Funzionalità
Segnalazioni CRA, PSIRT e SBOM
Una ricercatrice segnala una falla nel Suo prodotto. Da quel momento tutti sanno dove si trova la segnalazione, quale scadenza è in corso e che cosa verranno a sapere i Suoi clienti.
Le segnalazioni di vulnerabilità arrivano per e-mail in una casella qualsiasi, e se occorra notificare l’autorità si decide sotto pressione di tempo.
Come Complass aiuta
Ricevere le segnalazioni in un unico luogo
Un modulo di segnalazione dedicato alla Sua azienda, più security.txt secondo la RFC 9116 e una bozza della Sua policy di divulgazione coordinata, che Lei verifica e adatta.
Valutazione con stato chiaro
Ricevuta, in valutazione, confermata, risolta, pubblicata: ogni segnalazione ha il proprio stato e le proprie note. Se dopo 5 giorni lavorativi la ricezione non è confermata, Complass Glielo ricorda.
L’obbligo di notifica ai sensi dell’art. 14 CRA sotto controllo
Se la vulnerabilità è sfruttata attivamente, crea direttamente dalla segnalazione un incidente CRA: allerta tempestiva, notifica, rapporto finale, rapporto intermedio su richiesta e informazione agli utenti, ciascuno con scadenza calcolata e contenuti richiesti.
Non dimenticare i fornitori
Se la vulnerabilità si trova in un componente integrato, Complass Le ricorda di informare il produttore del componente.
Avviso di sicurezza per i Suoi clienti
Dalla segnalazione nasce un avviso di sicurezza in formato CSAF, se lo desidera approvato da una seconda persona, pubblicato sulla Sua pagina degli avvisi e inviato per e-mail ai Suoi iscritti, con prova di invio.
Basi giuridiche e normative
- Art. 13 CRAArticolo 13 Regolamento sulla ciberresilienza Obblighi dei fabbricanti1. All’atto dell’immissione sul mercato di un prodotto con elementi digitali, i fabbricanti assicurano che esso sia stato progettato, sviluppato e prodotto conformemente ai requisiti essenziali di cibersicurezza di cui all’allegato I, parte I. 2. Ai fini della conformità al paragrafo 1, i fabbricanti effettuano una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e tengono conto …Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArticolo 14 Regolamento sulla ciberresilienza Obblighi di segnalazione dei fabbricanti1. Un fabbricante notifica simultaneamente al CSIRT designato come coordinatore, conformemente al paragrafo 7 del presente articolo, e all’ENISA, qualsiasi vulnerabilità attivamente sfruttata contenuta nel prodotto con elementi digitali di cui viene a conoscenza. Il fabbricante notifica tale vulnerabilità attivamente sfruttata tramite la piattaforma unica di segnalazione istituita a norma dell’articolo 16. 2. Ai …Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- CRA allegato I parte II
- BSI TR-03183-2
- RFC 9116
Calcolare gratuitamente i termini di notifica CRA, senza registrazione
Questa pagina descrive le funzionalità di Complass e non costituisce consulenza legale.
SBOM: sapere che cosa c’è nel prodotto da Professional: SBOM, confrontare i pacchetti
SBOM per prodotto e versione
Importazione da CycloneDX 1.4–1.6 e SPDX 2.2 e 2.3, da Excel o tramite script di raccolta. Con “Salva stato” nasce una versione immutabile con checksum.
Che cosa è cambiato
Confrontare due versioni: componenti aggiunti, rimossi e modificati a colpo d’occhio.
Esportazione secondo BSI TR-03183-2
CycloneDX 1.6, SPDX 2.3 e SPDX 3.0.1 nonché VEX, verificati prima dell’emissione rispetto ai campi obbligatori.
Dossier cyber CE, CSAF e VEX nella pagina Conformità del prodotto
Domande frequenti
Complass trasmette la notifica all’ENISA?
No. Complass calcola le scadenze e prepara i contenuti per ogni fase di notifica. La notifica la invia Lei sulla piattaforma di segnalazione e registra data, ora e numero di pratica.
Che cosa mi serve per questo?
Segnalazioni di vulnerabilità, incidenti CRA e avvisi di sicurezza fanno parte del quadro normativo CRA. SBOM e dossier cyber CE fanno parte del modulo gestione delle vulnerabilità.
La policy di divulgazione è pronta all’uso?
È una bozza costruita con i Suoi dati. La verifichi e la adatti prima di pubblicarla.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.