Il Cyber Resilience Act – regolamento (UE) 2024/2847 del 23 ottobre 2024 (“CRA”) – stabilisce requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali.

In questa tornata esamineremo le prescrizioni relative alla dovuta diligenza e alla gestione delle vulnerabilità.

In puntate successive, analizzeremo i passi del processo preliminare alla messa in commercio, la marcatura CE, insieme alla vigilanza del mercato e alle previste sanzioni.

Le precedenti puntate sul tema sono apparse negli Alert del 9 gennaio 2025 e del 20 febbraio 2025.

Motivi e obiettivi del CRA

Il regolamento sulla ciberresilienza affronta due problemi principali comuni ai prodotti con elementi digitali:

• la scarsa cibersicurezza dei prodotti, con molte vulnerabilità e aggiornamenti di sicurezza insufficienti, e
• la mancanza di informazioni per gli utenti, che impedisce loro di scegliere e usare prodotti sicuri.

L’obiettivo del CRA è quello di garantire che i prodotti digitali siano sviluppati con meno vulnerabilità e che i fabbricanti considerino la sicurezza durante tutto il ciclo di vita del prodotto.

Maggiore sicurezza e trasparenza aiutano gli utenti a scegliere e usare prodotti digitali in modo sicuro.

In sostanza, il CRA impone ai fabbricanti di informare gli utenti sul periodo di assistenza e sugli aggiornamenti di sicurezza disponibili per i prodotti digitali al fine di proteggere gli utenti da potenziali attacchi informatici che potrebbero compromettere la loro sicurezza e privacy.

Considerato che gli aggiornamenti di sicurezza rappresentano un’importante misura per proteggere i prodotti digitali dagli attacchi informatici, il CRA crea le condizioni affinchè gli utenti possano installare subito quelli ultimi. A tal fine, è richiesto ai fabbricanti di progettare i prodotti in modo che possano notificare, distribuire, scaricare e installare automaticamente gli aggiornamenti di sicurezza, soprattutto per i prodotti di consumo. Spetta comunque agli utenti di approvare il download e l’installazione degli aggiornamenti come ultimo passaggio.

La diligenza e una corretta gestione delle vulnerabilità e degli incidenti costituiscono i punti cardine del Cyber Resilience Act.

Continua…