ENISA ha pubblicato il 4 novembre indicazioni tecniche sui meccanismi sicuri di aggiornamento del software. Il documento è rivolto ai produttori e affronta autenticità dei pacchetti, protezione della catena di distribuzione, gestione delle chiavi, recupero dopo errori e comunicazione del supporto. Un update è un canale privilegiato: se compromesso, distribuisce il problema a tutti i clienti.
Le buone pratiche includono firma verificabile, versioni anti-rollback, separazione delle chiavi e procedure per aggiornamenti falliti. È importante anche decidere cosa accade quando un prodotto non è più supportato. Un dispositivo che non riceve patch può restare in rete per anni, diventando un rischio per utenti e terzi.
Il documento aiuta imprese italiane a prepararsi agli obblighi europei del Cyber Resilience Act. Fabbricanti e importatori dovranno documentare supporto, vulnerabilità e aggiornamenti lungo il ciclo di vita. Anche chi integra componenti open source deve sapere quali dipendenze usa e come distribuire rapidamente una correzione.
La guida deve essere tradotta in progettazione e test, non soltanto in policy. Autorità e clienti dovranno verificare tempi di patch, firme e procedure di recupero. Aggiornamenti automatici sono utili quando sicuri e reversibili; nei sistemi industriali può servire una finestra controllata, ma il rinvio deve essere motivato e monitorato.