Cos'è il Regolamento sulla resilienza cibernetica
Il Regolamento sulla resilienza cibernetica, noto come CRA, è il Regolamento (UE) 2024/2847. Stabilisce requisiti orizzontali di cybersecurity per i prodotti con elementi digitali commercializzati nell'Unione Europea. Il suo obiettivo è che la sicurezza faccia parte del prodotto fin dalla progettazione e venga mantenuta durante il periodo di supporto, anziché dipendere solo dalla diligenza di chi lo acquista.
La norma risponde a due problemi connessi: prodotti che arrivano sul mercato con vulnerabilità e produttori che non offrono aggiornamenti o informazioni chiare per un tempo sufficiente. Per affrontarli, fissa obblighi lungo il ciclo di vita del prodotto e rende più visibile il supporto alla sicurezza. Non è una certificazione generale delle aziende né una legge limitata ai dati personali: regola la cybersecurity dei prodotti, oltre alla catena di operatori che li immettono sul mercato.
Il CRA è in vigore dal 10 dicembre 2024, ma i suoi obblighi si applicano a fasi. L'entrata in vigore significa che il regolamento fa parte dell'ordinamento giuridico; non equivale a dire che tutti i suoi requisiti siano esigibili da quella data. Gli obblighi generali di conformità iniziano l'11 dicembre 2027, mentre il dovere di notificare determinati incidenti e vulnerabilità si applica dall'11 settembre 2026.
Quali prodotti sono coperti e chi è responsabile
Il concetto centrale è il prodotto con elementi digitali: un prodotto hardware o software la cui finalità prevista o uso ragionevolmente prevedibile includa una connessione di dati diretta o indiretta, fisica o logica, con un altro dispositivo o una rete. Può includere un router, una fotocamera connessa, un sistema operativo, un'applicazione commerciale o un componente digitale venduto separatamente. Il determinante non è l'etichetta commerciale, ma la funzionalità e la connessione del prodotto.
La norma assegna responsabilità a produttori, importatori e distributori, con il produttore come responsabile principale di progettare e mantenere un prodotto conforme. La categoria giuridica di produttore può estendersi a un'azienda che commercializza il prodotto sotto il proprio nome o marchio, o che lo modifica sostanzialmente. Pertanto, un'azienda che acquista un dispositivo finito e lo vende con marchio proprio non deve assumere automaticamente di agire solo come distributore.
Gli importatori devono verificare, tra le altre cose, che il produttore abbia seguito la procedura di valutazione di conformità e che il prodotto disponga della documentazione e della marcatura richieste. I distributori hanno doveri di diligenza prima della commercializzazione e devono agire di fronte a rischi o non conformità di cui hanno conoscenza. In una catena semplice, i compiti possono essere riassunti così, sebbene i dettagli dipendano dal ruolo legale di ogni azienda:
Responsabilità nella catena di approvvigionamento
| Attore | Responsabilità principale secondo il CRA | Significato pratico |
|---|---|---|
| Produttore | Soddisfare i requisiti essenziali, valutare i rischi, documentare la conformità e gestire le vulnerabilità. | Mantenere un processo di sicurezza dallo sviluppo alla fine del periodo di supporto. |
| Importatore | Verificare che il prodotto e il produttore rispettino gli obblighi applicabili prima dell'immissione sul mercato UE. | Rivedere marcatura, documentazione e informazioni richieste, e agire se si rilevano rischi. |
| Distributore | Esercitare la dovuta diligenza prima della commercializzazione e cooperare in caso di problemi di conformità. | Smettere di offrire un prodotto se si sa o si sospetta una non conformità rilevante. |
| Consumatore | Non è un operatore vincolato da questi obblighi di commercializzazione. | Beneficia di informazioni più chiare su sicurezza e supporto; la norma non sostituisce le sue decisioni di uso sicuro. |
L'ambito non significa che qualsiasi servizio digitale sia automaticamente soggetto al CRA. Il regolamento si concentra sui prodotti con elementi digitali; determinati servizi di elaborazione remota possono entrare in gioco quando fanno parte della funzionalità di un prodotto coperto. Ci sono anche esclusioni o regimi particolari, ad esempio per prodotti coperti da normativa settoriale specifica e per software libero sviluppato al di fuori di un'attività commerciale. Non conviene presumere un'esclusione solo perché il prodotto usa codice open source o include un servizio cloud: contano la funzione, la distribuzione e il contesto commerciale.
Requisiti per progettazione, manutenzione e conformità
Il produttore deve integrare la cybersecurity nella progettazione, nello sviluppo e nella produzione, valutare i rischi pertinenti e adottare misure proporzionate. L'allegato I del regolamento include requisiti relativi, tra le altre cose, a configurazioni sicure predefinite, protezione contro accessi non autorizzati e gestione delle vulnerabilità. L'idea pratica è che la sicurezza non venga aggiunta come un patch dell'ultimo minuto: deve influenzare le decisioni di architettura, sviluppo e immissione sul mercato.
La gestione delle vulnerabilità continua dopo la vendita. Il produttore deve identificare e correggere le vulnerabilità, fornire aggiornamenti di sicurezza e dichiarare un periodo di supporto. Questo periodo deve considerare la vita utile prevista del prodotto; il regolamento stabilisce, come regola generale, un minimo di cinque anni, salvo che ci si aspetti che il prodotto venga usato per meno tempo. Cinque anni non sono un termine universale scollegato dal prodotto: il periodo deve essere interpretato insieme alla vita utile prevista e alle condizioni del regolamento.
Prima di commercializzare un prodotto coperto, il produttore deve completare la valutazione di conformità applicabile, preparare la documentazione tecnica ed emettere la dichiarazione corrispondente; ove applicabile, il prodotto porterà la marcatura CE. Il livello di valutazione dipende dalla classificazione e dalle vie di conformità disponibili. Di conseguenza, la marcatura CE legata al CRA comunica la conformità ai requisiti applicabili, non che il prodotto sia invulnerabile o riceverà supporto indefinito.
Per un'azienda, questo trasforma la conformità in un lavoro coordinato tra sviluppo, sicurezza, prodotto, acquisti e conformità normativa. Un inventario di prodotti e componenti aiuta a identificare cosa rientra nell'ambito, chi ricopre ogni ruolo e quali impegni di supporto esistono. Mantenere registri di rischi, modifiche, aggiornamenti e vulnerabilità facilita rispondere sia agli incidenti che alle valutazioni di conformità.
Notifica di vulnerabilità e incidenti
Dall'11 settembre 2026, l'articolo 14 richiede ai produttori di notificare due tipi di situazioni: vulnerabilità attivamente sfruttate in prodotti con elementi digitali e incidenti gravi che ne affettino la sicurezza. Non ogni vulnerabilità rilevata diventa per questo una notifica di questo tipo: deve essere raggiunto il limite definito dal regolamento. L'obbligo copre anche prodotti già immessi sul mercato, non solo quelli lanciati dopo quella data.
La notifica segue diverse fasi. Il produttore deve inviare un allarme precoce senza ingiustificato ritardo e, in ogni caso, entro 24 ore dalla presa di conoscenza del caso. La comunicazione viene completata entro 72 ore. Successivamente si presenta un rapporto finale: per una vulnerabilità, entro 14 giorni dalla disponibilità di una misura correttiva; per un incidente grave, entro un mese dalla notifica di 72 ore. Sono termini con punti di inizio e deliverable diversi, quindi non devono essere ridotti a una sola scadenza.
La notifica è canalizzata tramite la piattaforma unica dell'UE e indirizzata al CSIRT coordinatore corrispondente, con accesso simultaneo dell'ENISA secondo il meccanismo del regolamento. Operativamente, la sfida consiste nel riconoscere presto se l'evento affetta un prodotto coperto, determinare quando l'azienda acquisisce conoscenza sufficiente e attivare le persone autorizzate a informare. Un processo interno che dipenda dall'improvvisare queste decisioni dopo un incidente difficilmente si adatterà a un primo allarme di 24 ore.
La notifica regolatoria non sostituisce la risposta tecnica: indagare l'ambito, contenere il problema, preparare un aggiornamento o mitigazione e informare gli utenti quando opportuno restano compiti centrali. Né ogni avviso a un team nazionale di risposta agli incidenti equivale automaticamente a una notifica CRA. Il criterio è il tipo di evento e l'obbligo previsto nell'articolo 14.
Calendario: entrata in vigore e applicazione
Il calendario ha tre tappe da distinguere. Il regolamento è entrato in vigore il 10 dicembre 2024. Gli obblighi di notifica delle vulnerabilità attivamente sfruttate e degli incidenti gravi si applicano dall'11 settembre 2026. L'applicazione generale delle altre obbligazioni principali è prevista per l'11 dicembre 2027.
| Data | Cosa accade | Conseguenza pratica |
|---|---|---|
| 10 dicembre 2024 | Entrata in vigore del Regolamento (UE) 2024/2847. | La norma esiste giuridicamente, ma la maggior parte degli obblighi ha ancora un periodo transitorio. |
| 11 settembre 2026 | Si applicano gli obblighi di notifica dell'articolo 14. | I produttori devono poter notificare i casi previsti, anche se affettano prodotti già commercializzati. |
| 11 dicembre 2027 | Applicazione generale degli obblighi principali. | Si applicano i requisiti di cybersecurity, conformità e documentazione previsti per i prodotti coperti. |
L'effetto delle date su un prodotto specifico dipende dalla sua situazione e dal regime transitorio. Un'azienda non dovrebbe interpretare il 2027 come permesso di rimandare ogni preparazione: le notifiche sono già esigibili da settembre 2026, e i processi di progettazione, supporto e valutazione richiedono tempo. Al contempo, dire che il CRA si applica pienamente dal 2024 sarebbe errato: il calendario è scalare e ogni obbligo deve essere associato alla propria tappa.
Per organizzare il lavoro, una revisione iniziale può seguire questo ordine: identificare i prodotti venduti nell'UE; determinare se ciascuno rientra nell'ambito; assegnare produttore, importatore o distributore; rivedere vulnerabilità e processi di notifica; e pianificare valutazione di conformità, documentazione e supporto per la tappa generale del 2027. La classificazione e le eccezioni richiedono analisi caso per caso, non una regola unica per tutte le categorie.
Differenza tra CRA e GDPR
Il CRA e il GDPR regolano problemi distinti. Il CRA fissa requisiti di cybersecurity per prodotti con elementi digitali e obblighi per gli operatori economici che li commercializzano. Il GDPR regola il trattamento dei dati personali e le responsabilità di chi determina o esegue quel trattamento. Un dispositivo può essere soggetto a entrambi i quadri se, oltre a essere un prodotto coperto, tratta dati personali.
Ad esempio, un produttore di una fotocamera connessa deve considerare la progettazione sicura, la gestione delle vulnerabilità e il periodo di supporto sotto il CRA. Se l'azienda tratta immagini che identificano persone, deve anche analizzare i suoi obblighi di protezione dei dati sotto il GDPR, secondo il suo ruolo e le circostanze del trattamento. Rispettare una norma non sostituisce il rispetto dell'altra: un aggiornamento di sicurezza non risolve da solo questioni come la base giuridica o la trasparenza del trattamento.
La differenza aiuta anche i consumatori a interpretare cosa aspettarsi. Il CRA cerca di rafforzare la sicurezza del prodotto e le informazioni sul suo supporto, ma non garantisce che non accada mai un'intrusione, che un prodotto non abbia difetti né che ogni trattamento di dati sia lecito. Per confrontare dispositivi, è utile rivedere chi offre gli aggiornamenti, per quanto tempo sono previsti e quali informazioni il produttore fornisce sul supporto. Questi segnali non sostituiscono la conformità legale, ma aiutano a capire la manutenzione attesa.