Dal prossimo 11 settembre diventano operativi i primi obblighi del Cyber Resilience Act (CRA) per i fabbricanti di prodotti con elementi digitali. In caso di vulnerabilità attivamente sfruttate o incidenti gravi, la prima segnalazione dovrà essere effettuata entro 24 ore. Le sanzioni previste dal Regolamento possono arrivare fino a 15 milioni di euro o, per le imprese, al 2,5% del fatturato mondiale annuo.
Sono interessate non soltanto le imprese che fabbricano materialmente prodotti hardware, ma anche quelle che sviluppano o fanno sviluppare software e altri prodotti digitali commercializzati con il proprio nome o marchio. Possono quindi rientrare nel perimetro, ad esempio, software house, produttori di dispositivi connessi e IoT, applicazioni e piattaforme software, firmware, componenti digitali e macchinari nei quali il software costituisce una componente funzionale.
Il primo obbligo a diventare applicabile è quello previsto dall’art. 14 del Regolamento (UE) 2024/2847. In presenza di una vulnerabilità attivamente sfruttata, il fabbricante dovrà effettuare un primo avviso entro 24 ore e procedere con le successive comunicazioni previste dal Regolamento. Specifici obblighi di segnalazione sono previsti anche per gli incidenti gravi che incidono sulla sicurezza del prodotto. Le comunicazioni saranno effettuate attraverso la Single Reporting Platform (SRP) istituita da ENISA.
Il CRA introduce, più in generale, un sistema europeo di requisiti obbligatori di cybersecurity dei prodotti con elementi digitali. La piena applicazione del Regolamento è prevista dall’11 dicembre 2027, quando diventeranno pienamente operativi anche gli obblighi relativi alla progettazione sicura, alla gestione delle vulnerabilità durante il ciclo di vita del prodotto, alla documentazione tecnica, alla valutazione di conformità e alla marcatura CE.
Per le imprese interessate, il primo passaggio consiste quindi nell’individuare i prodotti rientranti nel CRA e il ruolo ricoperto rispetto a ciascuno di essi, verificando successivamente i processi e la documentazione già esistenti e gli eventuali interventi necessari.
In vista dell’11 settembre assume particolare urgenza la predisposizione di un processo interno per la gestione e la segnalazione delle vulnerabilità e degli incidenti, con responsabilità e flussi informativi definiti tra IT, cybersecurity, funzione legale e management.
L’adeguamento al CRA dovrà inoltre essere coordinato, ove applicabili, con gli altri obblighi europei in materia di NIS2, Data Act, AI Act e protezione dei dati personali, evitando duplicazioni e valorizzando processi e presidi già adottati dall’organizzazione.
Restiamo a disposizione per verificare l’applicabilità del Cyber Resilience Act ai prodotti della Vostra organizzazione e definire il relativo percorso di adeguamento.
