Requisiti orizzontali di cibersicurezza per prodotti con elementi digitali (regolamento sulla ciberresilienza)

PUNTI CHIAVE

Il regolamento sulla ciberresilienza ha diversi obiettivi fondamentali.

• Migliorare la cibersicurezza in tutta l’Unione stabilendo requisiti obbligatori in materia di cibersicurezza per i prodotti con elementi digitali.
• Promuovere pratiche sicure incoraggiando i fabbricanti a integrare la cibersicurezza nelle fasi di progettazione e sviluppo dei prodotti.
• Garantire la trasparenza e la responsabilità imponendo ai fabbricanti di fornire informazioni chiare sulle caratteristiche di cibersicurezza dei loro prodotti e di assumersi la responsabilità di affrontare le vulnerabilità.
• Promuovere un mercato unico per la cibersicurezza armonizzando le norme in tutti gli Stati membri dell’Unione per ridurre la frammentazione e garantire condizioni di parità.

Ambito di applicazione

Il regolamento si applica a una vasta gamma di prodotti con elementi digitali immessi sul mercato dell’Unione, indipendentemente dalla sede del fabbricante, che possono collegarsi direttamente o indirettamente ad altri dispositivi o reti, tra cui:

• prodotti hardware (ad esempio dispositivi utilizzati nell’ambito dell’internet delle cose, elettrodomestici intelligenti, sistemi di controllo industriale, microchip);
• prodotti software (ad esempio videogiochi, app, programmi per computer).

Alcuni prodotti sono esclusi, come ad esempio:

• dispositivi medici già disciplinati da regolamenti specifici dell’Unione;
• prodotti per l’aviazione e l’industria automobilistica regolamentati dalla legislazione specifica del settore;
• equipaggiamento marittimo.

Requisiti chiave per i fabbricanti

Sicurezza nella progettazione

I fabbricanti devono integrare la cibersicurezza nella progettazione e nello sviluppo dei prodotti. Ciò include, tra l’altro, configurazioni sicure per impostazione predefinita, livelli adeguati di crittografia e meccanismi di controllo degli accessi.

Valutazione e mitigazione del rischio

• I fabbricanti sono tenuti a condurre una valutazione del rischio e a mantenerla aggiornata, nonché a implementare misure volte ad affrontare le vulnerabilità identificate durante il ciclo di vita del prodotto.
• Se i fabbricanti si affidano a componenti o servizi di terzi, devono esercitare la dovuta diligenza al momento dell’integrazione nei loro prodotti.

Trasparenza e documentazione

I fabbricanti devono fornire una documentazione chiara e completa, che comprenda:

• una descrizione delle caratteristiche di cibersicurezza del prodotto;
• istruzioni per un’installazione, una configurazione e un utilizzo sicuri;
• informazioni su come segnalare le vulnerabilità;
• una dichiarazione di conformità per confermare la conformità al regolamento.

Segnalazione degli incidenti

I fabbricanti sono tenuti a:

• segnalare senza indugio alle autorità nazionali competenti e all’Agenzia dell’Unione europea per la cibersicurezza (ENISA) gli incidenti gravi in materia di cibersicurezza e le vulnerabilità sfruttate attivamente;
• informare gli utenti sui rischi potenziali e fornire orientamenti sulla loro mitigazione.

Aggiornamenti del software e supporto

• I fabbricanti devono fornire aggiornamenti sulla sicurezza durante il periodo di supporto del prodotto, che deve riflettere il periodo di utilizzo previsto del prodotto.
• Gli aggiornamenti devono affrontare le vulnerabilità e garantire il mantenimento della sicurezza del prodotto.

Obblighi per importatori e distributori

Il regolamento attribuisce anche agli importatori e ai distributori la responsabilità di garantire che i prodotti siano conformi ai requisiti di cibersicurezza.

• Gli importatori devono verificare che i fabbricanti abbiano rispettato il regolamento e garantire che i prodotti siano etichettati e documentati correttamente.
• I distributori devono assicurarsi che i prodotti rechino la marcatura CE e che siano state fornite informazioni e istruzioni all’utente, prima di renderli disponibili sul mercato.
• I prodotti recheranno la marcatura CE per indicare la loro conformità ai requisiti del regolamento sulla ciberresilienza.
• I fabbricanti di paesi terzi devono rispettare il regolamento per accedere al mercato dell’Unione, influenzando potenzialmente le norme globali sulla cibersicurezza.

Applicazione

Per garantire la conformità, il regolamento stabilisce un solido quadro di applicazione.

• Le autorità nazionali di vigilanza del mercato controlleranno la conformità ed eseguiranno ispezioni.
• La mancata conformità può comportare sanzioni significative, che possono includere:
  • ammende fino al 2,5 % del fatturato annuo globale del fabbricante;
  • divieto o limitazione della disponibilità di un prodotto;
  • il ritiro o il richiamo di un prodotto.
• Le autorità degli Stati membri condivideranno le informazioni e coordineranno le misure esecutive.