In questo articolo Indice dei contenuti 2 sezioni
Dall’11 settembre è operativa una delle parti più delicate del Cyber Resilience Act, il regolamento europeo che mette nero su bianco cosa devono fare produttori e sviluppatori quando un prodotto digitale o un dispositivo connesso viene colpito da un problema di sicurezza. Niente più tempi comodi e comunicazioni diluite nelle settimane: adesso ci sono scadenze precise, contate in ore, e valgono per chiunque immetta hardware o software sul mercato europeo.
La logica è semplice da riassumere, meno da applicare. Chi scopre un incidente grave o una vulnerabilità già sfruttata attivamente, quindi con exploit in circolazione, ha 24 ore per mandare un primo avviso all’Agenzia dell’Unione Europea per la Cybersecurity, l’ENISA. Entro 72 ore va presentato un quadro più dettagliato, con le misure previste o già messe in campo per contenere il danno. E una volta distribuita la patch correttiva, serve un rapporto finale riepilogativo entro 14 giorni. Nei casi particolarmente gravi ed estesi il limite si allunga a un mese, ma resta comunque un orizzonte stretto rispetto alle abitudini di molte aziende.
Perché la velocità non è sempre la soluzione migliore
Il nodo storico della cybersicurezza è proprio il tempo che passa tra la scoperta di una falla e la sua chiusura definitiva. In mezzo ci sono passaggi tutt’altro che banali: analizzare il problema, capire quanto è profondo, sviluppare la correzione, testarla, distribuirla. Ognuna di queste fasi può inciampare. Dire che prima si interviene meglio è, in linea generale, funziona. Però con qualche riserva. Correre per consegnare una patch fatta male rischia di peggiorare le cose, aprendo magari nuovi problemi mentre si tappa il precedente. Anche il capitolo divulgazione merita attenzione. Se una vulnerabilità finisce sotto i riflettori prima che esista una correzione, il risultato pratico è servire su un piatto d’argento un bersaglio ai cybercriminali che fino a quel momento non se n’erano accorti. È una tensione che accompagna il settore da sempre, tra la trasparenza verso gli utenti e la prudenza operativa. Il nuovo impianto normativo prova a incanalare il flusso informativo verso le autorità competenti, non verso il pubblico indistinto, e questa è una differenza sostanziale.
Non solo prodotti nuovi, l’obbligo riguarda anche quelli già in commercio
Un punto che vale la pena sottolineare: il regolamento europeo non si limita ai dispositivi e ai software immessi sul mercato da oggi in avanti. Copre anche tutto ciò che è già in circolazione sul territorio dell’Unione. Tradotto, parliamo di parchi prodotti enormi, spesso con cicli di vita lunghi, gestiti da aziende che non sempre hanno strutture interne pronte a rispondere in 24 ore. È realistico aspettarsi una revisione profonda delle procedure interne e un ripensamento delle risorse dedicate alla sicurezza informatica, soprattutto per le realtà medio piccole che finora si erano mosse in modo informale.
C’è però un margine di respiro. L’applicazione del Cyber Resilience Act è pensata per essere graduale: l’11 settembre segna solo l’avvio degli obblighi di segnalazione. La piena conformità diventerà obbligatoria dall’11 dicembre 2027, data in cui scatteranno anche gli altri requisiti previsti, tra cui la marcatura CE e la documentazione tecnica specifica dedicata alla cybersicurezza. Due anni abbondanti per adeguarsi, che in ambito industriale non sono tantissimi quando si parla di riscrivere processi consolidati.
Nel frattempo la Commissione Europea ha già pubblicato linee guida pratiche pensate per accompagnare aziende e sviluppatori nella transizione, con indicazioni operative su come strutturare le segnalazioni e cosa includere nei vari passaggi. Un supporto che serve soprattutto a chi non ha un reparto legale o un team di sicurezza dedicato e si trova comunque dentro il perimetro della norma, con gli stessi obblighi dei grandi nomi del settore.
