Il Cyber Resilience Act (CRA) introduce nuove regole europee per la sicurezza informatica dei prodotti con elementi digitali. Un cambiamento che riguarda non soltanto le aziende tecnologiche, ma anche molte imprese manifatturiere che sviluppano, producono o commercializzano dispositivi e macchinari connessi.

Immaginiamo un'azienda che produce un macchinario industriale collegato alla rete. Il prodotto viene venduto, installato e utilizzato dal cliente. Tutto funziona correttamente. Dopo qualche mese, però, viene scoperta una vulnerabilità nel software che ne gestisce alcune funzioni.

Chi deve intervenire? Chi si occupa di risolvere il problema? E chi informa il cliente?

Sono domande che ogni impresa che immette sul mercato prodotti con componenti digitali dovrebbe porsi.

Con il Cyber Resilience Act, infatti, la cybersecurity non riguarda più soltanto la protezione dei sistemi informatici aziendali, ma diventa anche un requisito dei prodotti, da considerare fin dalla progettazione e durante il loro utilizzo.

Cos'è il Cyber Resilience Act?

Il Cyber Resilience Act, introdotto dal Regolamento UE 2024/2847, è la normativa europea che stabilisce requisiti comuni di sicurezza informatica per i prodotti con elementi digitali. L'obiettivo è ridurre le vulnerabilità e assicurare che i prodotti siano progettati, sviluppati e mantenuti sicuri durante il periodo di supporto previsto.

Il regolamento interessa diverse categorie di prodotti, tra cui:

  • Software e applicazioni.
  • Dispositivi intelligenti e prodotti IoT.
  • Sensori e macchinari industriali connessi.
  • Componenti hardware e software integrati in altri prodotti.

Gli obblighi riguardano principalmente i fabbricanti, ma coinvolgono, con responsabilità differenti, anche importatori e distributori. Non tutti i prodotti sono soggetti alle stesse regole: alcune categorie sono escluse o disciplinate da normative settoriali specifiche.

Per questo, il primo passo per un'impresa è comprendere se i propri prodotti rientrano nel campo di applicazione del CRA.

Cyber Resilience Act: quali sono le scadenze?

Il Cyber Resilience Act è entrato in vigore il 10 dicembre 2024, ma la sua applicazione avviene gradualmente.

Le due principali scadenze da conoscere sono:

  • 11 settembre 2026 – Obblighi di segnalazione: sono già applicabili gli obblighi di comunicazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti.
  • 11 dicembre 2027 – Applicazione generale: diventeranno applicabili i principali requisiti relativi alla sicurezza dei prodotti, alla documentazione tecnica e alla valutazione della conformità.

La prima scadenza riguarda anche prodotti già presenti sul mercato, mentre per gli altri requisiti sono previste disposizioni transitorie.

Cosa cambia concretamente per le aziende?

La novità principale introdotta dal CRA è che la sicurezza informatica deve essere considerata durante tutto il ciclo di vita del prodotto, dalla progettazione fino alla gestione delle vulnerabilità dopo la vendita.

Questo comporta alcuni cambiamenti concreti nei processi aziendali.

1. Progettare prodotti sicuri fin dall'inizio

La cybersecurity deve essere integrata già nelle attività di sviluppo. Ad esempio, un produttore di dispositivi connessi dovrà valutare i possibili rischi informatici, prevedere adeguati controlli di accesso e adottare misure di protezione coerenti con le caratteristiche del prodotto.

2. Gestire le vulnerabilità anche dopo la vendita

Se viene individuato un problema di sicurezza, il fabbricante deve essere in grado di valutarlo e affrontarlo, rendendo disponibili gli aggiornamenti necessari durante il periodo di supporto. La responsabilità, quindi, non termina con la consegna al cliente.

3. Prestare attenzione ai fornitori

Un prodotto può contenere software o componenti sviluppati da terzi. Conoscere questi elementi e gestire i rischi associati diventa essenziale per garantire la sicurezza del prodotto finale.

4. Documentare le misure adottate

Le imprese devono poter dimostrare come hanno valutato i rischi, quali misure di sicurezza hanno implementato e come rispettano i requisiti applicabili. La cybersecurity diventa così un tema che coinvolge non soltanto l'IT, ma anche progettazione, qualità, acquisti e gestione dei processi.

Cosa succede se viene scoperta una vulnerabilità?

Uno degli aspetti più rilevanti del CRA riguarda la gestione delle vulnerabilità informatiche. Se un'azienda viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave che incide sulla sicurezza di un proprio prodotto, è tenuta ad effettuare una segnalazione alle autorità competenti.

Per gli eventi soggetti a notifica, il regolamento prevede:

  • Una prima segnalazione entro 24 ore dalla conoscenza dell'evento.
  • Una comunicazione più completa entro 72 ore.
  • Una relazione finale secondo le tempistiche previste per la specifica tipologia di evento.

Le comunicazioni avvengono attraverso la piattaforma unica di segnalazione gestita da ENISA, l'Agenzia dell'Unione europea per la cybersicurezza. Questo significa che le imprese interessate devono avere procedure chiare per riconoscere, valutare e gestire tempestivamente i problemi di sicurezza.

La tua azienda è pronta per il Cyber Resilience Act?

Comprendere gli obblighi del regolamento è importante, ma lo è altrettanto capire quanto l'organizzazione sia già preparata a rispettarli.

Per iniziare, può essere utile porsi tre domande:

1. Sappiamo quali prodotti del nostro catalogo rientrano nel Cyber Resilience Act?

2. Se domani venisse scoperta una vulnerabilità in un prodotto già venduto, sapremmo chi deve intervenire e come gestirla?

3. Siamo in grado di dimostrare quali misure adottiamo per garantire la sicurezza dei nostri prodotti?

Se le risposte non sono immediate, potrebbe essere necessario approfondire l'organizzazione dei processi e delle responsabilità.

Cyber Resilience Act: da dove iniziare?

Il Cyber Resilience Act invita le imprese a guardare alla cybersecurity come a una responsabilità che coinvolge prodotti, processi e persone. La domanda da porsi non è quindi soltanto se un prodotto sia sicuro, ma se l'azienda sia in grado di dimostrare come ne gestisce la sicurezza nel tempo.

Grazie alle proprie competenze in cybersecurity, valutazione dei rischi, sistemi di gestione, compliance e formazione, UOMOeAMBIENTE può supportare le imprese nell'analisi dei processi aziendali e nell'individuazione delle aree su cui intervenire.

Il Cyber Resilience Act riguarda anche la tua azienda?

Contatta UOMOeAMBIENTE per un primo confronto sull'applicabilità del regolamento e sul livello di preparazione della tua organizzazione.