Oggetto della normativa
Il Regolamento (UE) 2024/2847 (“CRA”) rappresenta il primo intervento specifico dell’Unione in materia di cybersicurezza dei prodotti con elementi digitali (i.e. qualsiasi prodotto hardware e software connesso ad internet). La normativa è entrata in vigore il 10 dicembre 2024 e presenta un regime di applicazione scaglionato, scandito da date operative distinte.
Sul piano sostanziale, il CRA impone ai fabbricanti requisiti essenziali di cibersicurezza, articolati in due componenti: (i) requisiti relativi alle caratteristiche del prodotto (security by design e by default, riduzione della superficie di attacco, configurazione sicura, controllo degli accessi, integrità di firmware e software); (ii) requisiti relativi alla gestione delle vulnerabilità lungo l’intero periodo di supporto.
I requisiti (e le conseguenti procedure di conformità) sono modulati in base al livello di rischio per tipologie di prodotti: a) prodotti standard (categoria residuale dei prodotti con elementi digitali non rientranti tra i prodotti importanti o critici); b) prodotti importanti [1]; c) prodotti critici [2].
Tra gli obblighi principali rientrano:
– la progettazione e produzione del prodotto secondo un livello di cibersicurezza adeguato al rischio:
– l’immissione sul mercato del prodotto in assenza di vulnerabilità note sfruttabili, dovendosi intendere per tali le vulnerabilità già conosciute — o conoscibili dal fabbricante secondo l’ordinaria diligenza tecnica — e concretamente idonee a compromettere la cibersicurezza del prodotto.
– la predisposizione di: (i) una software bill of materials (SBOM), (ii) documentazione tecnica, (iii) dichiarazione di conformità UE e (iv) della marcatura CE.
Per i prodotti importanti o critici, le procedure di valutazione implicano l’intervento di un c.d. organismo notificato nell’ordinamento competente.
Classificazione dei prodotti e regimi di valutazione della conformità
Il CRA gradua gli obblighi di valutazione della conformità in funzione della rilevanza del prodotto per la cybersicurezza, secondo un criterio sostanziale: quando un prodotto ha la “funzionalità di base” di una categoria elencata negli Allegati III o IV, è qualificato come importante o critico ed è soggetto alle corrispondenti procedure, a prescindere dalle modalità con cui è commercializzato.
Ne discendono quattro regimi.
Prodotti standard. È sempre disponibile l’autovalutazione: il fabbricante conduce e documenta la valutazione nel fascicolo tecnico, sottoscrive la dichiarazione UE di conformità e appone la marcatura CE, senza intervento di un organismo notificato.
Prodotti importanti — Classe I (Allegato III) [3].
L’autovalutazione resta praticabile a condizione che siano applicate integralmente norme armonizzate, specifiche comuni o uno schema europeo di certificazione che coprano tutti i requisiti essenziali; in difetto, occorre ricorrere al all’intervento di un organismo notificato.
Prodotti importanti — Classe II (Allegato III) [4].
La valutazione da parte di un organismo notificato è obbligatoria a prescindere dalle norme applicate, salvo il ricorso a uno schema europeo di certificazione ove disponibile e applicabile.
Prodotti critici (Allegato IV) [5].
Seguono un percorso di certificazione specifico quando la Commissione UE lo abbia attivato; in tal caso può essere richiesto un certificato europeo di cibersicurezza. Altrimenti, restano applicabili i medesimi percorsi di valutazione da parte di organismi notificati [6].
Cronoprogramma attuativo
L’attuazione del CRA segue un regime progressivo, articolato in due principali scadenze:
11 settembre 2026: diviene applicabile l’art. 14 sugli obblighi di segnalazione. Da tale data i fabbricanti devono notificare le vulnerabilità e gli incidenti gravi che impattano la sicurezza dei prodotti, secondo una struttura “a cascata”: allarme rapido entro 24 ore, notifica completa entro 72 ore e relazione finale entro 14 giorni dalla disponibilità della misura correttiva per le vulnerabilità, ovvero entro 30 giorni per gli incidenti gravi.
11 dicembre 2027: applicazione del corpo principale degli obblighi (requisiti essenziali, documentazione tecnica e marcatura CE). I prodotti immessi sul mercato prima di tale data restano soggetti ai requisiti principali solo in caso di modifica sostanziale successiva.
Regime sanzionatorio
L’art. 64 del Regolamento (UE) 2024/2847 prevede un sistema di sanzioni amministrative articolato su tre livelli, graduati in funzione della gravità della violazione. In particolare, la violazione dei requisiti essenziali di cibersicurezza di cui all’Allegato I, nonché degli obblighi di cui agli artt. 13 e 14 è punibile con sanzioni fino a 15 milioni di euro o, se l’autore del reato è un’impresa, fino al 2,5% del fatturato mondiale annuo dell’anno precedente, se superiore.
Profili di coordinamento con altre normative
Sul fronte dell’intelligenza artificiale, il CRA prevede che i prodotti con elementi digitali qualificabili anche come sistemi di AI ad alto rischio si presumano conformi ai requisiti di cibersicurezza dell’AI Act quando rispettano i requisiti essenziali del CRA stesso, come attestato dalla dichiarazione di
conformità UE. Le procedure di valutazione sono coordinate e affidate ai medesimi organismi notificati, così da evitare doppie istruttorie: CRA, AI Act e Regolamento Macchine finiscono per convergere sullo stesso prodotto connesso, imponendo una strategia di compliance unitaria.
Quanto alla NIS2, la disciplina regola i soggetti e non i prodotti, ma gli obblighi di notifica si sovrappongono a quelli del CRA: identica la struttura a cascata (early warning, notifica e relazione finale) diversi i presupposti, riferiti ai servizi dell’organizzazione nel primo caso e al prodotto nel secondo. Poiché in Italia entrambi i flussi convergono sul CSIRT Italia presso l’ACN, l’integrazione dei processi interni non è più un’opzione ma una necessità operativa.
———-
Note a piè di pagina:
[1] Come meglio descritti dall’art. 7 e dall’Allegato III del Regolamento (UE) 2024/2847.
[2] Come meglio descritti dall’art. 8 e dall’Allegato IV del Regolamento (UE) 2024/2847.
[3] Vi rientrano, a titolo esemplificativo, sistemi di gestione delle password e delle identità, browser, sistemi operativi, VPN.
[4] La classe comprende, ad esempio: hypervisor e sistemi container, firewall e IDS/IPS, microcontrollori e processori antimanomissione.
[5] Ad esempio: smart card, lettori sicuri, HSM, gateway per smart meter.
[6] Si segnala una deroga di rilievo: i fabbricanti di prodotti importanti di Classe I e II costituiti da software libero e open source possono avvalersi dell’autovalutazione, purché rendano pubblica la documentazione tecnica.
