Sicurezza informatica a livello UE per i prodotti digitali

Il 20 novembre 2024 è stata pubblicata nella Gazzetta ufficiale dell'Unione europea il Cyber Resilience Act, la nuova legge sui requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali.

 

Il nuovo regolamento entrerà in vigore venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell'Unione europea (10 dicembre 2024) e sarà direttamente applicabile in tutti gli Stati membri dell'UE 36 mesi dopo la sua entrata in vigore, ovvero dall'11 dicembre 2027.

Alcune disposizioni saranno applicabili già prima:

• Giugno 2026: gli organismi di valutazione della conformità possono valutare la conformità ai requisiti del CRA
• Settembre 2026: entra in vigore l'obbligo di segnalazione delle vulnerabilità e di altri incidenti di sicurezza
• 11 dicembre 2027: tutti i requisiti del CRA devono essere rispettati per i nuovi prodotti
  
   

Ogni 11 secondi si verifica un attacco hacker. Ciò comporta costi superiori a 5 miliardi di euro. È quanto afferma la Commissione Europea nella sua strategia sulla sicurezza informatica, sottolineando la necessità di garantire un livello più elevato di sicurezza informatica in futuro. L'obiettivo è quello di integrare i requisiti stabiliti come parte integrante dell'intera catena di fornitura.

Il nuovo “Cyber Resilience Act” mira a garantire che i prodotti digitali diventino più sicuri per gli individui e le aziende. I fabbricanti di tali prodotti, sia hardware che software, saranno obbligati a correggere le vulnerabilità tramite aggiornamenti software e a informare gli utenti finali dei loro prodotti sui possibili rischi per la sicurezza informatica. Inoltre, il regolamento definisce i requisiti per lo sviluppo di software, sottolineando così anche il principio di “sicurezza fin dalla progettazione” richiesto dal “Cyber Security Act” già in vigore.

 

Le leggi sulla sicurezza informatica presentate dalla Commissione europea hanno l'obiettivo generale di introdurre sul mercato interno prodotti hardware e software più sicuri. La Commissione concretizza gli obiettivi dell'atto legislativo attraverso quattro misure:

1. Garantire che i fabbricanti migliorino la sicurezza dei prodotti con elementi digitali già nella fase di progettazione e sviluppo e durante l'intero ciclo di vita.
2. Viene garantito un quadro coerente per la cibersicurezza che facilita il rispetto delle norme per i produttori di hardware e software.
3. Viene migliorata la trasparenza delle caratteristiche di sicurezza dei prodotti con elementi digitali.
4. Le aziende e i consumatori possono utilizzare in modo sicuro i prodotti con elementi digitali.
   
    

Dal campo di applicazione del regolamento si evince che tale ambito è molto ampio:

«Il presente regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete.».

Grazie alla definizione generica di «elementi digitali», il regolamento comprende sia hardware come macchine e dispositivi IoT, sia prodotti puramente software.

Nel campo di applicazione sono menzionate anche alcune eccezioni: ad esempio, i dispositivi medici ai sensi del regolamento (UE) 2017/745 non rientrano nel campo di applicazione dell'atto legislativo previsto.

L'atto giuridico disciplina anche la futura interazione con il regolamento delegato 2022/30, che già ora richiede requisiti di sicurezza per gli apparecchi connessi a Internet ai sensi della direttiva sulle apparecchiature radio 2014/53/UE. Bruxelles ha quindi annunciato che, per evitare sovrapposizioni, il regolamento 2022/30 sarà abrogato o semplicemente integrato.
 

Analogamente ai precedenti atti legislativi dell'UE (ad esempio la direttiva macchina o la direttiva bassa tensione), anche il Cyber Resilience Act prevede una procedura di valutazione della conformità.

Il fulcro della procedura è costituito dalla valutazione del rischio informatico. L'articolo 13, paragrafo 2, del regolamento prevede quanto segue:

«(...) i fabbricanti effettuano una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e tengono conto dei risultati di tale valutazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto con elementi digitali, allo scopo di ridurre al minimo i rischi di cibersicurezza, prevenire gli incidenti e ridurne al minimo il loro impatto, anche in relazione alla salute e alla sicurezza degli utilizzatori.».

A seconda della criticità dei prodotti, la procedura di valutazione della conformità distingue tra un'autocertificazione e due procedure che richiedono il coinvolgimento di organismi notificati. Maggiori dettagli sono disponibili nella scheda informativa sul Cyber Resilience Act (in inglese).

A nostro avviso, particolarmente degne di nota per i fabbricanti sono le disposizioni di cui all'allegato VII, paragrafo 2, del regolamento. Il documento cita diversi aspetti (progettazione, sviluppo, produzione, analisi dei punti deboli) come contenuti della documentazione tecnica. Ciò significa che, secondo la Commissione europea, nel processo di sviluppo del software dovranno essere documentate in futuro sia le decisioni relative all'architettura del software, sia quelle relative al processo di sviluppo e di costruzione. Ciò comporta ovviamente un aumento degli oneri di documentazione per le aziende. In particolare, il rapido sviluppo tecnologico degli strumenti relativi allo sviluppo del software (ad esempio per i processi di build) porrà sicuramente le aziende di fronte a sfide organizzative gestibili, ma comunque da non sottovalutare.

Il contenuto nel testo:

„CONTENUTO DELLA DOCUMENTAZIONE TECNICA

(…)

una descrizione della progettazione, dello sviluppo e della produzione del prodotto con elementi digitali e dei processi di gestione delle vulnerabilità, tra cui

a) le informazioni necessarie sulla progettazione e sullo sviluppo del prodotto con elementi digitali, compresi, se del caso, disegni e schemi e una descrizione dell’architettura del sistema che spieghi in che modo i componenti software si basano l’uno sull’altro o si alimentano reciprocamente e si integrano nel processo complessivo;

b) le informazioni necessarie e specifiche sui processi di gestione delle vulnerabilità messi in atto dal fabbricante, tra cui la distinta base del software, la politica di gestione della divulgazione coordinata delle vulnerabilità, la prova della fornitura di un indirizzo di contatto per la segnalazione delle vulnerabilità e una descrizione delle soluzioni tecniche scelte per la distribuzione sicura degli aggiornamenti;

c) le informazioni necessarie e specifiche relative ai processi di produzione e monitoraggio del prodotto con elementi digitali e alla convalida di tali processi;
 

Con la pubblicazione della direttiva tecnica TR-03183, l'Ufficio federale tedesco per la sicurezza informatica (BSI) offre supporto ai fabbricanti nell'identificazione dei requisiti CRA. Per ulteriori informazioni al riguardo, consultare il nostro Articulo tecnico “Direttiva tecnica per i requisiti di resilienza informatica” (in inglese).
 

Il 3 febbraio 2025 la Commissione ha invitato ufficialmente gli organismi europei di normazione CEN, CENELEC ed ETSI a elaborare «norme armonizzate relative ai requisiti fondamentali di cibersicurezza elencati nell'allegato I del presente regolamento». Nell'ambito di tale mandato di normazione, la Commissione intende tenere conto delle norme europee e internazionali esistenti in materia di cibersicurezza che sono già state pubblicate o sono attualmente in fase di elaborazione.

Il documento principale del mandato di normazione contiene i considerando e gli aspetti formali quali la rendicontazione e la validità, mentre nelle allegati del mandato sono riportati elenchi concreti delle nuove norme europee da elaborare (allegato I) e il loro profilo dei requisiti (allegato II), suddivisi in norme orizzontali e verticali.

Le norme orizzontali (righe 1-15 dell'allegato I) mirano a creare un quadro generale coerente in materia di requisiti di sicurezza e di trattamento delle vulnerabilità. Le norme verticali (righe 16-41), invece, coprono i requisiti di sicurezza per determinate categorie di prodotti.

Nel suo webinar “Standards supporting the Cyber Resilience Act”¹, il CEN/CENELEC ha inoltre presentato un modello gerarchico di tali future norme CRA, che ricorda molto la suddivisione in norme di tipo A, B e C nella Gazzetta ufficiale dell'UE relativa alla direttiva macchine o al regolamento macchine. Anche in questo caso vale quanto segue:

• Le norme di tipo A (norme di sicurezza di base) devono fungere da quadro di riferimento per tutti gli elementi definiti nella sezione 1 del presente allegato e specificano gli elementi essenziali che devono essere inclusi in altre norme di sicurezza dei prodotti ai fini del regolamento sulla resilienza informatica.
• Le norme di tipo B (norme di sicurezza di base) devono fornire una panoramica completa e utile dei meccanismi di sicurezza pertinenti che possono essere applicati ai prodotti che rientrano nel campo di applicazione del regolamento sulla resilienza informatica. Si distingue tra norme di tipo B per misure tecniche indipendenti dal prodotto e norme per la gestione delle vulnerabilità
• Le norme di tipo C sono le norme di sicurezza informatica verticali per determinate categorie di prodotti del CRA. Si distingue tra prodotti “importanti” e prodotti “critici”.

Secondo le informazioni fornite nel webinar, la data limite per l'adozione delle norme orizzontali di tipo A e delle norme di tipo B per la gestione delle vulnerabilità è prevista entro e non oltre il 30 agosto 2026. Le norme di tipo C per le singole categorie di prodotti devono essere disponibili entro il 30 ottobre 2026, mentre poco prima dell'entrata in vigore del CRA l'11 dicembre 2027 seguiranno le norme di tipo B per le misure tecniche (30 ottobre 2027). Una panoramica della futura categorizzazione e della sua attuazione prevista è riportata nel grafico seguente²: