Direttiva RED DA: il supporto di Betrusted per l’adeguamento normativo

Con l’imminente recepimento del Radio Equipment Directive Delegated Act (RED DA) tutte le aziende produttrici e utilizzatrici di dispositivi radio, IoT, OT e ICS in Italia devono adeguarsi ai nuovi requisiti di sicurezza entro il 1° agosto 2025 per mantenere la marcatura CE.

Il nostro team di esperti di offensive security offre un supporto completo, pensato sia per i system integrator e i Notified Bodies (NB), sia per i clienti finali (PMI e produttori di device) che desiderano anticipare i rischi e superare con successo le verifiche di conformità.

Nel precedente articolo abbiamo fatto chiarezza sulla direttiva RED 2014/53/EU, quali sono le apparecchiature coinvolte e cosa devono fare i soggetti interessati per adeguarsi alla direttiva. In questo articolo raccontiamo, invece, come il team di Betrusted supporta il cliente nel processo di certificazione affiancandolo nelle sue fasi più critiche.

Penetration Testing IoT/OT

I nostri Penetration Test dedicati ai dispositivi IoT e OT mirano a riprodurre attacchi reali per scoprire vulnerabilità di rete, firmware e protocolli industriali prima che lo facciano i cyber-criminali.

I pentest si articolano nelle seguenti 5 fasi:

1. Pianificazione e definizione dello scope

All’inizio incontriamo il team tecnico e gli stakeholder per stabilire gli obiettivi e lo scope dell’attività: quali dispositivi, quali protocolli e quali reti rientrano nel test (ad es. VLAN OT, segmenti Wi-Fi dedicati, connessioni LTE/NB-IoT), quali credenziali e documentazione ci vengono fornite (“white-box” vs “black-box”), e quali criteri di successo vogliamo verificare (ad es. esfiltrazione dati da SCADA, interruzione di un servizio).

In questa fase definiamo anche i tempi, le regole di ingaggio e le metriche di valutazione del rischio.

2. Raccolta delle informazioni

Procediamo a una mappatura dettagliata dell’infrastruttura radio e dei componenti OT/ICS, utilizzando tool di fingerprinting e passivi (sniffer radio, scanner di rete) insieme a tecniche di enumerazione attiva. Analizziamo topologia, versioni firmware, configurazioni di rete, interfacce di gestione locale, API e componenti cloud. Raccogliamo SBOM e schemi di interconnessione per comprendere le dipendenze hardware e software.

3. Analisi tecnica e attacco

Sulla base delle informazioni raccolte, impostiamo scenari di attacco realistici: attacchi man-in-the-middle su Modbus o OPC UA, fuzzing delle API firmware over-the-air, exploit di buffer overflow nel driver radio, bruteforce di credenziali su interfacce BLE. Ogni passo è guidato dall’obiettivo di dimostrare la possibilità di compromettere riservatezza, integrità o disponibilità del sistema, mantenendo il controllo fino al raggiungimento degli obiettivi concordati.

4. Post-exploitation e pivoting

Una volta ottenuto l’accesso a un dispositivo o a una rete OT, valutiamo le potenzialità di movimento laterale verso altri segmenti, l’estrazione di dati sensibili e la persistenza nel tempo. Verifichiamo la possibilità di compromettere componenti critici (es. PLC, HMI, gateway IoT) e documentiamo eventuali “kill chains” complete, mostrando come un attaccante potrebbe muoversi fino al cuore dell’infrastruttura.

5. Reporting e remediation

Al termine forniamo un report esauriente, strutturato secondo gli standard EN 18031, che include descrizione delle tecniche utilizzate, Proof-of-Concept, Severity Score CVSS e un piano di remediation dettagliato, con priorità e suggerimenti operativi. Organizziamo una sessione di debrief per discutere insieme risultati e contromisure, guidando il team del cliente nelle correzioni e pianificando eventuali retest.
Il deliverable si configura in un report tecnico dettagliato, contenente mappatura delle vulnerabilità (CVSS, exploitability), Proof-of-Concept e piani di mitigation conformi agli standard EN 18031-1 (Protezione di rete) ed EN 18031-2 (Protezione dei dati).

Gap Analysis RED DA

Oltre a testare gli asset, effettuiamo una Gap Analysis per la RED DA progettata per individuare con precisione ogni discrepanza tra lo stato attuale dei vostri prodotti e processi e i requisiti stabiliti dal Delegated Act, in particolare dalle norme armonizzate EN 18031-1/2/3.
In stretta collaborazione con i Notified Bodies e i system integrator, iniziamo con una revisione documentale che si basa su una check-list strutturata dei requisiti RED DA e permette di identificare eventuali lacune procedurali.

Successivamente, conduciamo un audit tecnico che comprende test diversificati sia sui dispositivi che sull’infrastruttura di backend, al fine di validare concretamente l’efficacia delle misure di sicurezza implementate. Il lavoro di Audit viene dettagliato all’interno del Technical Documentation Package completo di evidenze di test, Software Bill of Materials (SBOM) e policy per l’aggiornamento sicuro, fornendo così un dossier pronto per essere presentato agli organismi di certificazione.

Infine, organizziamo sessioni di formazione specialistica rivolte a ingegneri e uffici tecnici, con un focus pratico su threat modeling e secure coding per applicazioni embedded, in modo da consolidare le competenze interne e garantire un adeguamento duraturo ai nuovi standard di sicurezza.

Servizi aggiuntivi e continui

I servizi specialistici dedicati ai dispositivi soggetti alla RED possono essere affiancati da altre attività complementari e Betrusted offre in merito:

• Monitoring e Incident Response: setup di honeypot IoT e sistemi di log centralizzati per rilevare intrusioni in tempo reale.
• Vulnerability Management: processo continuo di scansione, triaging e patch management, con report periodici per il security team.
• Consulenza normativa: affiancamento nella preparazione delle risposte ai questionari NIS2, GDPR, e Cyber Resilience Act.

Il nostro metodo di lavoro

Aiutiamo il cliente nel processo di certificazione affiancandolo nelle sue fasi più critiche. Vediamo di seguito:

Kick-off e definizione dello scope

Il progetto inizia con un workshop congiunto a cui partecipano sia gli stakeholder interni sia i referenti del NB. In questa fase condividiamo la mappa degli asset (hardware, firmware, reti), definiamo le tecnologie coinvolte e selezioniamo gli standard di sicurezza (EN 18031, IEC 62443, NIST, ecc.) più adatti al vostro contesto. È qui che stabiliremo anche le regole di ingaggio, i criteri di successo e i confini operativi, in modo da garantire massima trasparenza e allineamento sugli obiettivi.

Pianificazione e simulazione

Sulla base dello scope concordato, redigiamo un piano di test dettagliato, comprensivo di scenari di attacco, strumenti e tempistiche. Parallelamente, prepariamo un ambiente di staging che replica fedelmente la vostra infrastruttura IoT/OT, dove eseguiamo simulazioni preliminari per validare le contromisure, dalle regole di segmentazione di rete alle policy di aggiornamento firmware, prima di passare all’attacco vero e proprio.

Esecuzione controllata

Il nostro team di pentesting certificato conduce i test secondo modalità “white-box” o “black-box” a seconda delle vostre esigenze: nel primo caso con accesso a documentazione e credenziali, nel secondo in pieno anonimato. Ogni attività è strettamente monitorata e documentata, per garantire la massima sicurezza operativa e conformità ai requisiti normativi.

Reporting e remediation

Al termine dei test, consegniamo un report tecnico completo di severity rating (CVSS), Proof-of-Concept e raccomandazioni operative. Organizziamo quindi una sessione di debriefing con i team di sviluppo e operation per illustrare i risultati e definire insieme le priorità di intervento. Offriamo poi supporto diretto nella fase di remediation, affiancandovi nella messa in pratica delle misure correttive più efficaci.

Retest e certificazione

Una volta implementate le contromisure, eseguiamo un retest mirato per verificare l’effettiva risoluzione delle vulnerabilità emerse. Infine, prepariamo tutta la documentazione necessaria per l’ottenimento della marcatura CE: dal dossier tecnico ai risultati di test rinnovati, fino al Software Bill of Materials (SBOM) e alle procedure di aggiornamento. In questo modo, collaboriamo a 360° con il Notified Body, rendendo il processo di certificazione rapido, efficiente e privo di sorprese.

Collabora con noi per l’adeguamento ai requisiti della RED DA

Siamo il partner ideale per la sicurezza dei tuoi sistemi grazie a un’esperienza consolidata in settori strategici come Energy, Manufacturing, Healthcare e Smart City. Operiamo in piena conformità con i principali standard internazionali (EN 18031, IEC 62443, ISO 27001, OWASP, NIST).

Il nostro team, certificato e indipendente, assicura la massima riservatezza e obiettività. Collaboriamo attivamente con organismi notificati e System Integrator, integrando i nostri risultati nei loro processi di certificazione per ottimizzare tempi e costi degli audit.

Vuoi maggiori informazioni per trasformare l’obbligo di conformità in un vantaggio competitivo? Scrivici a info@betrusted.it