Il Cyber Resilience Act (CRA) mira a garantire che tutti i prodotti digitali siano al sicuro dalle minacce informatiche. Questo regolamento richiede che i dispositivi e il software siano progettati, aggiornati e mantenuti per proteggere gli utenti nel nostro mondo sempre più digitale.
Dai baby-monitor agli smartwatch, dalle app ai programmi per computer, hardware e software collegabili sono onnipresenti nella nostra vita quotidiana. Meno evidente per molti utenti è il rischio per la sicurezza che tali prodotti possono presentare.
Il Cyber Resilience Act (CRA) mira a salvaguardare i consumatori e le imprese che acquistano prodotti software o hardware con elementi digitali. La CRA affronta il livello inadeguato di cibersicurezza in molti prodotti e la mancanza di aggiornamenti di sicurezza tempestivi. Affronta inoltre le sfide che i consumatori e le imprese devono attualmente affrontare quando cercano di determinare quali prodotti sono cibersicuri e di configurarli in modo sicuro, facilitando l'identificazione di hardware e software con le funzionalità di cibersicurezza adeguate.
La CRA introduce requisiti obbligatori di cibersicurezza per i fabbricanti, che riguardano la pianificazione, la progettazione, lo sviluppo e la manutenzione di tali prodotti. Tali obblighi devono essere rispettati in ogni fase della catena del valore. La CRA impone inoltre ai produttori di gestire le vulnerabilità durante il ciclo di vita dei loro prodotti. Alcuni prodotti di particolare rilevanza per la cibersicurezza potrebbero dover essere sottoposti a una valutazione da parte di terzi da parte di un organismo notificato prima di essere venduti sul mercato dell'UE.
I prodotti recheranno la marcatura CE per indicare che sono conformi ai requisiti delle agenzie di rating del credito e le autorità nazionali di vigilanza del mercato garantiranno l'applicazione delle norme.
L'agenzia di rating del credito è entrata in vigore il 10 dicembre 2024. I principali obblighi introdotti dalla legge si applicheranno a decorrere dall'11 dicembre 2027, mentre gli obblighi di comunicazione si applicheranno a decorrere dall'11 settembre 2026.
Il 27 luglio 2026 la Commissione ha pubblicato orientamenti pratici per aiutare i fabbricanti, gli sviluppatori e le imprese di tutte le dimensioni a rispettare gli obblighi previsti dalla legge sulla ciberresilienza.
