Regolamento (UE) 2026/699

Accesso standardizzato e sicuro alle informazioni OBD e RMI dei veicoli

Il regolamento delegato (UE) 2026/699 modifica il regolamento (UE) 2018/858 per aggiornare il quadro dell’accesso degli operatori indipendenti alle informazioni diagnostiche di bordo (OBD) e alle informazioni sulla riparazione e manutenzione dei veicoli (RMI). La modifica risponde, secondo i considerando, all’esigenza di conciliare l’accesso non discriminatorio e standardizzato con la crescente necessità di proteggere i veicoli dagli attacchi informatici, in coerenza con il regolamento (UE) 2019/2144 e con i riferimenti UNECE richiamati.

Ambito e finalità della modifica

L’intervento non riscrive l’intero regolamento 2018/858, ma incide sull’allegato X, che contiene le prescrizioni tecniche per l’accesso alle informazioni OBD e RMI. L’obiettivo è chiarire quali dati debbano essere resi disponibili, con quali standard tecnici, e quali misure di sicurezza possano essere richieste ai fini dell’accesso, evitando che la cibersicurezza diventi un ostacolo ingiustificato alla riparazione indipendente e alla concorrenza nel post-vendita.

Standardizzazione delle informazioni e contenuti minimi da pubblicare

Il costruttore continua a dover pubblicare sul proprio sito web le informazioni in formato standardizzato, conformandosi alle norme EN ISO 18541-2021 (parti 1-4) e EN ISO 18541-2018 (parte 5 per i veicoli pesanti). L’allegato chiarisce inoltre che le informazioni devono essere fornite in formato leggibile e trattabile elettronicamente, con il medesimo livello di dettaglio utilizzato internamente dal costruttore per diagnosi, riparazione e manutenzione.

Il catalogo informativo viene ampliato in modo significativo. Devono figurare, tra l’altro:

• l’identificazione univoca del veicolo e l’elenco delle opzioni montate in fabbrica;
• dati su sistemi, componenti, entità tecniche, parti e accessori, inclusi i valori di misurazione teorici minimi e massimi;
• informazioni per taratura, riparazione e diagnosi dei sistemi ADAS/DCAS;
• indicazioni per stabilire se un intervento richiede aggiornamenti software o codifica delle varianti;
• informazioni per identificare il corretto aggiornamento software o la corretta codifica, salvo il caso in cui sia necessaria una connessione back-end per la determinazione della versione;
• informazioni sugli strumenti e accessori brevettati e sulle istruzioni supplementari necessarie alla taratura;
• dati per la diagnosi e riparazione dei sistemi di batterie di trazione e delle unità sostituibili;
• informazioni specifiche per la manipolazione sicura di parti e componenti, soprattutto per i rischi elettrici, termici e chimici connessi alle batterie.

Accesso ai dati di bordo, interoperabilità e non discriminazione

Il punto 2.9 dell’allegato X viene riscritto e impone al costruttore di consentire l’accesso bidirezionale al flusso di dati di bordo attraverso tre canali: la porta seriale standard OBD, altri mezzi di accesso di bordo usati anche da partner e riparatori autorizzati (compresi Ethernet, pin non standardizzati, API e reti wireless) e sistemi di accesso remoto usati per assistenza, monitoraggio e diagnosi a distanza.

Se il veicolo è in movimento, il costruttore può limitare il flusso alle funzioni di sola lettura, ma la limitazione deve valere anche per i propri partner e riparatori autorizzati. Inoltre, eventuali condizioni di accesso devono essere necessarie e proporzionate per il rispetto delle norme di cibersicurezza e del quadro Euro 7; per i mezzi di accesso di cui alle lettere a) e b), tali condizioni non possono andare oltre quanto consentito dall’appendice 4.

Misure di sicurezza: autenticazione, tracciabilità e credenziali

La nuova appendice 4 disciplina in modo analitico le uniche condizioni e procedure che il costruttore può imporre per l’accesso alle informazioni OBD tramite i mezzi di accesso di cui al punto 2.9, lettere a) e b). Il sistema si fonda su autenticazione, tracciabilità, gestione delle credenziali e controllo dell’integrità dei processi.

In particolare:

• il costruttore può richiedere l’autenticazione dello strumento diagnostico e, in taluni casi, dell’operatore o del dipendente;
• può essere richiesta una connessione online una tantum per ottenere le credenziali, ma poi l’accesso non richiede di regola connessione continua;
• quando l’accesso comporta modifiche del veicolo, è possibile una connessione online continua;
• il costruttore può esigere la registrazione di VIN, identificativo dello strumento, dati di servizio, parametri e timestamp UTC;
• le credenziali possono essere specifiche per VIN e devono durare almeno 30 giorni, salvo il caso in cui l’accesso comporti modifiche del veicolo, nel qual caso la validità può essere limitata a 24 ore.

Sono inoltre previste condizioni di autorizzazione specifiche: nei casi di accesso che comportano modifiche del veicolo, l’operatore deve avere un’assicurazione di responsabilità civile con copertura minima di 1 milione di euro per lesioni personali e 0,5 milioni di euro per danni materiali, nonché svolgere un’attività legittima nel settore automobilistico. Per gli accessi che comportano riprogrammazione software più invasiva, il costruttore può richiedere l’identificazione del dipendente e la prova di specifici requisiti, salvo uso di certificati o sistemi equivalenti.

Cibersicurezza e limiti alle restrizioni

Il regolamento cerca di bilanciare l’accesso con la protezione del veicolo. Le misure di cibersicurezza non possono limitare o ostacolare l’accesso oltre quanto necessario e proporzionato per conformarsi al regolamento (UE) 2019/2144 e al regolamento (UE) 2024/1257. Allo stesso modo, le misure per prevenire manomissioni delle emissioni e frodi del contachilometri non possono andare oltre quanto richiesto dalle norme Euro 7.

Il costruttore può anche esigere che lo strumento diagnostico e il suo produttore rispettino standard di sicurezza come il regolamento (UE) 2024/2847, TISAX o ISO 27001, nonché eventuali requisiti di implementazione della sicurezza. Tuttavia tali requisiti devono essere non discriminatori e non eccedere quelli applicati ai propri strumenti o fornitori.

Riprogrammazione, codifica varianti e strumenti non proprietari

Il punto 6.4 conferma che riprogrammazione delle centraline, codifica delle varianti e attivazione dei pezzi di ricambio devono poter essere eseguite con hardware non proprietario, secondo standard aperti o riconosciuti, tra cui ISO 22900-2, SAE J2534-1, SAE J2534-2, TMC RP1210B e SOVD-ISO/DIS 17978-1. In caso di uso di Ethernet, la riprogrammazione deve avvenire secondo ISO 22900-2 o J2534-2.

Il costruttore può richiedere una validazione della compatibilità della VCI o la fornitura di informazioni/hardware speciali, ma solo dietro commissioni ragionevoli e proporzionate che non scoraggino il ricorso alla convalida.

Nuove regole per software, API e cronologia elettronica della manutenzione

Il nuovo punto 6.4 bis introduce un obbligo futuro di messa a disposizione, ai costruttori di strumenti diagnostici indipendenti, di software o informazioni che consentano la codifica delle varianti e la riprogrammazione delle centraline. L’obbligo riguarda i tipi di veicoli omologati per la prima volta dopo il 1° settembre 2020; il testo prevede inoltre date differite per alcuni veicoli omologati tra il 1° settembre 2020 e il 6 luglio 2022 e per le operazioni che comportano aggiornamenti software.

Il punto 6.1.1 disciplina in modo più dettagliato i fascicoli di omologazione e, per certe funzioni, impone dal 23 giugno 2027 la disponibilità di API per consentire al riparatore indipendente, tramite un terzo convenzionato con il costruttore, la visualizzazione e l’aggiornamento dei dati della cronologia elettronica di manutenzione. L’accesso a tali API è soggetto all’articolo 63, paragrafo 1, e può richiedere consenso del cliente e certificati X.509.

Disaccoppiamento, componenti riutilizzati e accesso paritario

Il punto 6.4 quater introduce una disciplina specifica per il disaccoppiamento di componenti, entità tecniche indipendenti, parti e accessori, anche in funzione del riuso, della rifabbricazione e del ricondizionamento. Il processo deve essere definito dal costruttore, ma non può imporre condizioni ulteriori rispetto a quelle previste dal regolamento.

Per il montaggio di componenti riutilizzati può essere richiesto l’identificativo univoco del pezzo, il VIN del veicolo e, se identificabile, l’autorizzazione del proprietario o locatario. Per la rifabbricazione industriale il VIN del veicolo originale non è necessario. Tutti gli operatori indipendenti autenticati devono avere pari accesso al processo; se il disaccoppiamento è eseguito su piattaforme esterne del costruttore, devono essere accettate le credenziali rilasciate secondo l’appendice 4 oppure quelle già usate per l’accesso al sito RMI del costruttore.

Controllo dell’autorità di omologazione, certificazioni e forum OBD

Il regolamento modifica anche il sistema di controllo. L’autorità di omologazione può presumere che il costruttore abbia applicato disposizioni e procedure adeguate sulla base del certificato relativo all’accesso alle informazioni OBD e RMI, purché non vi siano reclami. Inoltre, le informazioni OBD e RMI devono essere fornite agli operatori indipendenti al più tardi alla data di immissione sul mercato del veicolo.

L’appendice 4 istituisce un sistema di certificazione e sorveglianza in cui il forum OBD coordina e monitora autenticazione, rilascio delle credenziali, tracciabilità, connettività e sospensioni dell’accesso. Il forum fornisce consulenza alla Commissione, alle autorità di omologazione e agli operatori del settore sulle questioni interpretative e applicative.

Sospensione o limitazione dell’accesso e tutela dei dati

In caso di grave abuso, incidenti di cibersicurezza o responsabilità da prodotto difettoso, il costruttore può ottenere informazioni sugli interventi specifici e, in casi eccezionali, sospendere o limitare temporaneamente l’accesso, al livello più granulare possibile, previa notifica all’autorità di omologazione. L’autorità deve esaminare la sospensione entro 10 giorni e, se la ritiene ingiustificata o sproporzionata, chiederne il ripristino.

Il regolamento precisa anche che si applicano, senza pregiudizio, il regolamento (UE) 2016/679, la direttiva 2002/58/CE e il regolamento (UE) 2018/1725, con particolare riguardo alla protezione dei dati personali, alla pseudonimizzazione degli operatori e alla limitazione delle finalità di utilizzo delle informazioni raccolte.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.