere venduti in tutti gli Stati membri senza barriere nazionali. Quindi se un'azienda in Italia si adegua prima della stessa azienda francese che fa la stessa cosa, eh, l'azienda italiana potrà vendere in Francia e l'azienda francese sarà bloccata. Il CRA porta anche a una riduzione dei rischi legali. Prodotti più sicuri significano meno incidenti e quindi meno rischi di responsabilità legale. Lo vedo un po', se vogliamo, come il passaggio dalle auto senza cinture di sicurezza a quelle con cinture, airbag e via dicendo. È stato un passaggio che ha comportato senza dubbio dei costi aggiuntivi per i produttori, però ha anche creato un mercato più sicuro e premiato i produttori più innovativi. Per questi motivi il Cyber Resilience Act rappresenta una vera e propria rivoluzione nel modo in cui concepiamo la sicurezza dei prodotti digitali. Non è semplicemente un nuovo insieme di regole da seguire, è proprio un cambio di prospettiva che mette la sicurezza al centro dell'intero ciclo di vita del prodotto. Il messaggio chiave è che il CRA non è quindi solo un obbligo documentale, ma è è, se vogliamo, anche un'occasione per progettare e sviluppare dei prodotti migliori, più sicuri e più affidabili. La mia raccomandazione è di iniziare comunque ad agire subito, senza aspettare le scadenze. Iniziate a guardare i vostri prodotti, i vostri fornitori, a pianificare i cambiamenti necessari e anche le spese che si renderanno necessarie. Cominciate a raccogliere, organizzare la documentazione tecnica richiesta per la conformità. Pianificate il supporto a lungo termine, assicurandovi anche di avere le risorse necessarie per supportare i vostri prodotti per almeno 5 anni o per tutto il periodo di vita. Se iniziate a prepararvi ora, con calma avrete tempo anche di fare qualche scivolone senza rischiare sanzioni, perché come dicevo sono anche abbastanza pesanti, quindi non saranno proprio gradevoli. Bene, come sempre spero che questo video vi sia stato utile. Fatemi sapere nei commenti se ci sono normative o aspetti particolari che volete che approfondisca. Noi ci vediamo al prossimo video.