--- title: "Shield Lifecycle | SBOM, VEX e notifiche CRA | Edge SDN" description: "Per ogni prodotto consegnato: SBOM e superficie di attacco, controllo quotidiano delle CVE, VEX, notifiche a 24 ore e avvisi ai clienti. In progetti pilota." url: https://www.edge-sdn.com/it/prodotti/shield-lifecycle/ last_updated: 2026-10-30 --- Cyber Resilience Act · NIS2 # Mantieni ogni prodotto consegnato pronto per il CRA, ogni giorno Shield Lifecycle è un servizio per sviluppatori di software, costruttori di macchine e system integrator. Ti guida fino al **certificato UE** e lo mantiene per tutto il **ciclo di vita del prodotto**. [Read in English](https://www.edge-sdn.com/products/shield-lifecycle/) · [Auf Deutsch lesen](https://www.edge-sdn.com/de/produkte/shield-lifecycle/) [Guarda la demo](https://www.edge-sdn.com/it/demo/) Tanti requisiti del CRA, _un’unica_ soluzione. L’immissione sul mercato ## La dichiarazione di conformità UE per ogni prodotto L’intero percorso fino alla marcatura CE di ogni prodotto - Analisi iniziale: ogni requisito essenziale dell’allegato I abbinato alla sua evidenza - SBOM completo di CVE, CVSS e KEV - Superficie di attacco e valutazione automatica delle CVE con VEX - Documentazione tecnica per la dichiarazione di conformità UE Tu firmi la dichiarazione. Shield Lifecycle prepara le evidenze. Dopo la vendita ## La gestione delle vulnerabilità per ogni prodotto, non solo per ogni modello Un processo automatico che valuta le nuove vulnerabilità per tutto il periodo di assistenza 1. **Le nuove CVE vengono confrontate con lo SBOM di ogni prodotto consegnato** 2. **L’esposizione viene valutata sulla superficie di attacco reale, non solo sull’elenco dei componenti** 3. **La VEX viene preparata in automatico in base all’esposizione esterna reale** 4. **Gran parte delle CVE non è esposta e viene chiusa senza disturbarti** Shield Lifecycle ti tiene informato su ciò che conta davvero. Comunicazioni obbligatorie e aggiornamenti ## Le segnalazioni al CSIRT e gli avvisi ai tuoi clienti Nell’immagine: un avviso al fornitore di un componente coinvolto, preparato a partire dalla valutazione. Tutte le scadenze del CRA, con i testi già pronti - Preallarme al CSIRT e all’ENISA, entro 24 ore - Notifica della vulnerabilità, entro 72 ore - Relazione finale, entro 14 giorni da quando è disponibile la correzione - Un avviso per ogni cliente coinvolto L’[articolo 14](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) si applica a tutti i prodotti, anche a quelli già sul mercato ([articolo 69](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Il ciclo ## Il CRA è un ciclo che si ripete ogni giorno. Ti serve uno strumento che lavori per te ogni giorno. 1. Giorno 0 ### Certificato UE Carichi lo SBOM e la superficie di attacco di ogni prodotto consegnato. 2. Ogni giorno ### Controllo delle nuove CVE Le nuove CVE pubbliche vengono confrontate con ogni prodotto. 3. Se non è esposto ### Valutazione automatica La CVE non può raggiungere il prodotto. Viene emesso un nuovo report. Nessun intervento richiesto. 4. Se è esposto ### Allerta e avviso Il punteggio scende. Il tuo programmatore viene allertato. L’avviso al cliente è già pronto. 5. Evidenze ### Dimostra Il processo viene tracciato e registrato, con evidenze documentate. Lo SBOM dice cosa può essere attaccato. _La superficie di attacco dice come._ Riduci la superficie di attacco ### Edge Shield ti aiuta a ridurre il rischio Uno switch SDN intelligente riduce la visibilità in rete. Il traffico che serve alla produzione viene ispezionato a fondo e inoltrato. Tutto il resto resta chiuso. - **Comunicazioni micro-segmentate dal livello 2 in su** - **Un sistema di rilevamento delle intrusioni (IDS) per l’OT controlla il traffico** - **Uno switch è generalmente considerato un componente passivo e il suo piano dati esposto non estende la superficie di attacco** Limitare la superficie di attacco è un requisito essenziale del [CRA (allegato I, parte I, punto 2, lettera j)](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) e rientra nelle misure di gestione del rischio che la [NIS2 (articolo 21)](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32022L2555#art%5F21) richiede ai soggetti essenziali e importanti. [Scopri Edge Shield EN](https://www.edge-sdn.com/products/edge-shield/) Confronto ## Gli altri strumenti risolvono un pezzo del problema. Shield Lifecycle segue ogni prodotto che hai consegnato. Presente nella maggior parteIn alcuni, o solo in parteRaramente o maiCapacità tipiche di ogni categoria, ricavate da informazioni pubbliche sui prodotti, settembre 2026. I singoli prodotti possono differire. Regolamenti e norme ## Dove ti aiuta - Pensato per questo **[Cyber Resilience Act](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/)**Regolamento (UE) 2024/2847 SBOM, gestione delle vulnerabilità e VEX per ogni prodotto consegnato, segnalazioni dell’articolo 14, avvisi ai clienti e documentazione. [Articolo 13](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F13), [articolo 14](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14), [allegato I](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Copre una parte **[Regolamento Macchine](https://www.edge-sdn.com/it/regolamenti/regolamento-macchine/)**Regolamento (UE) 2023/1230 Tiene l’elenco del software di ogni macchina consegnata. [Allegato III, 1.1.9](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230#anx%5FIII) - Copre una parte **[NIS2 EN](https://www.edge-sdn.com/regulations/nis2/)**Direttiva (UE) 2022/2555 Sicurezza della catena di fornitura: il costruttore di macchine risponde ai propri clienti con SBOM, VEX e avvisi per ogni macchina consegnata. [Articolo 21, paragrafo 2, lettera d), e paragrafo 3](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32022L2555#art%5F21) - Copre una parte **ISO/IEC 27001**Norma Catena di fornitura ICT, dal lato del fornitore. - Copre una parte **NIST Cybersecurity Framework 2.0**Framework Gestione del rischio nella catena di fornitura. FAQ ## Le domande che ci fanno più spesso ### È uno scanner di CVE? No. Abbinare le CVE a uno SBOM è la parte facile, e molti strumenti lo fanno. Shield Lifecycle valuta se ogni CVE può davvero raggiungere ciascun prodotto consegnato, attraverso le sue porte, i suoi protocolli e i suoi stati di funzionamento. È proprio questa valutazione che il formato VEX registra, ed è la parte impossibile da fare a mano su larga scala. ### Cos’è una VEX? La VEX (Vulnerability Exploitability eXchange) è una dichiarazione breve, leggibile da una macchina, che indica se una vulnerabilità nota riguarda un prodotto: non interessato, interessato, corretto o in analisi, con la relativa motivazione. Shield Lifecycle la prepara per ogni CVE e ogni prodotto consegnato, così puoi dimostrare perché la maggior parte delle CVE non richiede alcun intervento. ### Non abbiamo ancora uno SBOM dei nostri prodotti. Possiamo iniziare? Sì. Ti aiutiamo a costruire il primo SBOM partendo dalla distinta base di un modello: firmware di PLC e HMI, azionamenti, gateway, sistema operativo e librerie. È il primo passo di un progetto pilota. ### Shield Lifecycle rende il mio prodotto conforme al CRA? Nessuno strumento può prometterlo. Per il CRA è il fabbricante a redigere la dichiarazione di conformità UE ([articolo 28](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F28)). Shield Lifecycle ti fornisce il monitoraggio quotidiano, le valutazioni e le evidenze per sostenerla, e le mantiene aggiornate per tutto il periodo di assistenza. ### I prodotti che abbiamo consegnato anni fa rientrano nel CRA? I requisiti di prodotto si applicano ai prodotti immessi sul mercato dall’[11 dicembre 2027](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71), o modificati in modo sostanziale dopo quella data. L’obbligo di segnalazione dell’[articolo 14](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) è un’altra cosa: si applica dall’[11 settembre 2026](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) e riguarda anche i prodotti già sul mercato ([articolo 69](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Per questo devi sapere cosa c’è dentro i prodotti che hai già consegnato. ### Dove sono conservati i dati? Tutti i dati risiedono su server nell’Unione europea. Oggi nel nostro cloud, per i progetti pilota. È in arrivo una versione da installare sui tuoi server, pensata prima di tutto per i grandi costruttori che tengono i dati di prodotto nei propri sistemi. ### Chi paga: il costruttore o il cliente finale? Il costruttore sottoscrive l’abbonamento e dà a ciascun cliente finale l’accesso ai propri prodotti. [Scrivici](https://www.edge-sdn.com/it/contatti/) per un preventivo basato sul numero di modelli di prodotto e di clienti. Ultimo aggiornamento 30 ottobre 2026 ## Guarda cosa succede quando una CVE critica colpisce una macchina Ti mostriamo il momento decisivo: arriva una nuova vulnerabilità. Una macchina è esposta, l’altra no. L’avviso al cliente è pronto da inviare.