Cyber Resilience Act: obblighi e prodotti coinvolti

I requisiti di conformità del Cyber Resilience Act

Il Cyber Resilience Act agisce sia normando i requisiti minimi di sicurezza informatica, sia richiedendo ai principali attori economici che gestiscono il prodotto una gestione tracciata e strutturata delle vulnerabilità.

Requisiti Essenziali di Cibersicurezza

1. Requisiti di sicurezza informatica relativi alle proprietà dei prodotti con elementi digitali. I prodotti devono essere progettati, sviluppati e fabbricati in modo tale da garantire un livello adeguato di cyber security commisurato ai rischi. Devono essere immessi sul mercato “senza vulnerabilità note sfruttabili”. I requisiti specifici includono, ad esempio:
   • Controllo degli accessi e protezione dei dati
   • Principi di privacy e trattamento dei dati
   • Disponibilità, integrità e resilienza
   • Sicurezza delle superfici di attacco e configurazioni del perimetro di sicurezza
2.  Requisiti di gestione delle vulnerabilità. Il CRA richiede ai fabbricanti una gestione strutturata delle vulnerabilità per l’intero periodo di assistenza del prodotto (almeno 5 anni o la durata d’uso prevista, se inferiore). Gli obblighi principali includono:
   • Creare e mantenere una SBOM (distinta base software) con le dipendenze di primo livello.
   • Adottare una politica di divulgazione coordinata delle vulnerabilità (CVD), eventualmente con bug bounty.
   • Segnalare rapidamente vulnerabilità attivamente sfruttate e incidenti gravi a CSIRT ed ENISA (entro 24 ore per incidenti).
   • Eseguire test e revisioni di sicurezza regolari.
   • Rilasciare aggiornamenti di sicurezza tempestivi per l’intero periodo di assistenza.
   • Fornire un indirizzo di contatto pubblico per le segnalazioni di vulnerabilità.

Obblighi degli Operatori Economici

Il CRA impone obblighi specifici ai diversi operatori economici lungo la catena di approvvigionamento: fabbricanti, rappresentanti autorizzati, importatori, distributori e gestori di software open source.

• I fabbricanti hanno gli obblighi più ampi: devono progettare e produrre i prodotti in linea con i requisiti di cibersicurezza, effettuare e aggiornare valutazioni dei rischi, garantire la gestione delle vulnerabilità (anche di componenti di terze parti) e adottare misure correttive in caso di non conformità. Devono inoltre documentare la conformità, redigere la Dichiarazione UE, apporre la marcatura CE e fornire agli utenti istruzioni chiare su assistenza e aggiornamenti. La documentazione tecnica e la dichiarazione di conformità vanno conservate e rese disponibili alle autorità per almeno dieci anni o per l’intero periodo di assistenza del prodotto.
• Rappresentanti Autorizzati: agiscono per conto del fabbricante per specifici compiti come la conservazione della documentazione e la cooperazione con le autorità, ma non per gli obblighi principali di progettazione e produzione.
• Importatori: si assicurano che i prodotti da paesi terzi rispettino i requisiti essenziali di cibersicurezza e che il fabbricante abbia eseguito le procedure di valutazione della conformità, redatto la documentazione tecnica, apposto la marcatura CE e fornito le istruzioni per l’utente, prima di immetterli sul mercato UE. Devono informare il fabbricante e le autorità di vigilanza del mercato in caso di non conformità o rischi significativi.
• Distributori: verificano che il prodotto rechi la marcatura CE e che il fabbricante e l’importatore abbiano adempiuto ai loro obblighi prima di rendere il prodotto disponibile sul mercato. In caso di sospetta non conformità o rischio, devono informare il fabbricante e le autorità di vigilanza del mercato.
• Gestori di Software Open Source: sono soggetti a un regime semplificato e su misura, che include obblighi di sviluppare e pubblicare politiche di cyber security (in particolare per la coordinazione delle vulnerabilità), cooperare con le autorità di vigilanza del mercato e segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sui sistemi di sviluppo. Sono esclusi dalle sanzioni amministrative pecuniarie.

Sanzioni previste dal Cyber Resilience Act

Gli Stati membri nomineranno autorità di vigilanza del mercato responsabili dell’applicazione del CRA. In caso di non conformità, queste autorità possono richiedere misure correttive, proibire o limitare l’immissione del prodotto sul mercato, o ordinarne il ritiro. Il CRA prevede sanzioni amministrative pecuniarie massime per le violazioni, che gli Stati membri dovranno recepire nelle loro leggi nazionali:

• Fino a 15 milioni di Euro o 2,5% del fatturato mondiale annuo per la non conformità ai requisiti essenziali di Allegato I e agli obblighi degli articoli 13 e 14 del Cyber Resilience Act.
• Fino a 10 milioni di Euro o 2% del fatturato mondiale annuo per la non conformità ad altri obblighi del regolamento.
• Fino a 5 milioni di Euro o 1% del fatturato mondiale annuo per la fornitura di informazioni inesatte, incomplete o fuorvianti.

Il Cyber Resilience Act impone sfide significative in termini di costi di conformità, possibili ambiguità normative e tempistiche stringenti, con il rischio concreto che gli oneri maggiori vengano trasferiti dai grandi produttori alle PMI. Il regolamento riconosce queste criticità e integra un solido pacchetto di misure di sostegno che include moduli tecnici semplificati, tariffe ridotte, supporto formativo e finanziario, e l’accesso a sandboxes regolatorie.

Sebbene l’adeguamento iniziale rappresenti un ostacolo, la conformità può (e dovrebbe) tradursi in un vantaggio competitivo, aumentando la fiducia dei consumatori e garantendo parità di condizioni in un mercato armonizzato. L’efficacia di questa transizione dipenderà dall’implementazione pratica delle misure di sostegno e dalla capacità delle PMI di sfruttare appieno gli strumenti messi a loro disposizione.