Regolamento (UE) 2025/2392

Descrizione tecnica delle categorie di prodotti con elementi digitali importanti e critici

Il regolamento di esecuzione (UE) 2025/2392 della Commissione completa il regolamento (UE) 2024/2847 sulla ciberresilienza precisando, in termini tecnici, quali prodotti con elementi digitali rientrino nelle categorie "importanti" e "critiche". La finalità è rendere operativo il regime di valutazione della conformità più rigoroso previsto per tali prodotti, con riferimento alla loro funzionalità principale e ai livelli di affidabilità/resistenza richiesti in alcune categorie sensibili.

Contesto normativo e criteri interpretativi

Il testo si fonda sull'articolo 7, paragrafo 4, del regolamento (UE) 2024/2847. Nei considerando viene chiarito che la classificazione dipende dalla funzionalità principale del prodotto nel suo complesso, non dalla mera presenza di componenti accessori o di funzioni aggiuntive riconducibili ad altre categorie. Per questo motivo, un prodotto non diventa automaticamente "importante" o "critico" solo perché integra un browser, un firewall, un sistema operativo o altri componenti che, presi singolarmente, corrisponderebbero a categorie rilevanti.

Inoltre, il regolamento ribadisce che tutti i fabbricanti devono comunque effettuare una valutazione completa dei rischi di cibersicurezza ai sensi dell'articolo 13 del regolamento (UE) 2024/2847 e dimostrare l'attuazione dei requisiti essenziali di cibersicurezza in modo proporzionato ai rischi, alla destinazione d'uso e all'uso ragionevolmente prevedibile.

Definizioni rilevanti

L'articolo 1 definisce due concetti chiave:

• "criteri comuni", cioè i criteri comuni per la valutazione della sicurezza delle tecnologie dell'informazione di cui al regolamento di esecuzione (UE) 2024/482 o alle norme richiamate da tale regolamento;
• "metodologia comune di valutazione", cioè la metodologia comune di valutazione della sicurezza IT prevista dallo stesso regolamento di esecuzione (UE) 2024/482 o dalle relative norme.

Tali richiami sono rilevanti soprattutto per le categorie basate su livelli AVA_VAN, che esprimono la resistenza del prodotto alla potenziale sfruttabilità di difetti o vulnerabilità.

Categorie di prodotti con elementi digitali importanti

L'allegato I elenca le categorie di prodotti importanti, articolate in classe I e classe II.

Classe I

Tra le categorie di classe I figurano, in particolare:

• sistemi di gestione dell'identità e software/hardware per la gestione degli accessi privilegiati, inclusi lettori biometrici, software SSO, OTP e autenticazione multifattore;
• browser autonomi e incorporati;
• sistemi di gestione delle password;
• software antimalware o antivirus che cercano, rimuovono o mettono in quarantena software maligni;
• prodotti con funzione VPN;
• sistemi di gestione della rete;
• sistemi SIEM;
• boot manager, inclusi firmware UEFI e boot loader;
• infrastrutture a chiave pubblica e software per il rilascio di certificati digitali;
• interfacce di rete fisiche e virtuali;
• sistemi operativi;
• router, modem per la connessione a Internet e switch;
• microprocessori con funzionalità legate alla sicurezza;
• microcontrollori con funzionalità legate alla sicurezza;
• ASIC e FPGA con funzionalità legate alla sicurezza;
• assistenti virtuali di uso generale per case intelligenti;
• prodotti per case intelligenti con funzionalità di sicurezza, come serrature, telecamere, sistemi di allarme e monitoraggio dei neonati;
• giocattoli connessi a Internet con funzionalità sociali interattive o di geolocalizzazione, disciplinati dalla direttiva 2009/48/CE;
• prodotti indossabili personali per il monitoraggio della salute, esclusi i dispositivi medici e IVD, e prodotti indossabili per bambini.

Classe II

Le categorie di classe II comprendono:

• ipervisori e sistemi di runtime container che supportano ambienti virtualizzati;
• firewall, sistemi di rilevamento delle intrusioni e sistemi di prevenzione delle intrusioni;
• microprocessori a prova di manomissione;
• microcontrollori a prova di manomissione.

Per i microprocessori e microcontrollori a prova di manomissione la descrizione tecnica richiede una progettazione volta a fornire protezione di livello AVA_VAN 2 o 3.

Categorie di prodotti con elementi digitali critici

L'allegato II identifica le categorie critiche, che sono oggetto di ulteriori requisiti di affidabilità e certificazione.

Dispositivi hardware con cassette di sicurezza

Sono prodotti hardware che memorizzano, elaborano o gestiscono in modo sicuro dati sensibili o eseguono operazioni crittografiche, e che sono composti da molteplici componenti discreti con involucro fisico anti-manomissione. La categoria comprende, ad esempio, terminali di pagamento fisici, moduli di sicurezza hardware e tachigrafi conformi alla descrizione.

Gateway per contatori intelligenti e dispositivi a fini di sicurezza avanzati

La categoria include gateway per sistemi di misurazione intelligenti ai sensi dell'articolo 2, punto 23, della direttiva (UE) 2019/944, nonché altri dispositivi con sicurezza avanzata e trattamento crittografico sicuro. Tali gateway controllano la comunicazione tra componenti del sistema e terzi autorizzati, gestiscono dati personali o del contatore e integrano funzioni di cifratura/decrittazione, firewall e controllo di altri dispositivi. La descrizione può applicarsi anche a sistemi di misura di altre fonti energetiche, come gas o calore, purché il gateway corrisponda alla descrizione tecnica.

Carte intelligenti o dispositivi analoghi, compresi gli elementi sicuri

Gli elementi sicuri sono microcontrollori o microprocessori con funzionalità di sicurezza, anti-manomissione, che gestiscono operazioni crittografiche o dati sensibili come credenziali di identità o pagamento. Devono essere progettati per offrire almeno il livello AVA_VAN 4 secondo i criteri comuni o la metodologia comune di valutazione. La categoria comprende TPM, UICC incorporate, documenti di identità e di viaggio, carte per la firma elettronica qualificata, carte di pagamento, carte di accesso e dispositivi indossabili con elementi sicuri per il pagamento.

Relazione con il regime di conformità del regolamento (UE) 2024/2847

Nei considerando viene precisato che, se la funzionalità principale di un prodotto corrisponde alla descrizione tecnica di una categoria importante o critica, il fabbricante deve dimostrarne la conformità tramite le procedure previste dall'articolo 32, paragrafi 2, 3, 4 e 5, del regolamento (UE) 2024/2847. Le descrizioni tecniche del presente regolamento servono quindi come criterio di qualificazione per stabilire se il prodotto sia assoggettato a procedure di conformità rafforzate.

Entrata in vigore e applicazione

L'articolo 3 prevede che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. L'atto è direttamente applicabile in tutti gli Stati membri ed è obbligatorio in tutti i suoi elementi.