Il decreto del consiglio dei ministri facilita la verifica della sicurezza dei prodotti fin dalla progettazione e per l’intero ciclo di vita e fornisce un quadro strutturale ad hoc. L’Agenzia per la cybersicurezza nazionale (Acn) sarà l’autorità preposta alla conformità e al controllo
Prodotti non sicuri e minacce informatiche saranno più facili da segnalare. Il governo ha deciso di adeguare la normativa nazionale al regolamento Ue del Parlamento europeo e del Consiglio e ha compiuto così uno scatto in avanti verso la cosiddetta cybersicurezza dei prodotti digitali. Il decreto approvato dal Consiglio dei ministri di ieri mette nero su bianco i requisiti di cybersicurezza per i prodotti hardware e software immessi sul mercato dell’Unione europea.
Entrando nello specifico, sarà più semplice verificare la sicurezza dei prodotti fin dalla progettazione e per l’intero ciclo di vita, con obblighi a carico di fabbricanti, importatori e distributori, tra cui la gestione delle vulnerabilità, gli aggiornamenti di sicurezza e la segnalazione degli incidenti gravi. Inoltre il decreto fornisce un quadro strutturale ad hoc, come chi avrà la responsabilità di conferire o meno la conformità e garantire il relativo controllo: l’Agenzia per la cybersicurezza nazionale (Acn) sarà l’autorità preposta e, in quanto autorità di vigilanza del mercato, potrà avvalersi della Guardia di finanza. Accanto all’Acn opereranno altre autorità tramite un coordinamento realizzato anche attraverso accordi per lo scambio di informazioni: l’obiettivo è tutelare i prodotti classificati anche come sistemi di intelligenza artificiale ad alto rischio; intervenire nei confronti degli istituti finanziari vigilati, la Banca d’Italia, la Commissione nazionale per le società e la borsa (Consob) e l’Istituto per la vigilanza sulle assicurazioni (Ivass); essere attivi per i profili di competenza, come il Garante per la protezione dei dati personali.
Un sostegno ci sarà anche per le microimprese e le piccole e medie imprese, comprese le start-up: potranno contare su un canale dedicato di consulenza, definito dall’Acn e dal ministero delle Imprese e del Made in Italy, con tariffe proporzionate per la valutazione della conformità. Inoltre verrà creato il cosiddetto Sandbox-CRA sotto la supervisione dell’Agenzia, ovvero uno spazio di sperimentazione normativa che consentirà la verifica di prodotti innovativi prima dell’immissione sul mercato.
La convinzione dell’Ue è che i prodotti hardware e software sono sempre più esposti ad attacchi informatici, come ad esempio i baby monitor, gli smartwatch, le app, i programmi informatici: per questa ragione il regolamento sulla cyber resilienza rafforza la cybersicurezza di tali prodotti e migliora la protezione di consumatori e imprese dalle minacce informatiche. Bruxelles ritiene che in questo modo verrà rafforzato l’approccio europeo alla cybersicurezza tramite una maggiore protezione degli utilizzatori: in questo senso la marcatura CE permetterà di identificare i prodotti conformi ai requisiti. I principali obblighi introdotti dal regolamento si applicano a decorrere dall’11 dicembre 2027, mentre gli obblighi di segnalazione dallo scorso11 settembre.
Il Cyber Resilience Act (CRA), dunque, si preannuncia come la più importante novità normativa europea in materia di cybersecurity per contrastare gli attacchi informatici che possono colpire aziende, infrastrutture e consumatori. E l’Italia ne fa parte.
