Una scheda tecnica può elencare prestazioni, capacità e compatibilità senza rispondere alla domanda che interessa al responsabile del servizio: potremo gestire questo prodotto in modo adeguato per tutto il periodo in cui intendiamo usarlo?
È una domanda di acquisto, prima ancora che di aggiornamento. Se la risposta arriva dopo l’installazione, le alternative potrebbero essere diventate più costose o più difficili da realizzare.
Nel quadro CRA, il fabbricante determina un periodo di supporto per la gestione delle vulnerabilità; la sua data finale, con mese e anno, deve essere comunicata chiaramente al momento dell’acquisto. L’applicazione principale è prevista dall’11 dicembre 2027: non bisogna presentare questi requisiti generali come tutti già applicabili nell’ottobre 2026. Commissione, sintesi CRA.
NIS2 riguarda invece i soggetti nel proprio ambito, la gestione del rischio e anche la sicurezza della filiera. Comprare un prodotto con una dichiarazione di conformità non sostituisce la valutazione dell’organizzazione su come verrà impiegato. Il perimetro concreto richiede attenzione alla normativa nazionale e al ruolo effettivo del soggetto. Commissione, NIS2.
Il punto d’incontro è operativo: informazioni sul prodotto e decisioni sul servizio devono essere leggibili insieme. Non propongo di equiparare i due regimi. Propongo di evitare che ciascun ufficio conservi un pezzo della risposta senza che nessuno veda il risultato.
Immaginiamo un acquisto per dieci anni di utilizzo con un impegno di supporto più breve. È un esempio, non un limite previsto dalla legge. Prima di firmare, serve capire se esiste un’estensione, una migrazione programmabile o un’alternativa sostenibile. Dire “decideremo più avanti” lascia una dipendenza senza proprietario.
Una traccia di capitolato o verifica del fornitore potrebbe dunque chiedere quattro informazioni: la data di fine supporto e il suo ambito; i componenti e servizi necessari al funzionamento; il processo di aggiornamento; le condizioni tecniche per uscire dal prodotto o trasferire dati. Sono suggerimenti organizzativi da adattare, non clausole imposte identicamente a ogni impresa da CRA o NIS2.
La risposta “sono disponibili aggiornamenti” va approfondita. Chi li applica? Serve un’interruzione? Come si verifica che la versione corretta sia installata? Il profilo NIST destinato alle agenzie federali statunitensi tratta procedure di ricezione, installazione e verifica degli aggiornamenti IoT: è un riferimento tecnico utile, da non trasformare in obbligo europeo. NIST, gestione degli aggiornamenti.
Dopo l’acquisto, la data deve entrare in un processo di revisione. Una mia proposta è registrarla nell’inventario insieme al responsabile del servizio, alla dipendenza e alla decisione successiva. Un inventario che sa soltanto quanti dispositivi possiede l’organizzazione non risponde alla domanda su quanti potranno ancora essere mantenuti.
L’uscita merita la stessa attenzione: cancellazione o trasferimento dei dati, revoca degli accessi, gestione delle copie e verifica delle dipendenze. Le modalità dipendono dal caso; la semplice rimozione fisica non prova che tutte le connessioni siano cessate.
La fine del supporto non è automaticamente un incidente né un ordine universale di spegnere tutto. È un’informazione sulla quale prendere una decisione documentata. Il lavoro migliore comincia quando quella decisione può ancora influenzare l’acquisto.
Informazione divulgativa, non valutazione della conformità di un caso concreto.
L’articolo in video
Il lato quotidiano degli oggetti connessi su CosaNonMiSonoPerso: Il tuo oggetto smart può funzionare anche quando ha smesso di essere seguito.