Cyber Security al centro di NIS2 e CRA

Con la legge di recepimento della direttiva NIS2 e il futuro Cyber Resilience Act (CRA), la Cyber Security sta acquisendo attualmente una nuova visibilità normativa: i requisiti diventano più concreti, gli obblighi di fornire evidenze aumentano e le scadenze si avvicinano.

Per molte aziende questo significa una cosa: necessità di agire. Per AUCOTEC significa soprattutto una cosa: conferma.

Da decenni AUCOTEC collabora con operatori di infrastrutture critiche. In tutti questi anni, una richiesta fondamentale dei clienti è sempre stata considerata imprescindibile: i sistemi utilizzati devono essere sicuri in ogni momento. La Cyber Security non è quindi un nuovo campo d’azione, ma da sempre una parte integrante dello sviluppo e della messa a disposizione della piattaforma software Engineering Base.

Gli sviluppi attuali intorno a NIS2 e al CRA non modificano l’aspettativa fondamentale in materia di sicurezza: la rendono più visibile, misurabile e, in molti casi, anche formalmente soggetta a obblighi di evidenza.

È proprio qui che AUCOTEC crea ulteriore trasparenza: le versioni 2025 e 2026 di Engineering Base sono state analizzate in modo indipendente con ReversingLabs Spectra Assure e hanno raggiunto il Level 3 nel processo di valutazione.

È importante sottolineare che questa analisi non segna un nuovo livello di sicurezza, ma conferma quello già consolidato. Al momento della valutazione non sono state identificate vulnerabilità note classificate come critiche, né rilevamenti di malware, né rischi di licenza rilevanti. A ciò si aggiunge la piena trasparenza su tutti i componenti software utilizzati, sotto forma di Software Bill of Materials (SBOM).

“La Cyber Security non è mai stata opzionale per i nostri clienti – e quindi nemmeno per noi”, spiega il Dr. Jan-Mirko Maczewski, Head of Research & Development di AUCOTEC. “Gli attuali requisiti normativi come NIS2 o il Cyber Resilience Act non ci spingono a ripensare il nostro approccio; al contrario, confermano il nostro orientamento consolidato da tempo.”

L’analisi Spectra prende in esame aspetti tecnici chiave dei moderni requisiti di sicurezza, in particolare trasparenza, tracciabilità e valutazione sistematica dei componenti software. Non esiste un’equivalenza formale con i requisiti normativi. Tuttavia, vi è una sostanziale convergenza in aree fondamentali.

Per i clienti questo significa: una valutazione della sicurezza solida e indipendente, supporto nell’adempimento di obblighi di evidenza sempre più estesi, minore impegno nei processi di audit e approvazione, nonché ulteriore sicurezza negli ambienti di progetto regolamentati.

La valutazione indipendente è concepita intenzionalmente come parte di un processo continuo. Le analisi di sicurezza vengono svolte regolarmente e proseguono con ogni versione.

Il fatto che sia la versione attuale sia la versione già consolidata di Engineering Base raggiungano questo livello sottolinea il messaggio centrale: in AUCOTEC, la Cyber Security è uno standard costante.

Questo impegno si riflette non solo nel prodotto stesso, ma anche nelle strutture di supporto: gestione della sicurezza delle informazioni certificata ISO 27001, gestione della qualità certificata ISO 9001, responsabilità chiare, anche attraverso un Chief Information Security Officer (CISO), nonché processi di audit e governance consolidati.

Questi elementi vengono ulteriormente sviluppati in modo continuo nel quadro della progressiva espansione delle strutture di Quality Excellence.

Guardando alle prossime scadenze del CRA e all’attuazione di NIS2, è evidente che la Cyber Security si sta evolvendo sempre più da aspettativa implicita a obbligo esplicito di fornire evidenze. AUCOTEC affronta questo sviluppo con trasparenza rispetto a un livello di sicurezza consolidato da decenni. In altre parole: i requisiti diventano più concreti – la risposta a tali requisiti fa da tempo parte della soluzione in AUCOTEC.