Il Regolamento (UE) 2024/2847 introduce requisiti obbligatori di cybersicurezza per i prodotti digitali, con marcatura CE e controlli per tutto il ciclo di vita.
Cosa introduce il nuovo regolamento europeo
Il Regolamento (UE) 2024/2847, entrato in vigore a dicembre 2024, impone requisiti essenziali di cybersicurezza per qualsiasi prodotto con elementi digitali destinato al mercato dell’Unione, dal firmware di una telecamera ai software gestionali fino ai componenti industriali connessi. La norma introduce l’obbligo della marcatura CE per attestare la conformità e distingue le procedure di valutazione in base al rischio: autoanalisi per i prodotti generali, intervento di organismi notificati per i prodotti importanti e critici. L’applicabilità è scaglionata nel tempo, con gli obblighi principali che divengono pienamente operativi a dicembre 2027, ma con la notifica degli organismi di certificazione già anticipata a giugno 2026. Si tratta di un cambio di paradigma: la cybersicurezza diventa requisito di prodotto con la stessa cogenza della sicurezza fisica, e un prodotto privo di aggiornamenti di sicurezza è formalmente non conforme.
La norma si applica anche ai sistemi di intelligenza artificiale ad alto rischio, creando una sovrapposizione con il Regolamento (UE) 2024/1689 (AI Act), nella quale la conformità al Cyber Resilience Act presume la conformità ai requisiti di cybersicurezza dell’AI Act stesso. Restano esclusi i dispositivi medici, i prodotti automobilistici, i sistemi di aviazione civile e i servizi software as a service puri, ma l’esclusione richiede una lettura attenta perché il confine fra prodotto e servizio è sempre più sfumato nelle architetture ibride contemporanee.
Il ruolo dell’Agenzia per la cybersicurezza nazionale
Secondo lo schema di decreto legislativo in adeguamento, l’Agenzia per la cybersicurezza nazionale (ACN) è designata come autorità di notifica degli organismi di valutazione della conformità e come autorità di vigilanza del mercato. L’Agenzia opera in coordinamento con Banca d’Italia, Consob, IVASS e il Garante per la protezione dei dati personali, al fine di evitare duplicazioni nei controlli sui fornitori e preservare le competenze delle autorità di settore. La concentrazione della funzione di vigilanza presso l’ACN rappresenta una scelta di coerenza informativa: l’agenzia che riceve le notifiche di incidente dai soggetti essenziali può correlare tali flussi con le segnalazioni di vulnerabilità provenienti dai fabbricanti, acquisendo visibilità complessiva sulla sicurezza della catena di fornitura digitale. Tuttavia, questa concentrazione pone una questione di carico amministrativo: la vigilanza del mercato richiede capacità di laboratorio, competenze tecniche specifiche e coordinamento transfrontaliero che vanno dimensionati con attenzione.
Gli obblighi di segnalazione e il calendario applicativo
Il Cyber Resilience Act introduce un regime di notifica delle vulnerabilità attivamente sfruttate e degli incidenti gravi che si applica già da settembre 2026, anticipando di tre mesi la piena applicabilità della norma. Il fabbricante è tenuto a segnalare un preallarme entro ventiquattro ore dalla conoscenza del fatto, una notifica strutturata entro settantadue ore e una relazione finale entro quattordici giorni (per le vulnerabilità) o un mese (per gli incidenti). Le segnalazioni confluiscono su una piattaforma europea gestita dall’ENISA e instradano verso il coordinatore nazionale dei computer security incident response team (CSIRT). Per chi gestisce la conformità in azienda, il punto critico è la concorrenza fra questo canale di notifica e quello della Direttiva (UE) 2022/2555 (NIS2) e dell’articolo 33 del Regolamento (UE) 2016/679 (GDPR): ventiquattro ore per il preallarme, ventiquattro ore per il preallarme NIS2, settantadue ore per il GDPR. La gestione coordinata di questi flussi è una questione procedimentale concreta, non teorica, e va affrontata oggi nei piani di risposta ai cyber-incidenti.
Cosa devono fare le imprese
Per i fabbricanti e i fornitori, il primo adempimento è il censimento del portafoglio prodotti e la loro qualificazione secondo il regolamento: occorre verificare se ciascun prodotto rientra nell’ambito di applicazione, se sia generale, importante o critico, e conseguentemente quale procedura di valutazione della conformità sia applicabile. Parallelamente va costruita la mappatura sistematica delle dipendenze software mediante la distinta base (software bill of materials) di ogni prodotto, attività che quasi sempre rivela un numero di componenti transitive superiore alla percezione interna. Va poi definito e comunicato il periodo di supporto per ciascuna linea di prodotto, impegnandosi pubblicamente su una durata non inferiore, in linea generale, a cinque anni. Sul piano dei processi, va istituita una politica di divulgazione coordinata delle vulnerabilità, resa pubblica e accessibile, e va strutturato un processo di gestione delle segnalazioni obbligatorie calibrato sulla scansione delle ventiquattro e delle settantadue ore, con individuazione nominativa dei responsabili della decisione e della trasmissione: nessun termine è rispettabile se la decisione risale una catena gerarchica non predisposta. Si suggerisce di testare questo processo mediante esercitazioni documentate.
Per gli acquirenti e gli utilizzatori di prodotti, la priorità è rivedere la contrattualistica di fornitura introducendo clausole che impegnino il fornitore a garantire la conformità ai requisiti essenziali entro dicembre 2027, a fornire la dichiarazione UE di conformità e la distinta base del software, a comunicare tempestivamente il periodo di supporto residuo e a notificare le vulnerabilità attivamente sfruttate secondo tempi concordati e compatibili con il GDPR. Va inoltre aggiornata la valutazione d’impatto privacy, inserendo nella sezione dedicata alle misure di sicurezza il riferimento alla conformità del prodotto al Cyber Resilience Act e al periodo di supporto, e va modificata la procedura di gestione delle violazioni di dati personali per includere fra gli eventi innescanti la ricezione di un avviso di vulnerabilità da parte del fornitore. Nelle organizzazioni soggette al decreto legislativo 138/2024 (attuazione della NIS2), la medesima procedura deve governare la concorrenza fra i canali di notifica verso il Garante e verso il CSIRT Italia.
Le sanzioni e la sandbox normativa
Il regime sanzionatorio riproduce la gradazione europea: fino a 15 milioni di euro o fino al 2,5% del fatturato mondiale totale annuo per la violazione dei requisiti essenziali di cybersicurezza e degli obblighi fondamentali del fabbricante; fino a 10 milioni di euro o 2% del fatturato per la violazione di altri obblighi; fino a 5 milioni di euro o 1% del fatturato per la comunicazione di informazioni inesatte. Lo schema prevede inoltre l’istituzione di una sandbox normativa (Sandbox-CRA), uno spazio di sperimentazione controllato dove i prodotti innovativi possono essere sviluppati e testati sotto la supervisione dell’Agenzia prima dell’immissione sul mercato. L’utilità effettiva dello strumento dipenderà da tre variabili ancora non definite: la selettività dell’accesso, il valore giuridico degli esiti della sperimentazione in sede di successiva vigilanza, e l’articolazione con il regolamento stesso, che non può essere derogato dalla sandbox e che resta fondato sulla responsabilità del fabbricante. Lo spazio di sperimentazione dovrà collocarsi rigorosamente in una fase antecedente all’immissione sul mercato, non sostitutiva delle procedure di valutazione della conformità.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
