Regolamento (UE) 2024/2847

Regolamento (UE) 2024/2847 sulla ciberresilienza dei prodotti con elementi digitali

Il regolamento istituisce un quadro orizzontale e direttamente applicabile per garantire la cibersicurezza dei prodotti hardware e software con elementi digitali immessi sul mercato dell’Unione. La logica del testo è quella di intervenire lungo tutto il ciclo di vita del prodotto, dalla progettazione alla manutenzione, imponendo requisiti di sicurezza, gestione delle vulnerabilità, trasparenza verso gli utilizzatori e vigilanza del mercato uniforme.

Finalità e impostazione generale

Il legislatore unionale parte dall’assunto che la frammentazione normativa nazionale e settoriale abbia creato un mosaico di regole non omogeneo, con costi aggiuntivi per imprese e utenti e con livelli di sicurezza troppo variabili. Il regolamento risponde a tale problema mediante requisiti essenziali comuni, tecnologicamente neutri, applicabili a tutti i prodotti con elementi digitali rientranti nell’ambito di applicazione, con un’attenzione particolare ai prodotti di consumo, ai prodotti critici per la rete e ai prodotti destinati a soggetti essenziali ai sensi della direttiva (UE) 2022/2555.

Ambito di applicazione ed esclusioni

L’articolo 2 delimita il campo applicativo ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui uso ragionevolmente prevedibile includa una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. La nozione è ampia e comprende hardware, software e soluzioni di elaborazione dati da remoto necessarie alla funzionalità del prodotto.

Restano esclusi i prodotti già coperti da regimi speciali, in particolare dispositivi medici e dispositivi medico-diagnostici in vitro, veicoli e sistemi disciplinati dal regolamento (UE) 2019/2144, prodotti certificati ai sensi del regolamento (UE) 2018/1139, equipaggiamenti marittimi, prodotti per sicurezza nazionale e difesa, nonché i prodotti per informazioni classificate. È inoltre esclusa la semplice sostituzione di componenti identici secondo le stesse specifiche, e il regolamento non può imporre la divulgazione di informazioni la cui diffusione sarebbe contraria agli interessi essenziali degli Stati membri in materia di sicurezza nazionale, pubblica sicurezza o difesa.

La disciplina è costruita anche per evitare sovrapposizioni: ove altre norme UE garantiscano almeno lo stesso livello di protezione per specifici rischi, la Commissione può limitare o escludere l’applicazione del regolamento a determinati prodotti tramite atti delegati.

Definizioni operative

L’articolo 3 è centrale per la pratica applicativa, perché definisce in modo puntuale le categorie di operatori e gli istituti tecnici rilevanti. Tra le definizioni più importanti vi sono:

• prodotto con elementi digitali, che comprende software, hardware e soluzioni di elaborazione dati da remoto;
• messa a disposizione sul mercato e immissione sul mercato, che rilevano ai fini dell’avvio degli obblighi;
• periodo di assistenza, durante il quale il fabbricante deve assicurare la gestione efficace delle vulnerabilità;
• modifica sostanziale, che può far riespandere gli obblighi di conformità;
• distinta base del software, strumento chiave per la tracciabilità dei componenti;
• vulnerabilità attivamente sfruttata e incidente grave che ha un impatto sulla sicurezza del prodotto, entrambe al centro degli obblighi di notifica.

Requisiti essenziali di cibersicurezza

L’allegato I, richiamato dagli articoli 6, 13, 27 e 32, distingue tra requisiti relativi alle proprietà del prodotto e requisiti di gestione delle vulnerabilità.

Sul piano delle proprietà, i prodotti devono essere progettati e prodotti con un livello adeguato di sicurezza rispetto ai rischi e, ove applicabile:

• essere immessi sul mercato senza vulnerabilità sfruttabili note;
• avere una configurazione sicura per impostazione predefinita;
• consentire aggiornamenti di sicurezza, anche automatici, con meccanismi di disattivazione chiari;
• proteggere accesso, riservatezza, integrità e disponibilità dei dati e delle funzioni;
• limitare la superficie d’attacco;
• offrire possibilità sicure di cancellazione e trasferimento dei dati.

Sul piano della gestione delle vulnerabilità, i fabbricanti devono identificare e documentare i componenti, predisporre una distinta base del software, effettuare test e riesami periodici, divulgare le vulnerabilità risolte, predisporre una politica di disclosure coordinata e garantire canali per la segnalazione delle vulnerabilità. La separazione, ove tecnicamente fattibile, degli aggiornamenti di sicurezza dagli aggiornamenti funzionali è espressamente favorita.

Obblighi dei fabbricanti

L’articolo 13 è il fulcro della disciplina. Il fabbricante deve progettare, sviluppare e produrre il prodotto in conformità ai requisiti di sicurezza, avvalendosi di una valutazione dei rischi di cibersicurezza che deve essere documentata, aggiornata e incorporata nella documentazione tecnica. La valutazione deve coprire finalità prevista, uso ragionevolmente prevedibile, ambiente operativo, durata di utilizzo e modalità di applicazione dei requisiti dell’allegato I.

Il fabbricante deve inoltre esercitare dovuta diligenza sui componenti di terzi, inclusi componenti open source non commercializzati, segnalando e correggendo le vulnerabilità individuate. Deve conservare la documentazione tecnica e la dichiarazione UE per almeno dieci anni o per il periodo di assistenza, se più lungo, garantire identificazione, recapiti e punto di contatto unico, fornire istruzioni chiare in forma cartacea o elettronica e indicare in modo comprensibile la data finale del periodo di assistenza.

Il periodo di assistenza deve riflettere la durata di utilizzo prevista del prodotto e non può essere inferiore a cinque anni, salvo che la durata prevista sia inferiore. Gli aggiornamenti di sicurezza distribuiti durante tale periodo devono rimanere disponibili per almeno dieci anni o per il restante periodo di assistenza, se superiore. Se il fabbricante immagina versioni successive sostanzialmente modificate di un software, può limitare la garanzia di aggiornamenti di sicurezza all’ultima versione, a condizione che le versioni precedenti abbiano accesso gratuito alla nuova versione e non richiedano costi aggiuntivi di adeguamento dell’ambiente hardware o software.

Segnalazione obbligatoria e volontaria di vulnerabilità e incidenti

L’articolo 14 introduce un sistema di notifiche obbligatorie molto strutturato. Il fabbricante deve notificare simultaneamente al CSIRT designato come coordinatore e a ENISA, tramite la piattaforma unica di segnalazione:

• una notifica di preallarme entro 24 ore dalla conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave;
• una notifica completa entro 72 ore;
• una relazione finale entro 14 giorni dalla messa a disposizione della misura correttiva, per le vulnerabilità;
• una relazione finale entro un mese per gli incidenti gravi.

La notifica completa deve contenere, tra l’altro, descrizione, gravità, impatto, informazioni sullo sfruttamento, misure di correzione o attenuazione e, se del caso, il livello di sensibilità attribuito alle informazioni. L’uso della piattaforma dipende dallo stabilimento principale del fabbricante nell’Unione; se il fabbricante non ha uno stabilimento principale nell’Unione, si applicano criteri sussidiari che coinvolgono rappresentante autorizzato, importatore, distributore e, in ultima istanza, il luogo in cui si trovano i maggiori utilizzatori.

L’articolo 15 consente inoltre la segnalazione volontaria di vulnerabilità, minacce informatiche, incidenti e quasi incidenti da parte dei fabbricanti e di altre persone fisiche o giuridiche, con trattamento riservato e senza aggravio di obblighi per il notificante.

Piattaforma unica di segnalazione e ruolo di ENISA

L’articolo 16 attribuisce a ENISA la creazione e gestione della piattaforma unica di segnalazione, con terminali nazionali per la notifica elettronica. Le notifiche sono diffuse ai CSIRT pertinenti senza ritardo, ma la diffusione può essere differita in circostanze eccezionali per motivi di cibersicurezza. In casi particolarmente eccezionali, ENISA riceve inizialmente solo informazioni minime, fino a quando la notifica completa può essere condivisa.

L’articolo 17 completa il sistema con la possibilità per ENISA di trasmettere informazioni a EU-CyCLONe, la pubblicazione di relazioni tecniche biennali sulle tendenze emergenti e la possibilità di informare il pubblico quando ciò sia necessario per prevenire o attenuare un incidente grave o se lo richiede l’interesse pubblico.

Presunzione di conformità, specifiche comuni e certificazione

L’articolo 27 introduce una presunzione di conformità per i prodotti e i processi fabbricati conformi a norme armonizzate, specifiche comuni o sistemi europei di certificazione della cibersicurezza, nella misura in cui questi coprano i requisiti pertinenti dell’allegato I. La Commissione può adottare specifiche comuni per via di esecuzione quando la normazione non sia disponibile o sia in ritardo, e può individuare, tramite atti delegati, i sistemi di certificazione europei utilizzabili per dimostrare la conformità.

Per i prodotti con certificato europeo di cibersicurezza di livello almeno "sostanziale", in taluni casi è soppressa l’obbligatorietà della valutazione di conformità da parte di terzi. Questo meccanismo mira a evitare duplicazioni e a valorizzare i sistemi di certificazione già esistenti nell’ordinamento UE.

Dichiarazione UE, marcatura CE e documentazione tecnica

Gli articoli 28, 29 e 30 disciplinano la dichiarazione di conformità UE e la marcatura CE. Il fabbricante deve redigere una dichiarazione UE secondo il modello dell’allegato V, o una dichiarazione semplificata secondo l’allegato VI, e se più atti UE si applicano allo stesso prodotto deve redigere una dichiarazione unica. La marcatura CE deve essere visibile, leggibile e indelebile; per il software può figurare nella dichiarazione o sul sito web accompagnatorio.

L’articolo 31 richiede una documentazione tecnica completa e costantemente aggiornata, da redigere prima dell’immissione sul mercato e da conservare per almeno dieci anni o per il periodo di assistenza. L’allegato VII dettaglia contenuti quali descrizione del prodotto, architettura, processi di gestione delle vulnerabilità, valutazione dei rischi, norme applicate, risultati delle prove e, se richiesto, distinta base del software.

Procedure di valutazione della conformità

L’articolo 32 stabilisce il sistema di valutazione della conformità basato sui moduli della decisione n. 768/2008/CE:

• modulo A, controllo interno;
• modulo B seguito dal modulo C;
• modulo H, garanzia della qualità totale;
• ove disponibile, un sistema europeo di certificazione della cibersicurezza.

Per i prodotti non classificati come importanti o critici può bastare il controllo interno. Per i prodotti importanti di classe I, se non sono utilizzati standard, specifiche comuni o certificazioni con livello almeno sostanziale, occorre una procedura con terzo o garanzia della qualità totale. Per i prodotti importanti di classe II la valutazione deve sempre coinvolgere terzi, salvo il ricorso a certificazioni europee idonee. Per i prodotti critici dell’allegato IV, la regola è la certificazione europea obbligatoria se il relativo schema è stato adottato; in mancanza, si applicano le procedure più rigorose previste per i prodotti importanti di classe II.

Prodotti importanti e critici

L’allegato III elenca i prodotti con elementi digitali importanti. La classe I comprende, tra gli altri, sistemi di gestione dell’identità e degli accessi, browser, sistemi di gestione password, software antimalware, VPN, sistemi operativi, router, modem, switch, microprocessori e microcontrollori con funzionalità di sicurezza, boot manager, assistenti virtuali per case intelligenti, prodotti smart home di sicurezza, giocattoli connessi e wearable per il monitoraggio della salute o destinati ai bambini. La classe II comprende ipervisori, runtime container, firewall, sistemi di rilevamento/prevenzione intrusioni e microprocessori o microcontrollori a prova di manomissione.

L’allegato IV individua i prodotti critici: dispositivi hardware con cassette di sicurezza, gateway per contatori intelligenti e altri dispositivi a fini di sicurezza avanzati, nonché carte intelligenti o dispositivi analoghi con elementi sicuri. Per queste categorie la Commissione può imporre certificazione europea obbligatoria o aggiornare l’elenco tramite atti delegati.

Ruolo dei gestori di software open source

Gli articoli 24 e 25 introducono una disciplina ad hoc per i gestori di software open source, definiti come persone giuridiche che assicurano sostegno sistematico e duraturo allo sviluppo di prodotti specifici open source destinati ad attività commerciali e alla loro sostenibilità economica. Tali soggetti devono adottare e documentare una politica di cibersicurezza, cooperare con le autorità per attenuare i rischi e sono destinatari di un regime semplificato, non coincidente con quello dei fabbricanti.

Non si applicano loro le sanzioni pecuniarie previste dall’articolo 64 per le violazioni del regolamento. La Commissione può inoltre creare programmi volontari di attestazione di sicurezza per valutare la conformità di software libero e open source a uno o più requisiti o obblighi del regolamento.

Obblighi di importatori e distributori

Gli articoli 19 e 20 impongono a importatori e distributori un dovere di verifica e diligenza. L’importatore deve accertarsi che il fabbricante abbia svolto la procedura di valutazione, predisposto la documentazione tecnica, apposto la marcatura CE e fornito la dichiarazione UE e le istruzioni. Se emerge una non conformità o un rischio significativo, deve bloccare la commercializzazione, avvisare il fabbricante e l’autorità di vigilanza, adottare misure correttive e mantenere copia della dichiarazione UE per almeno dieci anni.

Il distributore deve verificare marcatura CE e documenti accompagnatori, non mettere in commercio prodotti non conformi, informare fabbricante e autorità se il prodotto presenta un rischio significativo e cooperare con la vigilanza del mercato. In caso di cessazione dell’attività del fabbricante, importatore e distributore hanno obblighi informativi verso autorità e utilizzatori.

Vigilanza del mercato e procedure di salvaguardia

Gli articoli 52-60 costruiscono un apparato di enforcement articolato. Ogni Stato membro designa una o più autorità di vigilanza del mercato, che cooperano con i CSIRT, ENISA, le autorità di certificazione cybersecurity e le autorità privacy. È istituito un ADCO per la ciberresilienza, con funzioni di coordinamento, produzione di orientamenti e raccolta di statistiche sui periodi di assistenza.

Se un prodotto presenta un rischio significativo o risulta non conforme, l’autorità nazionale può imporre misure correttive, limiti, richiami o ritiri; la Commissione può intervenire a livello UE in circostanze eccezionali, previa valutazione di ENISA, se le misure nazionali non sono efficaci. Il regolamento prevede anche indagini a tappeto, attività congiunte e scambio di informazioni per agevolare un’applicazione uniforme nel mercato interno.

Rapporti con altri atti dell’Unione

Il regolamento opera in coordinamento con molte altre fonti UE. Per la sicurezza generale dei prodotti, l’articolo 11 richiama il regolamento (UE) 2023/988 per gli aspetti non coperti dal presente testo. Per i sistemi di IA ad alto rischio, l’articolo 12 coordina il regolamento con il regolamento (UE) 2024/1689, prevedendo che la conformità ai requisiti cybersecurity del Cyber Resilience Act possa valere anche ai fini dell’articolo 15 dell’AI Act, ma senza abbassare il livello di garanzia richiesto per prodotti importanti o critici.

Sono inoltre richiamate sinergie con il regolamento GDPR, con il regolamento eIDAS per i portafogli europei di identità digitale, con il regolamento macchine, con il regolamento sulla cibersicurezza (UE) 2019/881 e con la direttiva NIS 2. Il testo modifica inoltre il regolamento (UE) 2019/1020, la direttiva (UE) 2020/1828 e, per i veicoli a due o tre ruote, il regolamento (UE) n. 168/2013.

Sanzioni e azioni rappresentative

L’articolo 64 prevede sanzioni amministrative pecuniarie fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo per le violazioni dei requisiti essenziali e degli obblighi principali di fabbricanti e segnalazione; fino a 10 milioni o al 2% per le violazioni degli obblighi di rappresentante autorizzato, importatori, distributori, documentazione, valutazione della conformità e vigilanza; fino a 5 milioni o all’1% per informazioni inesatte o fuorvianti. Le micro e piccole imprese sono esentate dalle sanzioni per il mancato rispetto del termine di 24 ore di preallarme, e i gestori open source non sono soggetti alle sanzioni pecuniarie del regolamento.

L’articolo 65 rende applicabile la direttiva (UE) 2020/1828 alle azioni rappresentative per violazioni che ledono o possono ledere gli interessi collettivi dei consumatori, con decorrenza dall’11 dicembre 2027.

Entrata in vigore, applicazione e transitorio

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale e si applica, in via generale, dall’11 dicembre 2027. Fanno eccezione gli obblighi di segnalazione di cui all’articolo 14, applicabili dall’11 settembre 2026, e il capo IV sulla notifica degli organismi di valutazione della conformità, applicabile dall’11 giugno 2026. I prodotti immessi sul mercato prima dell’11 dicembre 2027 sono soggetti al nuovo regime solo in caso di modifica sostanziale, salvo l’obbligo di reporting delle vulnerabilità e degli incidenti, che si applica comunque anche ai prodotti già immessi sul mercato.

Osservazione pratica per gli operatori italiani

Per fabbricanti, importatori e distributori italiani, il regolamento richiede una revisione profonda dei processi di sviluppo, della documentazione tecnica, delle politiche di aggiornamento e dei flussi interni di incident response. Sul piano operativo, i punti più sensibili sono la determinazione del periodo di assistenza, la classificazione del prodotto in allegato III o IV, la gestione dei componenti di terzi e open source, e l’adeguamento alla nuova filiera di notifica tramite ENISA e CSIRT. Per i professionisti legali e fiscali, sarà essenziale presidiare anche il coordinamento con appalti pubblici, responsabilità da prodotto difettoso, protezione dei dati, AI Act e regole di mercato, oltre alle ricadute sanzionatorie e di compliance contrattuale lungo la supply chain.