Documentazione tecnica dell’allegato VII del CRA: cosa deve contenere il fascicolo

L’allegato VII richiede almeno queste informazioni, per quanto applicabili al prodotto interessato. La tabella ne abbrevia la formulazione. Legga i punti nel regolamento prima di farvi affidamento.

La documentazione tecnica descrive un prodotto nelle versioni presenti sul mercato, non l’azienda nel suo insieme. Da qui deriva la sua organizzazione.

• Un fascicolo per prodotto, con le versioni del software a cui si riferisce. A ogni nuova versione, verifichi quali punti cambiano.
• Mantenere l’ordine dell’allegato VII. Chi legge trova ogni punto dove lo colloca il regolamento, e un punto vuoto resta visibile.
• Lasciare distinti i documenti distinti. La valutazione dei rischi, le informazioni e istruzioni per l’utilizzatore (allegato II) e la dichiarazione di conformità UE sono documenti a sé che fanno parte del fascicolo. Rimandi alla versione aggiornata invece di copiarne il testo.
• Registrare ciò che non si applica, e perché. Se dalla valutazione dei rischi risulta che un requisito essenziale di cibersicurezza non è applicabile al prodotto, l’articolo 13, paragrafo 4, prevede che la motivazione figuri nella documentazione tecnica.
• Un’unica documentazione per i sistemi di IA ad alto rischio. Per i prodotti di cui all’articolo 12 (sistemi di IA ad alto rischio) soggetti anche ad altri atti giuridici dell’Unione che prevedono una documentazione tecnica, l’articolo 31, paragrafo 3, prevede un’unica documentazione tecnica.

L’articolo 31, paragrafo 2, prevede che la documentazione sia redatta prima dell’immissione del prodotto sul mercato e, se del caso, costantemente aggiornata almeno per tutta la durata del periodo di assistenza. L’articolo 13, paragrafo 13, stabilisce per quanto tempo deve restare a disposizione delle autorità di vigilanza del mercato. In pratica il fascicolo cambia quando cambia il prodotto:

• Una nuova versione del software che incide sui requisiti essenziali di cibersicurezza (punto 1).
• Una nuova SBOM, o una modifica dei componenti o dell’architettura (punto 2).
• Un periodo di assistenza rivalutato (punto 4).
• Una modifica delle norme o delle specifiche su cui ci si basa (punto 5).
• Nuove relazioni delle prove (punto 6).
• Una modifica sostanziale ai sensi dell’articolo 3, punto 30: occorre poter documentare la propria valutazione.

Conservi le versioni precedenti. Mostrano che cosa conteneva il fascicolo quando una determinata versione è stata immessa sul mercato.

Alcuni punti derivano da dati che un team conserva già: il prodotto, la versione, la SBOM. Altri richiedono un testo o evidenze che qualcuno deve redigere o raccogliere. Questi sono gli elementi che il modello di Attesly non può ricavare dal fascicolo del prodotto e che segnala come ancora da completare:

• L’architettura del sistema (punto 2): come i componenti software si basano l’uno sull’altro o si alimentano a vicenda, con disegni e schemi se disponibili.
• La distribuzione sicura degli aggiornamenti (punto 2): una descrizione delle soluzioni tecniche scelte. Si trova all’interno della parte sulla gestione delle vulnerabilità ed è facile trascurarla.
• La convalida dei processi di produzione e monitoraggio (punto 2): l’allegato VII menziona la convalida, non solo la descrizione.
• La motivazione del periodo di assistenza (punto 4), non solo la data di fine.
• Le parti applicate (punto 5): quali parti di una norma o di una specifica sono state applicate e quali soluzioni sono state adottate dove non ne è stata applicata alcuna.
• Le relazioni delle prove (punto 6), per il prodotto e per i processi di gestione delle vulnerabilità.
• Fotografie o illustrazioni di un prodotto hardware (punto 1).
• La copia della dichiarazione di conformità UE (punto 7). Una bozza diventa una dichiarazione solo dopo la firma.

• Attesly consente di: generare per ogni prodotto una documentazione tecnica a partire da un modello che segue gli otto punti dell’allegato VII; riportarvi ciò che il fascicolo del prodotto contiene già, ad esempio la finalità prevista, la versione, la SBOM importata, il periodo di assistenza con le informazioni registrate al riguardo e le norme inserite; segnalare ciò che resta da completare; gestire la valutazione dei rischi, le informazioni per l’utilizzatore, la dichiarazione di conformità UE e la politica di divulgazione coordinata delle vulnerabilità come documenti a sé; completare un documento nell’editor e conservare le versioni precedenti nello storico.
• Attesly non: redige la descrizione dell’architettura o le relazioni delle prove, valuta se il contenuto è corretto o sufficiente, esegue una valutazione della conformità, certifica prodotti o fornisce consulenza legale. Attesly non è un organismo notificato.

Il punteggio di preparazione di Attesly tiene conto dell’esistenza di una documentazione tecnica per il prodotto. Aiuta a individuare le lacune sulla base dei dati inseriti.

Consulti piani e prezzi, prenoti un incontro oppure scopra come mantenere aggiornate evidenze di prodotto e SBOM e come preparare una notifica articolo 14.