Cyber Resilience Act. Cosa cambia per aziende e fornitori ICT

Scopri cosa prevede il Cyber Resilience Act e quali obblighi introduce per aziende e fornitori ICT.

Come ormai si è ben capito, la sicurezza informatica è diventata un obbligo normativo, proprio perché i prodotti digitali rappresentano una componente economica essenziale. Sono presenti ovunque: nei router, nei sistemi industriali, nei servizi cloud e nei software gestionali. Eppure, nonostante siano milioni, questi continuano a essere vulnerabili.

Per contrastare la proliferazione di vulnerabilità presenti nei dispositivi connessi, l’Unione Europea ha dato vita al Cyber Resilience Act (CRA), una delle regolamentazioni più ambiziose degli ultimi anni.

1. Cos’è il Cyber Resilience Act
2. Soggetti e categorie coinvolti
3. Tempistiche, scadenze e obblighi da rispettare
4. Impatto per aziende e fornitori ICT

Ma cosa prevede esattamente questa normativa? Chi sarà obbligato a rispettarla? Quali prodotti saranno coinvolti? E soprattutto: quali rischi correranno le aziende che non si adegueranno?

Come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Cos’è il Cyber Resilience Act

Il Cyber Resilience Act è un regolamento europeo approvato nel marzo 2024 con l’obiettivo di fissare obblighi chiari in materia di cybersecurity per tutti i prodotti con elementi digitali immessi sul mercato europeo. Si tratta di una una normativa vincolante a cui tutte le aziende, europee ed extra-UE, dovranno adeguarsi per poter vendere o distribuire i propri prodotti all’interno dell’Unione Europea.

Il Cyber Resilience Act si applica a una vasta gamma di dispositivi e software. Dai computer ai router, dai dispositivi IoT ai sistemi di automazione industriale, fino alle app e ai servizi digitali che gestiscono dati o interagiscono con reti. Ogni prodotto rientrante nel campo di applicazione, dovrà rispettare requisiti minimi di sicurezza per tutto il suo ciclo di vita, dalla progettazione fino alla fine del supporto.

Il regolamento, inoltre, introduce una classificazione dei prodotti in base al livello di rischio, imponendo obblighi più severi per quelli considerati critici. Tra i requisiti principali rientrano:

• La gestione delle vulnerabilità;
• L’adozione di aggiornamenti sicuri e continui;
• La documentazione tecnica dettagliata;
• La trasparenza nella comunicazione delle minacce.

Ogni singolo elemento qui sopra elencato, sarà sottoposto a controllo da parte di autorità nazionali competenti e soggetto a sanzioni in caso di non conformità.

Soggetti e categorie coinvolte

Il Cyber Resilience Act non si rivolge solo ai produttori hardware o software, ma coinvolge un’ampia catena di attori. A essere direttamente interessati sono tutti i soggetti che immettono sul mercato europeo prodotti con elementi digitali. Parliamo quindi di produttori, importatori, distributori e persino chi ribrandizza o personalizza soluzioni preesistenti. Nessuno è escluso, nemmeno chi opera al di fuori dell’UE, ma intende vendere sul mercato comunitario.

Il campo di applicazione è altrettanto ampio, poiché il Cyber Resilience Act copre ogni prodotto che abbia una componente software o hardware in grado di elaborare dati o connettersi a una rete. Anche le aziende che sviluppano soluzioni custom per clienti terzi rientrano nei soggetti interessati, se il prodotto finale viene distribuito all’interno dell’Unione Europea.

Un’eccezione importante riguarda il software open source distribuito in maniera non commerciale, che è generalmente escluso dall’ambito di applicazione. Tuttavia, nel momento in cui quel software viene incluso in un prodotto venduto o offerto a pagamento, scatta l’obbligo di conformità anche per il codice open. Questo aspetto rappresenta una sfida per le aziende che si basano su librerie e tool di terze parti, spesso non tracciati.

Tempistiche, scadenze e obblighi da rispettare

Pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 13 maggio 2024, il Cyber Resilience Act è entrato formalmente in vigore il 2 luglio 2024. Da quella data decorrono 36 mesi di tempo per l’applicazione completa delle nuove disposizioni, con una scadenza fissata al 2 luglio 2027.

Tuttavia, il regolamento prevede già un obbligo immediato. Infatti, a partire dal 2 gennaio 2026, i produttori dovranno iniziare a notificare le vulnerabilità attivamente sfruttate o i cyber attacchi rilevanti entro 24 ore al nuovo EU Vulnerability Database (EUVD), gestito da ENISA (Agenzia Europea per la Sicurezza Informatica). Questo obbligo anticipato ha lo scopo di rafforzare il monitoraggio e la risposta a minacce su larga scala, anche prima della piena applicazione del Cyber Resilience Act.

A regime, le aziende dovranno garantire che ogni prodotto venga progettato secondo i principi di secure-by-design e secure-by-default, corredato da una documentazione tecnica dettagliata e da un piano di gestione delle vulnerabilità. In alcuni casi, per prodotti classificati come critici, sarà richiesto un controllo da parte di organismi notificati esterni. La non conformità potrà comportare il ritiro dal mercato e sanzioni fino a 15 milioni di euro o al 2,5% del fatturato globale annuo.

Impatto per aziende e fornitori ICT

L’entrata in vigore del Cyber Resilience Act rappresenta un cambio di paradigma per l’ecosistema digitale europeo. Le aziende non potranno più considerare la sicurezza un aspetto secondario, poiché diventa un requisito normativo alla pari di quelli funzionali e prestazionali. Questo implica una revisione profonda dei cicli di sviluppo, delle architetture software e delle policy di gestione del rischio.

Per i fornitori ICT e system integrator, il Cyber Resilience Act comporta l’obbligo di dimostrare la sicurezza dell’intera catena di fornitura, comprese librerie, componenti embedded e strumenti di terze parti. Questo perché le pratiche di analisi e validazione dei componenti esterni diventeranno centrali. In pratica, chi acquista o integra soluzioni digitali, dovrà assicurarsi che il prodotto sia conforme e tracciabile, altrimenti potrà essere direttamente ritenuto responsabile.

Inoltre, il regolamento richiede l’aggiornamento dei prodotti e la garanzia di un supporto continuativo per almeno 5 anni dalla commercializzazione, o per tutta la durata di utilizzo prevista. Le aziende dovranno quindi implementare canali di aggiornamento sicuri, strutture di incident response e registri di vulnerabilità, con risorse dedicate e processi formalizzati.

In conclusione

In base a quanto discusso, si è compreso che il Cyber Resilience Act segna un punto di svolta nella regolamentazione digitale europea. Il prodotto digitale viene finalmente equiparato a qualsiasi altro bene soggetto a requisiti di sicurezza. Come tale, i processi aziendali sono destinati ad adattarsi alle nuove regole.

Le imprese coinvolte, soprattutto quelle che operano nel settore ICT o forniscono servizi digitali a terzi, non possono permettersi di sottovalutare l’impatto del Cyber Resilience Act. Ogni ritardo nell’adeguamento comporta sanzioni, ritiro dal mercato o perdita di fiducia da parte dei clienti. Per cui, comprendere il contenuto del regolamento e integrare la sicurezza nei processi produttivi, sarà l’unico modo per restare competitivi in un’Europa che pretende e impone resilienza digitale.