La Commissione europea compie un nuovo passo verso l’attuazione del Cyber Resilience Act (Cra), pubblicando una bozza di linee guida destinata ad accompagnare le imprese nell’applicazione del nuovo regolamento europeo sulla sicurezza informatica dei prodotti con elementi digitali. L’obiettivo è offrire indicazioni operative per interpretare correttamente gli obblighi previsti dalla normativa e favorire un’applicazione uniforme da parte del mercato, con particolare attenzione alle microimprese e alle piccole e medie imprese.
La bozza è stata aperta alla consultazione degli stakeholder, che potranno inviare osservazioni per contribuire alla versione definitiva del documento. L’iniziativa rientra anche nel più ampio programma europeo di semplificazione normativa, con l’intento di assicurare che le regole risultino coerenti con le esigenze operative delle aziende e con l’evoluzione del mercato.
Indice degli argomenti
Focus su Pmi, software open source e servizi cloud
Le linee guida affrontano alcuni dei punti che hanno suscitato maggiori richieste di chiarimento da parte dell’industria. In particolare vengono approfonditi il trattamento delle soluzioni di elaborazione dati da remoto, il ruolo del software libero e open source, la definizione dei periodi di supporto durante il ciclo di vita dei prodotti e il rapporto tra il Cyber Resilience Act e le altre normative europee in materia digitale e di cybersicurezza.
L’intenzione della Commissione è ridurre le incertezze interpretative che potrebbero rallentare l’adeguamento delle imprese, soprattutto quelle di dimensioni minori, chiamate nei prossimi mesi a predisporre processi di sviluppo e gestione della sicurezza conformi ai nuovi requisiti europei.
Virkkunen: “Tutti i prodotti digitali sul mercato europeo dovranno essere sicuri”
Presentando la consultazione, la vicepresidente esecutiva della Commissione europea per la Sovranità tecnologica, la Sicurezza e la Democrazia, Henna Virkkunen, ha sottolineato il valore strategico del regolamento.
“Con le linee guida presentate oggi, la Commissione sostiene l’efficace applicazione del Cyber Resilience Act – afferma – Dai baby monitor agli smartwatch, gli elementi digitali fanno ormai parte della nostra vita quotidiana e faremo in modo che tutti i prodotti digitali presenti sul mercato dell’Unione europea siano sicuri dalle minacce informatiche”.
Che cosa prevede il Cyber Resilience Act
Il Cyber Resilience Act rappresenta uno dei pilastri della strategia europea per rafforzare la sicurezza dell’ecosistema digitale. Il regolamento introduce requisiti obbligatori di cybersicurezza per hardware e software connessi, imponendo ai produttori di integrare la sicurezza fin dalla progettazione, garantire aggiornamenti tempestivi e gestire le vulnerabilità durante l’intero ciclo di vita del prodotto.
Per alcune categorie considerate critiche sarà inoltre necessaria una valutazione di conformità da parte di organismi notificati prima dell’immissione sul mercato. I prodotti conformi porteranno il marchio CE, mentre le autorità nazionali vigileranno sul rispetto delle disposizioni.
L’obiettivo è aumentare il livello medio di sicurezza dei prodotti digitali commercializzati nell’Unione, offrendo a consumatori e imprese maggiori garanzie sulla protezione contro le minacce informatiche. Il regolamento interviene anche sul problema, finora molto diffuso, degli aggiornamenti di sicurezza tardivi o assenti e della difficoltà per gli utenti di valutare il livello di protezione dei prodotti acquistati.
Le prossime scadenze per le aziende
Il Cyber Resilience Act è entrato formalmente in vigore il 10 dicembre 2024, ma la sua applicazione sarà progressiva. Gli obblighi di segnalazione delle vulnerabilità entreranno in vigore l’11 settembre 2026, mentre le disposizioni principali diventeranno pienamente applicabili dall’11 dicembre 2027. Proprio in vista di queste scadenze la Commissione punta a mettere a disposizione delle imprese un quadro interpretativo chiaro, così da agevolare la preparazione e limitare i rischi di incertezza normativa.
Il regolamento si inserisce nel più ampio quadro della strategia europea sulla cybersicurezza e completa strumenti come la direttiva NIS2, contribuendo a costruire un sistema di protezione più omogeneo per infrastrutture, prodotti e servizi digitali all’interno del mercato unico.
Partecipa alla community