Requisiti orizzontali di cibersicurezza per prodotti con elementi digitali (regolamento sulla ciberresilienza)

PUNTI CHIAVE

Il CRA ha diversi obiettivi fondamentali:

• migliorare la sicurezza informatica in tutta l’UE stabilendo requisiti obbligatori di sicurezza informatica per i prodotti con elementi digitali;
• promuovere pratiche sicure incoraggiando i produttori a integrare la sicurezza informatica nelle fasi di progettazione e sviluppo dei prodotti;
• garantire trasparenza e responsabilità richiedendo ai produttori di fornire informazioni chiare sulle caratteristiche di sicurezza informatica dei loro prodotti e di assumersi la responsabilità di risolvere le vulnerabilità;
• Promuovere un mercato unico per la cibersicurezza armonizzando le norme in tutti gli Stati membri dell’Unione per ridurre la frammentazione e garantire condizioni di parità.

Ambito di applicazione

Il regolamento si applica a una vasta gamma di prodotti con elementi digitali immessi sul mercato dell’Unione, indipendentemente dalla sede del fabbricante, che possono collegarsi direttamente o indirettamente ad altri dispositivi o reti, tra cui:

• prodotti hardware (ad esempio dispositivi dell’Internet delle cose, elettrodomestici intelligenti, sistemi di controllo industriale, microchip);
• prodotti software (ad esempio videogiochi, app, programmi per computer).

Alcuni prodotti con elementi digitali sono classificati come «importanti» o «critici» e sono soggetti a procedure di valutazione della conformità più rigorose prima di essere immessi sul mercato. Il regolamento di esecuzione (UE) 2025/2392 definisce le descrizioni tecniche di tali categorie.

Alcuni prodotti sono esclusi dal regolamento, ad esempio:

• dispositivi medici già disciplinati da regolamenti specifici dell’Unione;
• prodotti per l’aviazione e l’industria automobilistica regolamentati dalla legislazione specifica del settore;
• attrezzature marittime che rientrano nell’ambito di applicazione della direttiva 2014/90/EU;
• veicoli a due e tre ruote e quadricicli disciplinati dal regolamento (UE) n. 168/2013 (cfr. sintesi), ad eccezione dei veicoli di categoria L1e progettati per essere azionati a pedali, come previsto dal regolamento delegato (UE) 2025/1535.

Requisiti chiave per i fabbricanti

Sicurezza nella progettazione

I fabbricanti devono integrare la cibersicurezza nella progettazione e nello sviluppo dei prodotti. Ciò include, tra l’altro, configurazioni sicure per impostazione predefinita, livelli adeguati di crittografia e meccanismi di controllo degli accessi.

Valutazione e mitigazione del rischio

• I fabbricanti sono tenuti a condurre una valutazione del rischio e a mantenerla aggiornata, nonché a implementare misure volte ad affrontare le vulnerabilità identificate durante il ciclo di vita del prodotto.
• Se i fabbricanti si affidano a componenti o servizi di terzi, devono esercitare la dovuta diligenza al momento dell’integrazione nei loro prodotti.

Trasparenza e documentazione

I fabbricanti devono fornire una documentazione chiara e completa, che comprenda:

• una descrizione delle caratteristiche di cibersicurezza del prodotto;
• istruzioni per un’installazione, una configurazione e un utilizzo sicuri;
• informazioni su come segnalare le vulnerabilità;
• una dichiarazione di conformità per confermare la conformità al regolamento.

Segnalazione degli incidenti

I fabbricanti sono tenuti a:

• segnalare senza indebito ritardo agli organismi nazionali competenti e all’Agenzia dell’Unione europea per la sicurezza informatica gli incidenti gravi di sicurezza informatica e le vulnerabilità attivamente sfruttate;
• informare gli utenti sui rischi potenziali e fornire orientamenti sulla loro mitigazione.

In circostanze eccezionali e per giustificati motivi connessi alla cibersicurezza, i gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT) che ricevono inizialmente la notifica possono ritardare la condivisione delle notifiche relative agli incidenti e alle vulnerabilità con altri CSIRT pertinenti tramite la piattaforma unica di segnalazione per un periodo non più lungo di quanto strettamente necessario, alle condizioni specificate nel regolamento delegato (UE) 2026/881.

Aggiornamenti del software e supporto

• I fabbricanti devono fornire aggiornamenti sulla sicurezza durante il periodo di supporto del prodotto, che deve riflettere il periodo di utilizzo previsto del prodotto.
• Gli aggiornamenti devono affrontare le vulnerabilità e garantire il mantenimento della sicurezza del prodotto.

Obblighi per importatori e distributori

Il regolamento attribuisce inoltre agli importatori e ai distributori la responsabilità di garantire che i prodotti siano conformi ai requisiti di sicurezza informatica:

• gli importatori devono verificare che i fabbricanti abbiano ottemperato al regolamento e assicurarsi che i prodotti siano correttamente etichettati e documentati;
• i distributori devono garantire che i prodotti rechino la marcatura CE e che siano state fornite le informazioni e le istruzioni per l’utente, prima di immetterli sul mercato;
• i prodotti recano il marchio CE a indicare la loro conformità ai requisiti del CRA;
• I fabbricanti di paesi terzi devono rispettare il regolamento per accedere al mercato dell’Unione, influenzando potenzialmente le norme globali sulla cibersicurezza.

Applicazione

Per garantire la conformità, il regolamento istituisce un solido quadro di applicazione:

• le autorità nazionali di vigilanza del mercato monitoreranno la conformità ed effettueranno ispezioni;
• La mancata conformità può comportare sanzioni significative, che possono includere:
  • ammende fino al 2,5 % del fatturato annuo globale del produttore,
  • il divieto o la limitazione della disponibilità di un prodotto,
  • l’ordine di ritiro o richiamo di un prodotto;
• Le autorità degli Stati membri condivideranno le informazioni e coordineranno le misure esecutive.