In un mondo tecnologicamente avanzato come il nostro, gli attacchi informatici sono diventati l’equivalente moderno delle rapine a mano armata. Invece di colpire banche, negozi di quartiere o persone ignare in strade poco sicure nel cuore della notte, molti criminali moderni concentrano i loro sforzi sugli attacchi cyber per rubare a imprese, governi e cittadini comuni. Sebbene queste minacce varino per dimensione, portata e audacia, nel complesso rappresentano un’attività criminale di proporzioni enormi.
Secondo l’associazione di settore Cybersecurity Ventures, il costo annuo complessivo del crimine informatico globale supera ora i 10.000 miliardi di dollari. Questi costi derivano da diverse conseguenze negative, tra cui:
- Fermi operativi e relativa perdita di produttività
- Furto mediante frode, estorsione e appropriazione indebita
- Perdita di dati
- Furto di proprietà intellettuale
Le molteplici modalità con cui i criminali informatici possono colpire individui ed entità—e la vasta gamma di informazioni di valore che possono ottenere—compongono un settore criminale in continua crescita a livello annuale. I dati di Cybersecurity Ventures indicano che il costo totale della criminalità informatica è aumentato in modo significativo nell’ultimo decennio:
- 2015: 3.000 miliardi di dollari
- 2021: 6.000 miliardi di dollari
- 2025: 10.500 miliardi di dollari
Anche se alcune organizzazioni stimano cifre totali notevolmente inferiori, un costo annuo del cybercrime tra 1 e 2 miliardi di dollari porrebbe comunque tale attività al livello dell’intero PIL dell’Indonesia o dei Paesi Bassi. Cosa stanno facendo, quindi, il mondo e i suoi governi più potenti per contrastare questo nuovo fenomeno criminale emergente?
Cos'è il Cyber Resilience Act
Il Cyber Resilience Act (CRA) è una regolamentazione introdotta dall’Unione Europea per affrontare l’universo del crimine informatico. L’obiettivo è imporre a imprese tecnologiche e produttori di realizzare hardware e software protetti da attacchi informatici, riducendo il rischio che i prodotti diventino vettori di azioni criminali contro dati e risorse finanziarie dei cittadini europei. Come spiega la Commissione Europea sul proprio sito, il Cyber Resilience Act mira a stabilire «requisiti di cybersecurity chiari e obbligatori lungo tutto il ciclo di vita dei prodotti digitali».
Il CRA è stato inizialmente proposto dalla Commissione Europea nel 2022. Due anni dopo, nel 2024, il Parlamento Europeo ha adottato formalmente il testo e il Consiglio Europeo lo ha approvato. Dopo la pubblicazione sulla Gazzetta ufficiale dell’UE a novembre, il CRA è entrato ufficialmente in vigore a dicembre 2024.
Considerata l’ampiezza degli obblighi imposti alle imprese rientranti nell’ambito di applicazione del CRA, l’UE ha concesso alle aziende un ampio periodo di preparazione per rispondere alle responsabilità di compliance. La normativa prevede una fase di implementazione di circa 15 mesi, a partire da settembre 2026 fino alla piena applicazione a dicembre 2027.
Quali sono i requisiti del Cyber Resilience Act
Il CRA dell’UE impone una serie di obblighi alle organizzazioni soggette alla normativa. L’intento è costringere legalmente queste imprese a realizzare prodotti digitali più sicuri e resilienti, sviluppare protocolli più robusti per la gestione degli incidenti di cybersecurity e garantire maggiore trasparenza verso consumatori e stakeholder sulle misure di mitigazione e il livello di sicurezza complessivo.
I requisiti principali del Cyber Resilience Act sono elencati nell’Allegato I della normativa, intitolato Requisiti essenziali di cybersecurity. Sono suddivisi in due sezioni: le proprietà che i prodotti digitali fabbricati da imprese regolamentate devono possedere, e i processi che tali produttori devono adottare per conformarsi alla legge.
Allegato I, Parte I: Proprietà richieste ai prodotti digitali
Questa parte della legge rappresenta, per certi aspetti, il fulcro della normativa. L’UE intende che i prodotti digitali commercializzati e venduti in Europa siano più sicuri e protetti dai criminali informatici, tramite le seguenti misure considerate essenziali. Per risultare conforme al CRA, un prodotto digitale deve essere progettato e immesso sul mercato UE con le seguenti caratteristiche:
- 1 Assenza di vulnerabilità note sfruttabili
- 2 Configurazione sicura di default. Significa che le impostazioni di sicurezza sono predefinite sul dispositivo o prodotto.
- 3 Le vulnerabilità possono essere risolte efficacemente tramite aggiornamenti di sicurezza, compresi aggiornamenti automatici con un chiaro meccanismo di opt-out.
- 4 Protezione contro accessi non autorizzati, inclusi meccanismi come autenticazione, gestione delle identità o degli accessi.
- 5 Tutela della riservatezza dei dati memorizzati sul prodotto, tramite crittografia o altri strumenti.
- 6 Protezione dell’integrità di dati, programmi e configurazioni contro manipolazioni o modifiche esterne.
- 7 Raccolta esclusiva dei dati necessari al funzionamento del prodotto.
- 8 Conservazione delle funzioni di base di un prodotto a seguito di un attacco informatico.
- 9 Minimizzazione dell’impatto negativo degli attacchi informatici su altri dispositivi o reti.
- 10 Superficie di attacco limitata, ovvero punti di esposizione o vulnerabilità ridotti al minimo nominale.
- 11 Meccanismi per limitare l’impatto e l’efficacia di attacchi informatici riusciti.
- 12 Capacità di registrare eventi relativi alla sicurezza, inclusi cambiamenti a dati o funzioni del dispositivo. Questa funzione deve prevedere per l’utente la possibilità di opt-out.
- 13 Possibilità per l’utente di eliminare tutti i dati e le impostazioni personalizzate dal prodotto.
Allegato I, Parte II: Processi da adottare per i produttori
Oltre alla progettazione e produzione di prodotti digitali con adeguate caratteristiche di sicurezza, i produttori devono essere pronti a svolgere un ruolo attivo nella mitigazione degli attacchi informatici durante l’intero ciclo di vita del prodotto.
I produttori devono attuare le seguenti misure:
- 1 Identificare e documentare le vulnerabilità del prodotto, anche tramite la stesura di una bill of materials che includa tutte le principali dipendenze.
- 2 Affrontare e correggere le vulnerabilità di sicurezza appena emergono, anche mediante aggiornamenti di sicurezza.
- 3 Effettuare test di sicurezza continui sui prodotti digitali.
- 4 Condividere informazioni su vulnerabilità ed eventi di sicurezza, inclusi impatto, gravità e istruzioni chiare su come gli utenti possano rimediare alle vulnerabilità esistenti.
- 5 Stabilire una policy ufficiale di Coordinated Vulnerability Disclosure (CVD).
- 6 Creare un framework per la condivisione e il reporting delle vulnerabilità di sicurezza, anche tramite un indirizzo di contatto reso pubblico affinché possano essere segnalate problematiche di sicurezza.
- 7 Mettere in atto meccanismi per trasmettere tempestivamente, e ove applicabile automaticamente, gli aggiornamenti di sicurezza a tutti i prodotti digitali.
Tali meccanismi devono essere distribuiti agli utenti e ai prodotti senza ritardi, gratuitamente e accompagnati da messaggi informativi che specifichino le azioni richieste all’utente.
Quali aziende rientrano nell'ambito di applicazione del CRA
Il Cyber Resilience Act ha portata molto ampia e molte aziende che operano nell’UE saranno legalmente obbligate a rispettare la direttiva. Più precisamente, il CRA si applica a tutte le imprese che fabbricano «prodotti con elementi digitali» disponibili sul mercato dell’Unione. In termini semplici, tutti i prodotti hardware che possono connettersi a Internet o ad altri dispositivi, e qualunque software — inclusi programmi, applicazioni e firmware — ricadono nell’ambito del CRA.
Pur non essendo un elenco esaustivo, questi sono alcuni esempi di articoli regolamentati dal Cyber Resilience Act:
- Elettronica di consumo: Laptop, smartphone, tablet, router, switch.
- Dispositivi smart: Elettrodomestici smart, smart speaker, assistenti virtuali, sistemi d’allarme.
- Tecnologia indossabile: Smartwatch, fitness tracker, smart glasses, smart ring.
- Software e firmware: Applicazioni mobile e desktop, sistemi operativi, firmware di dispositivi.
- Componenti elettronici: Processori grafici, unità di elaborazione centrale (CPU), microprocessori (MPU).
I prodotti digitali e tecnologici hanno catene di approvvigionamento complesse, con numerosi produttori, fornitori e subfornitori. L’UE identifica tre gruppi specifici, o «operatori economici», che devono rispettare la normativa:
Produttori
Si tratta di aziende che fabbricano il prodotto e lo commercializzano con il proprio marchio. Spesso sono denominati original equipment manufacturer, o OEM, e in genere si approvvigionano tramite ampie catene di fornitura con decine, centinaia o anche migliaia di fornitori diretti e indiretti. Su questi specifici produttori ricade la responsabilità della conformità al CRA.
Importatori
Come suggerisce il nome, sono operatori che importano prodotti digitali da paesi extra-UE—spesso da un OEM o altro produttore—e li immettono nel mercato comunitario.
Distributori
Distributori è un termine generico che raggruppa tutti gli operatori, diversi da produttori e importatori, responsabili dell’immissione di prodotti digitali nel mercato UE. Rientrano in questa categoria rivenditori e altre imprese del settore, che spesso vendono direttamente ai consumatori.
Come l’UE applica il CRA
Il CRA impone a tutti gli Stati membri UE di designare un’autorità di mercato responsabile dell’applicazione della normativa e della sorveglianza sulle imprese rientranti nel suo ambito. Tali autorità possono essere uffici, agenzie o altri enti pubblici con competenze di vigilanza e applicazione. L’autorità di mercato designata ha il potere di richiedere la documentazione tecnica agli operatori interessati, disporre il richiamo di prodotti o vietare l’accesso al mercato di specifici prodotti ritenuti non conformi al CRA.
Inoltre, le autorità possono irrogare sanzioni e multe ai trasgressori.
Conseguenze della mancata conformità al CRA
Le imprese che non rispettano il Cyber Resilience Act possono incorrere in sanzioni rilevanti.
- Violazioni dei requisiti essenziali del CRA: Multe fino a 15 milioni di euro oppure fino al 2,5% del fatturato globale dell’impresa, a seconda di quale valore risulti superiore.
- Violazioni di altri obblighi CRA (requisiti documentali e procedure di marcatura CE inclusi): Multe fino a 10 milioni di euro o fino al 2% del fatturato globale dell’impresa, a seconda di quale valore risulti superiore.
- Fornitura di informazioni false o incomplete alle autorità di mercato o agli organismi notificati: Multe fino a 5 milioni di euro oppure fino all’1% del fatturato globale dell’impresa, a seconda di quale valore risulti superiore.
Il ruolo degli organismi di certificazione nel Cyber Resilience Act
La necessità che un’impresa collabori con un organismo di certificazione o notificato per conformarsi al Cyber Resilience Act dipende dalla classificazione di rischio dei prodotti che produce, importa o distribuisce. Il CRA suddivide tutti i prodotti digitali in una delle quattro categorie:
- Prodotti standard: Questa categoria riguarda la maggioranza dei prodotti digitali nel mercato UE, tra cui elettronica di consumo, giocattoli e la maggior parte dei dispositivi smart. Le aziende che producono, importano o distribuiscono prodotti di questa categoria non necessitano di una valutazione da parte di un organismo terzo.
- Prodotti importanti (Classe I): Questa classe riguarda dispositivi con particolari responsabilità di sicurezza, come router, modem, browser e reti private virtuali (VPN). In generale, tali prodotti richiedono una valutazione terza da un organismo notificato che attesti la conformità al CRA, salvo che l’operatore economico dimostri la conformità a uno standard armonizzato di cybersecurity pertinente o ottenga una certificazione europea di cybersecurity approvata dal CRA.
- Prodotti importanti (Classe II): Questa categoria riguarda infrastrutture di sicurezza ancora più critiche, tra cui firewall, hypervisor e sistemi di rilevamento delle intrusioni. Le aziende che producono, importano o distribuiscono questi prodotti devono sempre ottenere una valutazione terza da un organismo notificato per attestare la conformità al CRA.
- Prodotti critici: Questa è la categoria a rischio più elevato e comprende prodotti come hardware security module, smart card e smart meter gateway. Analogamente alla terza categoria, le aziende coinvolte nell’immissione di questi prodotti nel mercato UE devono sempre ottenere una valutazione terza da un organismo notificato.
Date chiave di attuazione del Cyber Resilience Act
L’UE sta implementando il CRA con una tempistica scaglionata. La normativa entrerà in vigore nel corso di circa 15 mesi, tra settembre 2026 e dicembre 2027.
Dall’11 settembre, le imprese interessate dovranno iniziare a segnalare vulnerabilità di cybersecurity attivamente sfruttate e gravi incidenti di cybersecurity. Poiché l’obbligo di segnalazione inizia in questa data, sarà necessario costituire e implementare con ampio anticipo processi interni per la gestione degli incidenti.
Quindici mesi dopo l’entrata in vigore dell’obbligo di segnalazione, le aziende saranno tenute a rispettare tutti gli altri adempimenti di conformità. Ciò comprende i 13 requisiti per i prodotti digitali e gli 8 obblighi per i produttori di prodotti.
Come conformarsi al CRA
Una delle principali criticità del CRA riguarda la mancata finalizzazione e pubblicazione degli standard armonizzati (a partire dall’autunno 2026). Nonostante ciò, l’UE sta comunque proseguendo verso due scadenze fondamentali: la segnalazione delle vulnerabilità a settembre 2026 e l’adempimento degli obblighi completi a dicembre 2027.
Attenersi agli standard di cybersecurity esistenti
Le imprese interessate potrebbero chiedersi: se non esistono ancora standard armonizzati ufficiali, come prepararsi concretamente? Sebbene questa osservazione sia fondata, le organizzazioni non sono prive di strumenti. È noto che il comitato UE responsabile della definizione degli standard CRA sta attingendo a numerosi framework consolidati, che le aziende possono già adottare per orientarsi verso la futura regolamentazione, anche in presenza di requisiti ancora non completamente definiti. Gli standard di riferimento includono:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Definire un protocollo di gestione degli incidenti
Una certezza per le organizzazioni interessate è che, dall’11 settembre 2026, sarà obbligatorio segnalare vulnerabilità attivamente sfruttate o altri gravi incidenti di cybersecurity.
In sintesi, le imprese dovranno disporre di un processo di segnalazione degli incidenti prima di tale data per poter assicurare la conformità al Cyber Resilience Act. Quest’obbligo prevede anche la costituzione di un product security incident response team (PSIRT), incaricato di gestire gli incidenti cyber, identificare tempestivamente le vulnerabilità, valutarne il livello di minaccia e sviluppare patch di sicurezza da distribuire a tutti gli utenti.
È opportuno che le imprese coinvolte predispongano già ora team professionali, strumenti digitali, processi e la relativa documentazione.
Documentare tutto con la massima attenzione
Quando tutti gli obblighi CRA entreranno in vigore a dicembre 2027, i soggetti interessati dovranno predisporre un’ampia documentazione a supporto dell’attestazione di conformità (sia essa interna o a cura di un organismo notificato). Tale documentazione comprenderà una distinta base, la valutazione dei rischi di cybersecurity, le scelte progettuali motivate da requisiti di sicurezza, la descrizione degli standard adottati e altre informazioni.
Non sono necessari gli standard armonizzati CRA per iniziare a raccogliere queste informazioni. È possibile sin d’ora iniziare ad assemblare la documentazione richiesta dalla normativa.
