La sicurezza di un prodotto continua dopo la vendita. Aggiornamenti, segnalazioni e capacità di correggere difetti fanno parte del servizio reso al cliente. Il 13 luglio 2026 ENISA ha pubblicato lo SME Cyber Resilience Maturity Assessment Model, accompagnato da un foglio di lavoro. È pensato soprattutto per organizzazioni che fabbricano e immettono sul mercato prodotti con elementi digitali, ma può essere utile anche ad altri attori del ciclo di vita.

Un’autovalutazione con uno scopo preciso

Il modello offre un approccio strutturato per valutare e rafforzare la resilienza, tenendo conto del Cyber Resilience Act. La Commissione mette a disposizione indicazioni sul regolamento e sulla sua attuazione. Un'autovalutazione, tuttavia, non va confusa con una certificazione o con la dimostrazione completa della conformità: identificare una pratica interna è diverso dal provare che soddisfi uno specifico obbligo.

La nostra proposta è coinvolgere chi progetta, sviluppa, distribuisce e assiste il prodotto. La sicurezza può risultare solida nella fase di sviluppo ma fragile nel passaggio degli aggiornamenti al cliente. Una dipendenza software potrebbe essere conosciuta dal tecnico e assente dalla documentazione che riceve il servizio assistenza. Il confronto rende visibili queste interruzioni.

Le evidenze contano più del punteggio

Ogni risposta dovrebbe rimandare a una prova: un registro delle versioni, una procedura effettivamente usata, un test di recupero o un responsabile nominato. Se la prova manca, la risposta deve restare prudente. Il punteggio acquista senso solo quando permette di scegliere il prossimo intervento e di misurarne l'esecuzione.

  • Identificare prodotti, versioni e componenti mantenuti.
  • Descrivere come arrivano e vengono valutate le segnalazioni.
  • Verificare il percorso di rilascio e comunicazione di una correzione.

Un esercizio pratico può simulare una vulnerabilità segnalata da un cliente: chi legge il messaggio, chi valuta l'impatto, chi può autorizzare la risposta? Il test non richiede un attacco reale. Serve a scoprire recapiti mancanti, autorizzazioni confuse o una dipendenza eccessiva da una sola persona. Le lacune riscontrate vanno trasformate in attività con scadenza e verifica.

Un lavoro continuo sul prodotto

Il supporto deve essere sostenibile per tutto il periodo previsto. Prima di lanciare un dispositivo o un software, l'azienda dovrebbe valutare se dispone delle competenze e delle risorse per mantenerlo. Cambiare fornitore di una libreria può risolvere un problema immediato ma introdurre altri vincoli tecnici e contrattuali.

Il modello ENISA è utile se entra nella gestione del prodotto, con revisioni quando cambiano architettura o fornitori. La verifica normativa resta distinta e va condotta sul perimetro effettivo dell'impresa. Il risultato operativo atteso è una catena di responsabilità leggibile, capace di accompagnare il cliente quando emerge un problema.