Cosa è successo
Dall'11 settembre 2026 sono in vigore nell'Unione Europea gli obblighi di segnalazione previsti dal Cyber Resilience Act (CRA). I produttori di prodotti con elementi digitali sono ora tenuti a segnalare tempestivamente le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi che hanno un impatto sulla sicurezza del prodotto. Questa nuova normativa è considerata una pietra miliare centrale per il rafforzamento della sicurezza dei prodotti nel mercato interno dell'UE. L'Ufficio federale tedesco per la sicurezza informatica (BSI) supporta le aziende interessate con guide dettagliate per l'attuazione pratica.
I dettagli
La trasmissione delle segnalazioni avviene in modo standardizzato a livello europeo tramite la Single Reporting Platform sviluppata dall'Agenzia dell'Unione Europea per la cibersicurezza (ENISA), abbreviata in CRA-SRP. I destinatari delle informazioni sono il rispettivo Computer Security Incident Response Team (CSIRT) coordinatore competente dello Stato membro interessato, nonché la stessa ENISA. Per le aziende federali in Germania, la funzione di CSIRT coordinatore è svolta dal CERT-Bund all'interno del BSI.
Per i produttori con sede principale all'interno dell'UE, la competenza è determinata dallo Stato membro in cui vengono prese le decisioni essenziali relative alla cibersicurezza dei prodotti. Per le aziende senza sede principale nell'UE, si applicano i criteri di cui all'articolo 14, paragrafo 7, del CRA. In questo caso sono determinanti, tra l'altro, la sede di un rappresentante autorizzato, importatore o distributore, nonché la disponibilità del prodotto sui rispettivi mercati.
I produttori vengono a conoscenza delle vulnerabilità sfruttate, ad esempio, tramite fornitori di servizi di sicurezza informatica o segnalazioni da parte dei clienti. Gli incidenti di sicurezza gravi possono inoltre essere identificati tramite segnalazioni esterne e attraverso l'analisi interna dei log di applicazioni e sistemi. La CRA-SRP funge da interfaccia centrale e riservata: una singola segnalazione è sufficiente per informare contemporaneamente, tramite il CSIRT competente, i team corrispondenti di tutti gli Stati membri dell'UE in cui il rispettivo prodotto viene commercializzato. Non è necessaria una registrazione preventiva sulla piattaforma e l'invio della segnalazione è possibile nel giro di pochi minuti. L'infrastruttura viene gestita nel rispetto degli attuali standard di sicurezza europei.
Inquadramento
Per il settore della sicurezza questo sviluppo riveste un'importanza immediata, poiché la moderna tecnologia di sicurezza include sempre più componenti digitali – dai sistemi di allarme connessi ai sistemi di videosorveglianza basati su IP, fino ai sistemi digitali di controllo accessi. Anche i produttori di prodotti come casseforti di deposito monitorate elettronicamente, cassette per le offerte nelle chiese collegate in rete digitalmente o moderni sistemi Wardhub per il controllo accessi rientrano nella nuova definizione di "prodotti con elementi digitali" e devono rispettare gli obblighi di segnalazione del CRA, qualora i loro prodotti contengano elementi digitali.
L'introduzione di un percorso di segnalazione unificato e centralizzato tramite la CRA-SRP aumenta in modo significativo la trasparenza in merito ai rischi digitali per la sicurezza in tutto il mercato interno dell'UE. Al posto di procedure di segnalazione nazionali singole e non uniformi, nasce un sistema coordinato che informa contemporaneamente le autorità di tutta l'UE, migliorando così la capacità di reazione agli incidenti rilevanti per la sicurezza.
Consigli pratici
- I produttori di tecnologia di sicurezza digitale dovrebbero verificare tempestivamente se i loro prodotti rientrano negli obblighi di segnalazione del CRA e quale competenza si applica al loro caso.
- Le aziende senza sede principale nell'UE dovrebbero esaminare attentamente i criteri di cui all'articolo 14, paragrafo 7, del CRA per identificare correttamente l'ente di segnalazione competente.
- È opportuno istituire o verificare i processi interni per l'analisi dei log di applicazioni e sistemi, nonché per la gestione delle segnalazioni dei clienti e degli avvisi dei fornitori di servizi di sicurezza informatica, al fine di individuare tempestivamente le vulnerabilità.
- Poiché non è necessaria una registrazione preventiva sulla CRA-SRP, si raccomanda di familiarizzare tempestivamente con il processo di segnalazione, in modo da poter agire rapidamente in caso di necessità.
- Le guide dettagliate fornite dal BSI, così come le informazioni messe a disposizione dall'ENISA, offrono una base pratica per l'attuazione dei nuovi requisiti.
Prospettive
Con l'avvio degli obblighi di segnalazione del CRA viene attuato un tassello importante della strategia europea di cibersicurezza. Ulteriori dettagli sull'utilizzo della piattaforma e sulle procedure formali sono disponibili sui rispettivi siti web del BSI e dell'ENISA. Per i produttori di tecnologia di sicurezza con componenti digitali, l'attuazione coerente di questi obblighi di segnalazione potrebbe diventare in futuro una parte integrante del ciclo di vita del prodotto – paragonabile ai requisiti già esistenti in materia di certificazione e conformità nel settore.
