ETD

• Compliance maturity model
• Cyber Resilience Act
• Design Science Research
• IIoT security
• manufacturing SME
• NIS2
• SBOM

The Cyber Resilience Act, a European regulation, now weighs on Italian companies, with deadlines drawing closer and no harmonized standards yet in place to translate the law into operational technical specifications. This work investigates how an Italian manufacturing SME can build, already today, a solid and defensible compliance posture despite limited resources.
The proposed solution starts by mapping the regulatory text onto sector standards, from which verifiable criteria directly linked to the legal provisions are derived. On this basis, the ENISA maturity model for SMEs is extended from five to seven domains, so as to also include the supply-chain obligations that NIS2-regulated clients pass down contractually to their suppliers.
This expanded model is then applied to the Zerynth case study, an industrial IoT manufacturer, and its results form the basis for a concrete compliance roadmap.
The interventions identified aim first at meeting the CRA's first deadline, September 11, through open-source components capable of building a tool that can notify the authorities within the required timeframe, giving the company effective control over its entire security perimeter.
At the end of the study period, the model is reassessed to quantify the actual improvement achieved in the company's security posture.

La normativa europea sul Cyber Resilience Act incombe ormai sulle imprese italiane, con scadenze sempre più vicine e senza che esistano ancora standard armonizzati capaci di tradurre la norma in specifiche tecniche operative. Questo elaborato indaga come una PMI manifatturiera italiana possa costruire, già oggi, una conformità solida e difendibile, pur disponendo di risorse limitate.
La soluzione proposta parte dalla mappatura del testo normativo sugli standard di settore, da cui derivano criteri verificabili e direttamente collegati alle disposizioni di legge. Su questa base viene esteso il modello di maturità ENISA per le PMI, portandolo da cinque a sette domini, così da includere anche gli obblighi di supply chain che i clienti soggetti a NIS2 trasferiscono contrattualmente ai propri fornitori.
Il modello così ampliato viene applicato al caso studio di Zerynth, produttore IoT industriale, e sui risultati ottenuti viene costruita una roadmap di compliance concreta.
Gli interventi individuati mirano in primo luogo a rispettare la prima scadenza del CRA, l'11 settembre, attraverso componenti open source in grado di realizzare uno strumento capace di notificare le autorità entro i tempi previsti, garantendo così all'azienda un controllo effettivo sull'intero perimetro di sicurezza.
Al termine del periodo di studio, il modello viene rielaborato per quantificare il miglioramento effettivamente ottenuto nella postura di sicurezza dell'azienda.