La cybersicurezza dei prodotti digitali entra in una fase operativa più stringente con il Cyber Resilience Act, il Regolamento (UE) 2024/2847, entrato in vigore il 10 dicembre 2024. Il provvedimento introduce requisiti orizzontali per i prodotti con elementi digitali, cioè hardware e software destinati a essere collegati, direttamente o indirettamente, a dispositivi o reti. L’obiettivo è garantire che tali prodotti siano progettati, sviluppati e mantenuti secondo un livello di sicurezza adeguato ai rischi lungo tutto il loro ciclo di vita. L’Allegato I richiede, tra l’altro, progettazione sicura in funzione del rischio, configurazioni sicure per impostazione predefinita e gestione delle vulnerabilità.
L’applicazione generale del Regolamento è prevista dall’11 dicembre 2027, ma alcune disposizioni sono già operative. In particolare, dall’11 settembre 2026 si applicano gli obblighi di segnalazione previsti dall’articolo 14 per le vulnerabilità attivamente sfruttate e per gli incidenti gravi che incidono sulla sicurezza dei prodotti. Per agevolare l’attuazione del nuovo quadro, il 27 luglio 2026 la Commissione europea ha pubblicato specifiche linee guida applicative, con chiarimenti destinati anche alle micro, piccole e medie imprese.
Cybersicurezza: ambito, rischio e obblighi di segnalazione
Le linee guida precisano innanzitutto quali prodotti rientrano nel perimetro del CRA: software autonomi, dispositivi con software incorporato, componenti hardware, sistemi IoT e soluzioni in cui hardware e software sono progettati per funzionare insieme. Un elemento centrale è la valutazione del rischio di cybersicurezza, che il fabbricante deve utilizzare per individuare vulnerabilità, superfici di attacco e possibili conseguenze sull’uso del prodotto. I chiarimenti riguardano anche le modifiche sostanziali, che possono far scattare nuovi obblighi quando incidono sulla destinazione d’uso, introducono nuove interfacce o alterano in modo significativo il profilo di rischio.
La gestione delle vulnerabilità deve proseguire per il periodo di supporto del prodotto, che in linea generale deve essere di almeno cinque anni, salvo i casi in cui il periodo di utilizzo previsto sia inferiore. Se viene individuata una vulnerabilità attivamente sfruttata, il fabbricante deve inviare tramite la piattaforma unica un primo avviso entro 24 ore e una notifica più completa entro 72 ore. Il rapporto finale va trasmesso entro 14 giorni dalla disponibilità della misura correttiva o di mitigazione. Per un incidente grave valgono gli stessi termini iniziali di 24 e 72 ore, mentre il rapporto finale è previsto entro un mese dalla notifica dell’incidente.
Prodotti connessi: cosa cambia nella gestione aziendale
Le imprese devono quindi distinguere tra obblighi diretti e ricadute organizzative del Cyber Resilience Act. I principali adempimenti ricadono sui fabbricanti e, in funzione del ruolo nella catena di fornitura, anche su importatori e distributori. Le aziende che utilizzano macchine, impianti, dispositivi IoT o altri prodotti connessi devono però prestare particolare attenzione alla sicurezza degli strumenti acquistati e mantenuti in esercizio.
In concreto, è opportuno censire i prodotti con elementi digitali presenti in azienda, verificare chi assicura gli aggiornamenti e per quanto tempo, definire procedure per ricevere e gestire le segnalazioni di vulnerabilità e richiedere ai fornitori informazioni sulla conformità e sulle misure di sicurezza adottate. Nei contesti produttivi una vulnerabilità informatica può infatti avere conseguenze non solo sui dati, ma anche sulla continuità operativa e sul funzionamento di macchine e impianti interconnessi.
La gestione del rischio cyber dovrebbe quindi essere coordinata con manutenzione, sicurezza delle attrezzature e prevenzione aziendale. Un aggiornamento non installato, un accesso remoto non protetto o un componente vulnerabile possono trasformarsi in fattori di rischio anche per l’operatività e, nei casi più critici, per la sicurezza dei lavoratori. Prepararsi in anticipo consente inoltre di distribuire gli adeguamenti nel tempo, evitando interventi concentrati alla vigilia della piena applicazione del Regolamento.