Sicurezza informatica a livello UE per i prodotti digitali

Il 20 novembre 2024 è stata pubblicata nella Gazzetta ufficiale dell'Unione europea il Cyber Resilience Act, la nuova legge sui requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali.

 

Il nuovo regolamento entrerà in vigore venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell'Unione europea (10 dicembre 2024) e sarà direttamente applicabile in tutti gli Stati membri dell'UE 36 mesi dopo la sua entrata in vigore, ovvero dall'11 dicembre 2027.

Alcune disposizioni saranno applicabili già prima:

• 11 giugno 2026: si applicano le disposizioni relative alla notifica degli organismi di valutazione della conformità.
• 11 settembre 2026: si applicano gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi ai sensi dell’articolo 14 del CRA.
• 11 dicembre 2027: le restanti disposizioni del CRA diventano, in linea di principio, applicabili.
  
   

Il nuovo “Cyber Resilience Act” mira a garantire che i prodotti digitali diventino più sicuri per i privati e le imprese. I fabbricanti di tali prodotti, sia hardware che software, saranno tenuti a correggere le vulnerabilità tramite aggiornamenti software e a informare gli utenti finali dei propri prodotti in merito a possibili rischi per la sicurezza informatica. Inoltre, il regolamento definisce i requisiti per lo sviluppo del software, sottolineando così anche il principio di «Security by Design» già previsto dal «Cyber Security Act» attualmente in vigore.

 

Il Cyber Resilience Act persegue l’obiettivo generale di migliorare la cibersicurezza dei prodotti hardware e software sul mercato interno dell’UE. La Commissione concretizza gli obiettivi dell'atto legislativo attraverso quattro misure:

1. Garantire che i fabbricanti migliorino la sicurezza dei prodotti con elementi digitali già nella fase di progettazione e sviluppo e durante l'intero ciclo di vita.
2. Viene garantito un quadro coerente per la cibersicurezza che facilita il rispetto delle norme per i produttori di hardware e software.
3. Viene migliorata la trasparenza delle caratteristiche di sicurezza dei prodotti con elementi digitali.
4. Le aziende e i consumatori possono utilizzare in modo sicuro i prodotti con elementi digitali.
   
    

Dal campo di applicazione del regolamento si evince che tale ambito è molto ampio:

«Il presente regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete.».

In considerazione del suo ampio ambito di applicazione, il regolamento comprende sia prodotti hardware, come macchine e dispositivi IoT, sia prodotti software.

Nel campo di applicazione sono menzionate anche alcune eccezioni: ad esempio, i dispositivi medici ai sensi del regolamento (UE) 2017/745 non rientrano nel campo di applicazione del regolamento.

L'atto giuridico disciplina anche la futura interazione con il regolamento delegato 2022/30, che già ora richiede requisiti di sicurezza per gli apparecchi connessi a Internet ai sensi della direttiva sulle apparecchiature radio 2014/53/UE. Bruxelles ha quindi annunciato che, al fine di evitare sovrapposizioni, il regolamento 2022/30 sarà abrogato. Il relativo atto legislativo è stato pubblicato il 29 aprile 2026 nella Gazzetta ufficiale dell'Unione europea e fissa al 12 dicembre 2027 la data di entrata in vigore del CRA.
 

Analogamente ad altri atti legislativi dell’UE, come la direttiva macchine e la direttiva bassa tensione, anche il Cyber Resilience Act prevede una procedura di valutazione della conformità.

Un elemento essenziale di tale procedura è la valutazione dei rischi di cibersicurezza, che nel presente articolo indichiamo, per analogia con la valutazione del rischio nel campo della sicurezza delle macchine, come «valutazione del rischio cyber». Questa analogia risulta particolarmente utile per i fabbricanti di macchine.

A tale riguardo, l’articolo 13, paragrafo 2, del CRA prevede quanto segue:

«(...) i fabbricanti effettuano una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e tengono conto dei risultati di tale valutazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto con elementi digitali, allo scopo di ridurre al minimo i rischi di cibersicurezza, prevenire gli incidenti e ridurne al minimo il loro impatto, anche in relazione alla salute e alla sicurezza degli utilizzatori.».

A seconda della criticità dei prodotti, la procedura di valutazione della conformità distingue tra controllo interno della produzione (modulo A) e due procedure che richiedono il coinvolgimento di organismi notificati. Maggiori dettagli sono disponibili nella scheda informativa sul Cyber Resilience Act (in inglese).

A nostro avviso, le disposizioni di cui al punto 2 dell’allegato VII del regolamento sono particolarmente rilevanti per i fabbricanti. La documentazione tecnica deve comprendere, tra l’altro, informazioni relative alla progettazione, allo sviluppo, alla produzione e alla gestione delle vulnerabilità.

Ciò significa che, nell’ambito dello sviluppo del software, devono essere documentate sia le decisioni relative all’architettura del software sia quelle relative ai processi di sviluppo e di build. Per i fabbricanti, ciò può comportare ulteriori oneri di documentazione. Ciò comporta ovviamente un aumento degli oneri di documentazione per le aziende. In particolare, il rapido sviluppo tecnologico degli strumenti relativi allo sviluppo del software (ad esempio per i processi di build) porrà sicuramente le aziende di fronte a sfide organizzative gestibili, ma comunque da non sottovalutare.

Il contenuto nel testo:

„CONTENUTO DELLA DOCUMENTAZIONE TECNICA

(…)

una descrizione della progettazione, dello sviluppo e della produzione del prodotto con elementi digitali e dei processi di gestione delle vulnerabilità, tra cui

a) le informazioni necessarie sulla progettazione e sullo sviluppo del prodotto con elementi digitali, compresi, se del caso, disegni e schemi e una descrizione dell’architettura del sistema che spieghi in che modo i componenti software si basano l’uno sull’altro o si alimentano reciprocamente e si integrano nel processo complessivo;

b) le informazioni necessarie e specifiche sui processi di gestione delle vulnerabilità messi in atto dal fabbricante, tra cui la distinta base del software, la politica di gestione della divulgazione coordinata delle vulnerabilità, la prova della fornitura di un indirizzo di contatto per la segnalazione delle vulnerabilità e una descrizione delle soluzioni tecniche scelte per la distribuzione sicura degli aggiornamenti;

c) le informazioni necessarie e specifiche relative ai processi di produzione e monitoraggio del prodotto con elementi digitali e alla convalida di tali processi;
 

Con la pubblicazione della direttiva tecnica TR-03183, l'Ufficio federale tedesco per la sicurezza informatica (Bundesamt für Sicherheit in der Informationstechnik – BSI) offre supporto ai fabbricanti nell'identificazione dei requisiti CRA. Per ulteriori informazioni al riguardo, consultare il nostro Articulo tecnico “Direttiva tecnica per i requisiti di resilienza informatica” (in inglese).
 

A partire dall’11 settembre 2026 entreranno in vigore gli obblighi di segnalazione previsti dal Cyber Resilience Act. A partire da tale data, i fabbricanti dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi relativi a prodotti dotati di elementi digitali.

Per queste segnalazioni, l’ENISA mette a disposizione la cosiddetta Single Reporting Platform (SRP). Essa funge da punto di contatto centrale, in modo che i fabbricanti debbano presentare una segnalazione una sola volta. Al momento della segnalazione, viene selezionato come coordinatore il CSIRT (Computer Security Incident Response Team) competente. La scelta dipende, in linea di principio, dallo Stato membro in cui i fabbricanti hanno la propria sede principale. La segnalazione viene messa a disposizione contemporaneamente all’ENISA e, se necessario, inoltrata ad altri CSIRT interessati e alle autorità di vigilanza del mercato.

Il CRA prevede una procedura di segnalazione a più livelli: entro 24 ore dalla scoperta di un fatto soggetto a obbligo di segnalazione deve essere emesso innanzitutto un allarme preventivo. Entro 72 ore devono essere trasmesse ulteriori informazioni e una prima valutazione. Successivamente è richiesta una relazione finale. In caso di vulnerabilità attivamente sfruttate, tale relazione deve essere presentata entro e non oltre 14 giorni dalla disponibilità di una misura correttiva; in caso di incidenti di sicurezza gravi, entro un mese dalla segnalazione entro 72 ore.

L’ENISA fornisce ora istruzioni concrete sulla registrazione e l’utilizzo della piattaforma SRP, nonché sull’invio e l’aggiornamento delle segnalazioni. I fabbricanti dovrebbero quindi familiarizzarsi tempestivamente con la piattaforma e definire internamente le modalità con cui individuare, valutare e gestire entro i termini previsti eventuali incidenti soggetti a obbligo di segnalazione.