Cyber Resilience Act: cosa cambia per chi acquista prodotti digitali

Per anni chi comprava un software, una telecamera, un router o un dispositivo "intelligente" non aveva garanzie sulla sua sicurezza informatica: password predefinite uguali per tutti, aggiornamenti interrotti dopo poco tempo, vulnerabilità note mai corrette. Il Cyber Resilience Act, regolamento UE 2024/2847, cambia questa situazione introducendo requisiti di sicurezza obbligatori per i prodotti venduti nel mercato europeo.

A cosa si applica

Il regolamento riguarda i prodotti con elementi digitali, cioè hardware e software che si collegano, direttamente o indirettamente, a una rete o a un altro dispositivo. Rientrano ad esempio:

• programmi e applicazioni;
• computer, telefoni, tablet e loro componenti;
• router, firewall, dispositivi di rete;
• telecamere, stampanti, dispositivi domestici e industriali connessi.

Sono esclusi alcuni prodotti già disciplinati da norme europee specifiche, come dispositivi medici, veicoli e aeronautica, e il software libero sviluppato senza finalità commerciali.

Chi ha gli obblighi

Gli obblighi principali ricadono sui fabbricanti, che devono:

• progettare e sviluppare i prodotti tenendo conto della sicurezza fin dall'inizio;
• immetterli sul mercato senza vulnerabilità note sfruttabili e con configurazioni sicure predefinite;
• gestire le vulnerabilità durante il periodo di supporto, fornendo aggiornamenti di sicurezza;
• indicare chiaramente il periodo di supporto, che di regola deve essere di almeno cinque anni salvo prodotti con una vita d'uso più breve;
• predisporre la documentazione tecnica e apporre la marcatura CE.

Anche importatori e distributori hanno obblighi di verifica: non possono mettere in commercio prodotti non conformi.

Le scadenze

Il regolamento è entrato in vigore il 10 dicembre 2024, con un'applicazione graduale:

• dall'11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti, con un preallarme entro 24 ore, una notifica entro 72 ore e una relazione successiva;
• dall'11 dicembre 2027 il regolamento si applica per intero, e i prodotti immessi sul mercato devono rispettare tutti i requisiti.

Cosa cambia per chi acquista

Anche se gli obblighi sono dei fabbricanti, il CRA offre ad aziende ed enti strumenti concreti per acquistare meglio:

• chiedere la conformità: dal 2027, la marcatura CE dovrà attestare anche il rispetto dei requisiti di cibersicurezza;
• valutare il periodo di supporto: sapere fino a quando un prodotto riceverà aggiornamenti permette di pianificare le sostituzioni e di confrontare offerte diverse;
• pretendere configurazioni sicure: niente password predefinite uguali per tutti, aggiornamenti disponibili;
• conoscere le componenti: i fabbricanti dovranno tenere traccia dei componenti software usati, un'informazione utile quando emerge una vulnerabilità in una libreria diffusa;
• inserire i requisiti nei capitolati e nei contratti, specialmente negli acquisti pubblici e per i fornitori critici.

Il collegamento con la NIS2

Per i soggetti NIS2, la sicurezza della catena di fornitura è una misura obbligatoria. Il CRA rende più facile soddisfarla: prodotti conformi, informazioni sul supporto e gestione delle vulnerabilità sono elementi che chi acquista può verificare e documentare.

In sintesi

Il Cyber Resilience Act sposta una parte della responsabilità della sicurezza da chi usa i prodotti a chi li fabbrica. Per chi acquista è un'occasione per fare domande precise su sicurezza e aggiornamenti, e per smettere di comprare dispositivi destinati a diventare porte aperte.