Il Cyber Resilience Act (CRA), regolamento UE 2024/2847, rappresenta un passo significativo che consente di definire la nozione di sicurezza dei prodotti, delineata dalla normativa europea, anche alla luce dei profili di sicurezza informatica.
Questo regolamento introduce un approccio innovativo nella gestione dei rischi legati alla cybersicurezza dei prodotti digitali, assicurando che tali prodotti soddisfino elevati standard di sicurezza.
Seguendo i principi del nuovo approccio, il Cyber Resilience Act, al pari di altri regolamenti recentemente adottati, quali il GPSR (regolamento sulla sicurezza generale dei prodotti) o l’AI Act, indica alcuni requisiti essenziali obbligatori, affidando agli organismi europei di normazione tecnica, quali ETSI, CEN e CENELEC, il compito di definire gli standard armonizzati da rispettare per assicurare la conformità dei prodotti alla normativa europea.
Indice degli argomenti
Obblighi per fabbricanti, importatori e distributori
Una delle principali innovazioni del Cyber Resilience Act è la definizione chiara dei requisiti essenziali di sicurezza per i prodotti digitali.
L’Allegato I del regolamento definisce in dettaglio le caratteristiche di sicurezza necessarie volte ad assicurare, da un lato, un’adeguata protezione contro eventuali accessi non autorizzati e la resilienza alle interruzioni di servizi e, dall’altro, un’efficiente gestione delle vulnerabilità da parte dei fabbricanti, che devono disporre di sistemi adeguati a monitorare e risolvere tempestivamente le vulnerabilità, fornendo aggiornamenti di sicurezza regolari.
Inoltre, il Cyber Resilience Act stabilisce obblighi specifici per fabbricanti, importatori e distributori. I fabbricanti devono garantire la conformità attraverso valutazioni di rischio e notifiche tempestive alle autorità competenti in caso di incidenti gravi.
Gli importatori e distributori sono tenuti a verificare la conformità prima dell’immissione sul mercato.
Creazione di un quadro di valutazione di conformità
Il regolamento prevede procedure differenziate per la valutazione della conformità basate sulla classe di rischio del prodotto. I prodotti a basso rischio possono essere valutati mediante controlli interni, mentre quelli ad alto rischio richiedono l’intervento di organismi terzi per ottenere dichiarazioni formali di conformità.
In aggiunta a ciò, viene istituito un meccanismo rigoroso di vigilanza del mercato con sanzioni significative in caso di violazioni. Le sanzioni possono arrivare fino al 2,5% del fatturato mondiale dell’impresa o a 15 milioni di euro, rappresentando così un deterrente efficace contro comportamenti scorretti.
Il raccordo con le normative europee
Il Cyber Resilience Act si inserisce in un quadro normativo complesso che include altre normative europee rilevanti come il Cybersecurity Act, la Direttiva NIS2, il General Product Safety Regulation (GPSR), il Regolamento Macchine e l’AI Act. Questa interconnessione è fondamentale per garantire una protezione completa dei consumatori.
Ad esempio, il Cybersecurity Act fornisce un quadro volontario europeo per la certificazione della cybersicurezza in coordinamento con gli obiettivi del CRA.
Allo stesso modo, mentre il NIS2 si concentra su servizi essenziali e reti critiche, il CRA assicura che i prodotti digitali utilizzati in tali contesti rispettino standard elevati.
Inoltre, Il regolamento macchine, (UE) 2023/1230, che definisce i criteri di sicurezza nella progettazione e costruzione di macchine, prodotti correlati e quasi-macchine, condivide con il CRA campi di applicazione comuni.
Sebbene non vi siano norme esplicite di coordinamento, i considerando del Cyber Resilience Act evidenziano come i requisiti essenziali di cibersicurezza previsti dal CRA stesso sono idonei ad agevolare l’adempimento degli obblighi essenziali di sicurezza del regolamento macchine, in particolare per quanto concerne la protezione contro la corruzione e l’affidabilità dei sistemi di controllo.
Quale strategia per le imprese?
Con l’entrata in vigore lo scorso 10 dicembre 2024 e applicabilità completa dal dicembre 2027 – eccetto alcune disposizioni già operative nel settembre 2026 – le imprese devono iniziare a prepararsi ora.
È cruciale adottare strategie che non solo garantiscano conformità alla nuova normativa ma contribuiscano anche ad assicurare la competitività sul mercato globale.
Particolare attenzione deve essere rivolta al settore manifatturiero italiano, spesso bersaglio degli attacchi informatici.
Le aziende devono implementare misure robuste per migliorare la loro resilienza digitale lungo tutta la catena produttiva.
Conclusione
Il Cyber Resilience Act rappresenta un tassello essenziale nel mosaico normativo europeo dedicato alla sicurezza dei prodotti digitali.
La sua integrazione con altre normative europee rafforza la coerenza ed efficienza nella protezione dei consumatori ma introduce nuovi rischi e sfide significative per le imprese operanti nel mercato europeo.
La continua evoluzione del panorama normativo richiede alle aziende non solo adeguamenti strutturali ma anche una costante vigilanza sulle politiche dell’Unione Europea riguardanti cyber security e la sicurezza dei prodotti.
