Il Regolamento (UE) 2024/2847 (“Cyber Resilience Act” o “CRA”), inizierà a trovare parziale applicazione a partire dall’11 settembre 2026, con riferimento agli obblighi di segnalazione delle vulnerabilità attivamente sfruttate – ossia debolezze del software o dell’hardware concretamente utilizzate per compromettere la sicurezza del prodotto – e degli incidenti gravi – ossia eventi che compromettono la capacità del prodotto di proteggere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati (>link).
Ma quali sono, in concreto, i prodotti e gli operatori economici interessati da questa nuova disciplina?
In generale, il CRA si applica agli operatori economici — tra cui fabbricanti, importatori e distributori — che mettono a disposizione sul mercato dell’Unione europea, nell’ambito di un’attività commerciale, prodotti con elementi digitali.
La nozione di prodotto con elementi digitali è ampia e comprende qualsiasi prodotto software o hardware, comprese le relative soluzioni di elaborazione dati da remoto, purché il prodotto sia connesso, direttamente o indirettamente, a un dispositivo o a una rete.
Ne consegue che non è necessario che il prodotto sia direttamente connesso a Internet. È sufficiente che, in base alla sua finalità prevista o al suo uso ragionevolmente prevedibile, esso possa comunicare o interfacciarsi con un altro dispositivo, una rete locale, un sistema industriale, un gateway, un’applicazione mobile, un’infrastruttura cloud o un’altra componente digitale.
In questa prospettiva, il perimetro applicativo del CRA è particolarmente esteso e deve essere valutato in concreto, tenendo conto delle caratteristiche tecniche del prodotto, delle sue funzionalità e del modo in cui è destinato a essere utilizzato.
Alcuni prodotti di consumo che rientrano nel CRA sono smartphone e tablet, computer portatili e desktop, smart TV, dispositivi di streaming, console di gioco, cuffie e auricolari wireless. Sono inoltre interessati i dispositivi indossabili, come smartwatch e fitness tracker, gli e-reader connessi, gli smart speaker e gli altri dispositivi che comunicano mediante Wi-Fi, Bluetooth, rete mobile o altre interfacce.
Nell’ambito domestico possono rientrare router, modem, ripetitori e altri dispositivi di rete, stampanti connesse, termostati intelligenti, sistemi di allarme, serrature smart, sistemi connessi per il monitoraggio dei neonati, robot aspirapolvere ed elettrodomestici intelligenti. Anche i giocattoli connessi e robot educativi possono rientrare nel CRA.
Il Cyber Resilience Act assume particolare importanza anche nel settore industriale. Possono rientrare nel suo ambito i macchinari dotati di controllori logici programmabili, i PLC commercializzati autonomamente, i sistemi SCADA, i sistemi di controllo industriale, i dispositivi di diagnostica e manutenzione a distanza e le apparecchiature che consentono l’accesso remoto agli impianti.
Rientrano potenzialmente nel perimetro anche numerosi strumenti utilizzati nella logistica e nella gestione delle attività produttive, come tracker GPS per flotte, lettori di codici a barre connessi, terminali mobili, sensori IoT industriali, dispositivi per il monitoraggio delle merci e sistemi di raccolta o trasmissione dei dati installati su macchinari e infrastrutture.
Un aspetto particolarmente rilevante riguarda le soluzioni di elaborazione dati da remoto. Il Cyber Resilience Act considera parte del prodotto anche l’elaborazione a distanza realizzata mediante software progettato e sviluppato dal fabbricante, o sotto la sua responsabilità, quando l’assenza di tale elaborazione impedirebbe al prodotto di svolgere una delle sue funzioni. Possono quindi rientrare nel perimetro di conformità un backend, un’API, una banca dati o una componente cloud necessaria al funzionamento del prodotto.
In ogni caso, non tutti i prodotti digitali o connessi rientrano nel Cyber Resilience Act.
Sono espressamente esclusi, ad esempio, i prodotti con elementi digitali ai quali si applicano il Regolamento (UE) 2017/745 (“MDR”) sui dispositivi medici, il Regolamento (UE) 2017/746 (“IVDR”) sui dispositivi medico-diagnostici in vitro e il Regolamento (UE) 2019/2144 relativo all’omologazione dei veicoli e dei loro sistemi e componenti. Sono inoltre esclusi i prodotti certificati conformemente al Regolamento (UE) 2018/1139 nel settore dell’aviazione civile e l’equipaggiamento marittimo.
Sono altresì esclusi i prodotti sviluppati o modificati esclusivamente per finalità di sicurezza nazionale o di difesa e quelli specificamente progettati per trattare informazioni classificate. L’esclusione non riguarda, però, qualsiasi prodotto utilizzato da un’amministrazione pubblica o da un soggetto operante nel settore della difesa, ma soltanto i prodotti che presentano le caratteristiche specifiche indicate dal regolamento.
Un’ulteriore esclusione riguarda i pezzi di ricambio messi a disposizione sul mercato per sostituire componenti identici in prodotti con elementi digitali, quando siano fabbricati secondo le medesime specifiche dei componenti sostituiti. L’esenzione non può quindi essere estesa automaticamente a componenti compatibili, aggiornati o modificati che presentino caratteristiche tecniche o funzionali diverse dal pezzo originario.
Vale la pena precisare che le esenzioni settoriali operano su base specifica e non sono automatiche: un prodotto che abbia una qualsiasi connessione con i settori citati non è escluso per ciò solo dall'ambito del CRA, ma occorre verificare che il regime settoriale applicabile garantisca effettivamente un livello di protezione equivalente.
In definitiva, per effettuare una prima valutazione occorre domandarsi se il prodotto sia costituito da hardware o software, o comprenda elementi digitali, se sia fornito sul mercato dell’Unione nel corso di un’attività commerciale e se la sua finalità prevista o il suo uso ragionevolmente prevedibile comprendano una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Occorre poi verificare se trovi applicazione una delle esclusioni previste dal regolamento o dai successivi atti dell’Unione.
Avviare per tempo questa analisi consente di arrivare preparati alle scadenze del CRA, pianificando gli adeguamenti necessari senza dover intervenire in modo affrettato su prodotti già immessi sul mercato.
