Il Cyber Resilience Act (noto come “CRA”), introdotto dal Regolamento (UE) 2024/2847, rappresenta uno degli interventi più significativi dell’Unione europea nel rafforzamento della sicurezza informatica dei prodotti dotati di elementi digitali. Il regolamento è entrato in vigore il 10 dicembre 2024, mentre la sua piena applicazione è prevista per l’11 dicembre 2027. Tuttavia, il legislatore europeo ha previsto un’applicazione progressiva di alcune disposizioni, tra le quali assumono particolare rilievo gli obblighi di segnalazione disciplinati dall’art. 14, applicabili a partire dall’11 settembre 2026.

A decorrere da tale data, i fabbricanti di prodotti con elementi digitali sono tenuti a comunicare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto. L’obbligo non riguarda, pertanto, qualsiasi vulnerabilità individuata nel corso delle attività di sviluppo, verifica o ricerca, ma esclusivamente quelle per le quali emergano elementi idonei a dimostrarne l’effettivo sfruttamento da parte di soggetti malevoli. La disciplina mira così a garantire una tempestiva circolazione delle informazioni quando una vulnerabilità possa concretamente compromettere la sicurezza di prodotti già immessi sul mercato.

Il sistema di comunicazione è organizzato secondo una procedura articolata in tre fasi. In primo luogo, il fabbricante deve trasmettere un preallarme entro 24 ore dal momento in cui viene a conoscenza dello sfruttamento attivo della vulnerabilità o del verificarsi di un incidente grave. Successivamente, entro 72 ore, deve essere effettuata una notifica contenente informazioni più dettagliate. Nel caso delle vulnerabilità, tali informazioni riguardano, tra gli altri elementi, il prodotto interessato e le caratteristiche dell’exploit; per gli incidenti, devono essere indicate la natura dell’evento, la relativa gravità, l’impatto sul prodotto, le misure di mitigazione adottate e la probabile causa.

Infine, è previsto un rapporto conclusivo, da presentare entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità oppure entro un mese dalla notifica dell’incidente grave.

Le comunicazioni devono essere effettuate attraverso la Single Reporting Platform, sistema europeo istituito e gestito dall’ENISA. La segnalazione viene trasmessa al CSIRT designato come coordinatore nello Stato membro nel quale il fabbricante dispone del proprio stabilimento principale e, secondo quanto previsto dal regolamento, le informazioni vengono rese disponibili anche all’ENISA. Il CSIRT competente provvede inoltre alla diffusione delle informazioni agli altri CSIRT degli Stati membri nei quali il prodotto interessato è stato messo a disposizione.

Per l’Italia, il coordinamento è affidato al CSIRT Italia dell’Agenzia per la cybersicurezza nazionale. La piattaforma consente quindi di concentrare la procedura di comunicazione, evitando la necessità di effettuare notifiche separate presso le autorità dei diversi Stati interessati.

L’ambito di applicazione del c.d. “CRA” comprende una vasta categoria di hardware e software dotati di elementi digitali, inclusi i prodotti finiti e i componenti commercializzati separatamente, nonché determinate soluzioni di elaborazione dati da remoto. Sono tuttavia previste specifiche esclusioni per i prodotti già soggetti ad altre discipline europee.

Tale estensione rende necessario, per i fabbricanti, conoscere in modo puntuale la composizione dei prodotti commercializzati, individuare i componenti digitali utilizzati e predisporre adeguati sistemi per la raccolta, la valutazione e la gestione delle vulnerabilità. Il regolamento introduce, inoltre, un sistema sanzionatorio articolato su più livelli: le violazioni dei requisiti essenziali di sicurezza e degli obblighi previsti dagli artt. 13 e 14 possono comportare sanzioni fino a 15 milioni di euro o, per le imprese, fino al 2,5% del fatturato mondiale annuo dell’esercizio precedente, qualora tale importo sia superiore. Per altre violazioni sono previste soglie inferiori, mentre la comunicazione di informazioni inesatte o fuorvianti alle autorità può determinare sanzioni fino a 5 milioni di euro o all’1% del fatturato mondiale.

In breve, la disciplina europea considera la cybersicurezza un elemento della governance aziendale, che coinvolge la gestione delle vulnerabilità, i rapporti con i fornitori e la tempestività nella risposta agli incidenti. Di fatto, l’11 settembre 2026 rappresenta una prima tappa verso la piena applicazione del CRA, prevista per l’11 dicembre 2027, quando gli obblighi di sicurezza dei prodotti digitali diverranno integralmente applicabili.

Visualizzazioni: 0