CYBER RESILIENCE ACT: CHI RIGUARDA E LE IMMINENTI SCADENZE DA RISPETTARE

Il Cyber Resilience Act (Regolamento UE 2024/2847) è la prima legge europea che trasforma la cybersicurezza in una condizione essenziale per vendere prodotti digitali nell’Unione.

E’ infatti intervenutoun cambio di prospettiva: la norma non guarda al settore, al fatturato o alla dimensione dell’azienda: guarda al prodotto e, di riflesso, a chi lo immette sul mercato.

Rientra sotto il cappello della normativa qualunque hardware o software che si colleghi, direttamente o indirettamente, a un dispositivo o a una rete: IoT, elettrodomestici smart, app, sistemi operativi o anche componenti software venduti separatamente.

Restano esclusi dispositivi medici e diagnostici, veicoli a motore, aviazione civile ed equipaggiamento marittimo, già coperti da normative settoriali equivalenti, così come Il cloud, che rileva solo se il servizio remoto è sviluppato dal fabbricante ed è indispensabile a una funzione del prodotto (ad esempio le app che controllano le caldaie).

Gli obblighi pesano soprattutto sul fabbricante, ma toccano anche importatori, distributori, rappresentanti autorizzati e gestori di software open source. Il cuore della norma è la security by design e by default: è infatti richiesta una valutazione dei rischi documentata, l’assenza di vulnerabilità note, la cifratura, la minimizzazione dei dati, aggiornamenti, documentazione tecnica e marcatura CE. La voce economicamente più pesante è sicuramente il periodo di supporto da garantire al cliente finale: di regola almeno 5 anni, con gli aggiornamenti da mantenere disponibili per 10 anni dal rilascio.

Veniamo alle scadenze. Il regolamento è in vigore dal 10 dicembre 2024, ma si applica gradualmente  a tappe:

11 giugno 2026: sono già operative le regole sulla notifica degli organismi di valutazione della conformità, al fine della certificazione.

11 settembre 2026: scattano gli obblighi di segnalazione: devono essere segnalate le vulnerabilità attivamente sfruttate e gli incidenti gravi, con tempi a cascata: allerta iniziale entro 24 ore, notifica completa entro 72 ore, relazione finale entro 14 giorni (vulnerabilità) o entro un mese (incidente grave).

11 dicembre 2027: piena applicazione. Ricordiamo che le sanzioni possono raggiungere i 15 milioni di euro o il 2,5% del fatturato mondiale annuo.

In sintesi, le incombenze a carico delle aziende che rientrano nell’ambito del regolamento, devonoora censire i prodotti, definire il proprio ruolo nella catena di distribuzione/vendita, classificare i prodotti, scrivere la procedura di reporting 24/72 ore, rivedere i contratti con fornitori e componenti open source, e coordinare il tutto con le altre normative in materia quali NIS2, DORA e Cybersecurity Act.