Applicazione · conformità e catena di fornitura
La conformità come criterio di scelta
Si compra guardando i megapixel. Poi arriva la NIS2 e chiede chi produce il firmware, come si aggiorna e cosa succede il giorno in cui qualcuno ci trova dentro una vulnerabilità.
La domanda è cambiata, il capitolato no
Per vent’anni una telecamera si è scelta su risoluzione, ottica e prezzo. Oggi un’organizzazione che ricade nella NIS2 deve rispondere di tutta la propria catena di fornitura, e una telecamera è un computer con una lente davanti: sta dentro quella catena a pieno titolo.
Il Cyber Resilience Act stringe ulteriormente. Dall’11 settembre 2026 scattano gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi, con termini stretti: allarme rapido in 24 ore, notifica in 72, rapporto finale in 14 giorni. L’applicazione piena dei requisiti essenziali arriva l’11 dicembre 2027. Chi compra oggi apparati destinati a durare otto anni sta già comprando dentro quel regime.
Le tre cose da chiedere a un fornitore
01
La distinta del software
Quali componenti di terze parti ci sono dentro il firmware. Si chiama SBOM ed è l’equivalente dell’etichetta degli ingredienti: senza, quando esce una vulnerabilità su una libreria diffusa, nessuno sa dire se vi riguarda.
SBOM · COMPONENTI DI TERZE PARTI
02
Il canale di divulgazione
Dove si segnala una vulnerabilità, chi risponde, in quanto tempo, e dove viene pubblicato l’esito. Una casella di posta generica non è un canale: è un modo elegante per non ricevere segnalazioni.
PUNTO DI CONTATTO · TEMPI DICHIARATI
03
La fine del supporto
La data oltre la quale non usciranno più aggiornamenti di sicurezza. Se il fornitore non la dichiara, la state scegliendo comunque: solo che la scoprirete dopo.
DATA DICHIARATA · FIRMA DEL FIRMWARE
Cosa vuol dire essere CNA
GVision Italia è l’unica azienda italiana accreditata come CVE Numbering Authority sotto ENISA Root, l’agenzia europea per la cybersicurezza. In pratica significa quattro cose.
Va detto con onestà: essere CNA non rende i prodotti immuni, e nessuno può prometterlo. Rende pubblico, datato e verificabile il modo in cui i problemi vengono trattati — che è l’unica cosa che in sede di gara si possa davvero dimostrare.
Cosa mettere a capitolato
Distinta del software su richiesta
Una riga che obbliga il fornitore a produrre la SBOM degli apparati offerti. Costa nulla scriverla e cambia completamente chi può partecipare.
Canale di segnalazione dichiarato
Indirizzo, tempi di presa in carico e luogo di pubblicazione degli avvisi. È verificabile in dieci minuti, prima dell’aggiudicazione.
Orizzonte di supporto minimo
Numero di anni di aggiornamenti di sicurezza garantiti dalla consegna. Senza questa riga, il prezzo più basso vince sempre e costa di più.
Aggiornamento firmato
Che il firmware sia firmato e che l’apparato rifiuti quello che non lo è. È la difesa più elementare contro la manomissione, e non tutti la implementano.
Dove approfondire
State scrivendo un capitolato?
Mandateci la bozza dei requisiti tecnici. Vi segnaliamo cosa manca sul piano della sicurezza della fornitura e vi diamo le righe da aggiungere, senza vincolarvi a un marchio.
Facci leggere il capitolatoVai al portale di conformità