Cyber Resilience Act: le linee guida per l’applicazione efficace

A cura della Redazione

La Commissione Europea ha pubblica una serie di linee guida che chiariscono come applicare i nuovi requisiti per i prodotti che utilizzano elementi digitali, introdotti dal Cyber Resilience Act (CRA). La corretta applicazione serve a garantire anche elevati standard di sicurezza per macchine e impianti sempre più connessi.

Cosa tratta:

Il Cyber Resilience Act (CRA), introdotto con il Regolamento (UE) 2024/2847, definisce un quadro normativo per garantire che hardware, software, dispositivi IoT, macchine, sistemi di automazione e prodotti digitali siano progettati, sviluppati e mantenuti secondo requisiti minimi di cybersicurezza lungo tutto il loro ciclo di vita.

Dall’11 settembre 2026 scatta l’obbligo di segnalare le vulnerabilità identificate nel codice e degli incidenti gravi che hanno impatto sulla sicurezza dei prodotti immessi sul mercato, ovvero quanto contenuto nell’art. 14 del Regolamento.  

A luglio 2026 la Commissione Europea ha pubblicato le linee guida, come previsto dall’art. 26 dello stesso Regolamento, che forniscono chiarimenti interpretativi e indicazioni operative per agevolarne l’applicazione da parte degli operatori economici interessati. Le indicazioni sono frutto del lavoro che ha coinvolto imprese ed esperti di cybersicurezza all’interno del CRA Expert Group: vediamo i principali contenuti.

Ambito di applicazione

Le linee guida chiariscono che il CRA si applica a tutti i prodotti con elementi digitali dotati di una connessione diretta o indiretta a una rete o a un dispositivo, compresi:

  • software autonomi;
  • hardware con software integrato, come nei dispositivi IoT;
  • hardware autonomi;
  • soluzioni combinate di hardware e software vendute anche separatamente, ma progettate per funzionare insieme.

Particolarmente importante è il principio secondo cui hardware e software vengono considerati come un unico prodotto quando il software è indispensabile al funzionamento previsto del dispositivo. Un robot per applicazioni industriali, una macchina con automazioni o una linea produttiva connessa rientrano pertanto pienamente nel perimetro del Regolamento.

Valutazione del rischio cyber

Uno degli aspetti centrali del CRA riguarda l'obbligo per il fabbricante di effettuare una Cybersecurity Risk Assessment, finalizzata a individuare le vulnerabilità e gli elementi che espongono il prodotto a rischi, in modo da guida la progettazione verso soluzioni il più possibile sicure.

Aggiornamenti software e modifiche sostanziali

Le linee guida chiariscono cosa rientra nel campo delle modifiche sostanziali, regolate dal CRA con una serie di obblighi. Costituiscono modifiche sostanziali le variazioni che:

  • modificano la destinazione d'uso del prodotto;
  • introducono nuove superfici di attacco;
  • alterano significativamente il profilo di rischio cyber;
  • introducono nuove dipendenze o interfacce esterne non precedentemente valutate.

Gestione delle vulnerabilità e gli obblighi dall’11 settembre

La gestione delle vulnerabilità è uno degli aspetti chiave del Regolamento.

I produttori devono:

  • monitorare le vulnerabilità;
  • correggerle tempestivamente con patch;
  • effettuare test periodici;
  • mantenere aggiornata la documentazione tecnica;
  • condividere le informazioni sulle vulnerabilità con i fornitori dei componenti coinvolti.

I prodotti non dovrebbero essere immessi sul mercato con vulnerabilità note e sfruttabili. Nel caso in cui, invece, vengano rilevate successivamente vulnerabilità attivamente sfruttate, scatta l’obbligo di comunicazione entro 24 ore sulla piattaforma europea Single Reporting Platform, attiva dall’11 settembre.

Entro 72 l’operatore dovrà poi inviare una notifica con dati più approfonditi, misure di mitigazione, impatto dell’evento e cause ipotizzate.

Successivamente dovrà essere inoltrato un rapporto con indicata la misura correttiva, non più tardi di un mese dalla prima notifica.  

Cybersecurity e sicurezza sul lavoro

Le linee guida del CRA forniscono elementi importanti per garantire l’applicazione di misure che servono anche a garantire la sicurezza nell’utilizzo di macchine, attrezzature e impianti interconnessi e governati da strumenti digitali, come previsto dal Regolamento Macchine.

Per approfondire leggi anche

Conclusioni

Alla luce degli obblighi che stanno diventando operativi, le linee guida pubblicate rappresentano uno strumento importante per garantire la conformità ai provvedimenti europei. Il tema diventa sempre più rilevante per chi si occupa di sicurezza occupazionale: prevenire attacchi informatici significa prevenire concretamente incidenti e infortuni.

In allegato le linee guida della Commissione Europea.

Quando entra in vigore

Il Regolamento è entrato in vigore il 10 dicembre 2024 e avrà piena applicazione a partire dall’11 dicembre 2027, dopo una graduale introduzione delle sue disposizioni.

COSA DICE LA LEGGE

  • Regolamento (UE) 2024/2847 - Cyber Resilience Act;
  • Regolamento (UE) 2023/1230 (Regolamento Macchine);
  • Direttiva (UE) 2022/2555 (NIS 2);
  • D.Lgs. 81/2008.

INDICAZIONI OPERATIVE

  1. Verificare i dispositivi che rientrano nel campo di applicazione.
  2. Integrare la valutazione del rischio cyber con la valutazione dei rischi per la salute e sicurezza dei lavoratori.
  3. Richiedere ai fornitori evidenza della conformità al CRA.
  4. Definire procedure interne per l'identificazione e la segnalazione di incidenti informatici che possano influire sulla sicurezza operativa.

Riproduzione riservata ©