In un mondo sempre più digitalizzato, gli attacchi informatici e le fughe di dati rappresentano un pericolo sempre maggiore. Con il Cyber Resilience Act (CRA), l’UE intende proteggere da questi pericoli le imprese e i consumatori che utilizzano, in particolare, prodotti connessi. Ecco una panoramica dei punti salienti del CRA.
Obiettivo della legge sulla resilienza informatica
Nel mondo digitale di oggi, i prodotti dotati di componenti digitali sono onnipresenti, dai baby monitor agli smartwatch. Tuttavia, questi prodotti comportano notevoli rischi per la sicurezza, che spesso non sono immediatamente riconoscibili. Infatti, i dispositivi collegati in qualche modo a Internet possono presentare vulnerabilità che possono essere sfruttate dai criminali informatici. Queste vulnerabilità non riguardano solo i sistemi informatici tradizionali, ma sempre più spesso anche i dispositivi dell’Internet delle cose (Internet of Things, IoT), utilizzati nelle abitazioni, nelle aziende e persino nelle infrastrutture critiche come l’approvvigionamento energetico o il settore sanitario.
Per poter affrontare meglio queste sfide, è stata elaborata la legge sulla resilienza informatica (Cyber Resilience Act). L'obiettivo principale della legge è garantire che i prodotti dotati di elementi digitali siano progettati, sviluppati e gestiti in modo sicuro durante l'intero ciclo di vita. Ciò mira non solo a migliorare la sicurezza degli utenti, ma anche a rafforzare la fiducia nei prodotti e nei servizi digitali.
Elementi principali della legge sulla resilienza informatica
Il Cyber Resilience Act stabilisce una serie di requisiti che i produttori, gli importatori e i distributori di prodotti digitali devono soddisfare. Tali requisiti comprendono misure sia tecniche che organizzative volte a garantire che i prodotti siano resistenti alle minacce informatiche.
- Requisiti di sicurezza durante l'intero ciclo di vita:
I produttori devono garantire che i propri prodotti siano sviluppati in modo sicuro e che rimangano sicuri per l'intero ciclo di vita. Ciò include aggiornamenti software periodici e patch di sicurezza durante la durata di vita prevista, al fine di rispondere alle vulnerabilità individuate di recente. - Trasparenza e Obbligo di informazione:
Le aziende devono fornire informazioni dettagliate sulle caratteristiche di sicurezza dei propri prodotti. Ciò include anche la divulgazione delle vulnerabilità e delle misure adottate per risolverle. Gli utenti devono essere informati sui possibili rischi e sulle pratiche di sicurezza adottate dal produttore. - Valutazioni e certificazioni di sicurezza:
Il CRA prevede che determinati prodotti debbano essere sottoposti a rigorose valutazioni di sicurezza prima di poter essere immessi sul mercato. Il regolamento definisce i requisiti per l’accesso al mercato interno dell’UE, ampliandone così il campo di applicazione. Con l’entrata in vigore del CRA, il marchio CE, già ben noto, indicherà per la prima volta non solo la «Safety», ovvero la sicurezza operativa, ma anche la «Security», ovvero la sicurezza delle informazioni. - Sanzioni severe in caso di violazioni:
Al fine di garantire il rispetto delle norme, il Cyber Resilience Act prevede sanzioni severe per le aziende che violano i requisiti di sicurezza. In caso di violazioni, la commercializzazione di un prodotto può essere vietata o limitata. L’autorità competente Autorità di vigilanza può ordinare il ritiro del prodotto dal mercato o il suo richiamo. Inoltre, vengono stabilite sanzioni pecuniarie che dovranno essere previste dalla legislazione nazionale in caso di non conformità. Ciò mira a incentivare le imprese a investire nella sicurezza dei propri prodotti e a garantire che questi siano conformi alle più recenti norme di sicurezza.
Impatto della CRA su imprese e consumatori
Il Cyber Resilience Act avrà un impatto significativo sulle aziende che producono, importano o distribuiscono prodotti dotati di componenti digitali. Queste aziende dovranno garantire di disporre delle risorse tecniche e organizzative necessarie per soddisfare i nuovi requisiti. Ciò potrebbe richiedere ulteriori investimenti nella ricerca e sviluppo, nonché nelle infrastrutture di sicurezza.
Per i consumatori, il Cyber Resilience Act significa maggiore sicurezza e Trasparenza. Possono fidarsi del fatto che i prodotti che acquistano soddisfano severi requisiti di sicurezza e che le vulnerabilità saranno rapidamente corrette. Questo dovrebbe rafforzare la fiducia nei prodotti digitali e potrebbe anche portare a un vantaggio competitivo per le aziende che offrono prodotti particolarmente sicuri.
Suggerimento per il collegamento: Legge sulla resilienza informatica nella versione attuale
Direttiva CRA e NIS-2
Come sottolinea la Commissione europea, il Cyber Resilience Act è destinato a integrare la direttiva NIS 2. La direttiva NIS 2 definisce i requisiti in materia di sicurezza informatica. Tra questi figurano misure di sicurezza nella catena di approvvigionamento e obblighi di segnalazione degli incidenti di sicurezza per le infrastrutture essenziali e critiche, al fine di aumentare la resilienza dei servizi da esse forniti.
La Commissione auspica che un livello più elevato di sicurezza informatica dei prodotti dotati di componenti digitali faciliti anche il rispetto delle norme da parte delle entità che rientrano nel campo di applicazione della direttiva NIS 2 e aumenti la sicurezza dell'intera catena di approvvigionamento.
Suggerimento di lettura: Attuazione della direttiva NIS 2 nell'UE: lo stato attuale
Il Cyber Resilience Act è stato approvato dal Parlamento europeo nel marzo 2024 e, previa approvazione del Consiglio, dovrebbe entrare in vigore nella seconda metà del 2024. I produttori avranno quindi tempo fino al 2027 per immettere sul mercato dell'UE prodotti conformi alla normativa.
German 
English 
Italian 
French