Cyber Resilience Act e RED: cosa chiedono ai vostri dispositivi

A chi si applica

Il CRA vale per i prodotti con elementi digitali, hardware o software, che si collegano a un altro dispositivo o a una rete, anche solo via cavo o tramite una porta di servizio (art. 2). Quindi non solo i prodotti IoT: anche una scheda di controllo su bus di campo, un caricabatterie con un’interfaccia di comunicazione, un sensore con una porta USB.

Gli obblighi ricadono su fabbricanti, importatori e distributori. Il fabbricante è chi immette il prodotto sul mercato con il proprio nome, anche se la progettazione l’ha fatta un fornitore.

Sono esclusi i dispositivi medici e diagnostici in vitro, i veicoli omologati, l’aeronautica certificata, l’equipaggiamento marittimo e i prodotti sviluppati o modificati esclusivamente per la sicurezza nazionale o la difesa. I prodotti a duplice uso e quelli industriali restano dentro.

Direttiva RED ed EN 18031, fino al 10 dicembre 2027

Dal 1° agosto 2025 i dispositivi radio connessi a Internet, quelli che trattano dati personali e quelli che gestiscono pagamenti devono proteggere la rete, i dati e gli utenti dalle frodi (art. 3.3 d, e, f della direttiva 2014/53/UE). La conformità si dimostra con le norme EN 18031-1, -2 e -3.

Le norme sono state pubblicate con alcune restrizioni: non bastano, per esempio, se l’utente può scegliere di non impostare alcuna password, o se un prodotto per bambini non garantisce il controllo del genitore. In questi casi serve un organismo notificato.

Il regolamento delegato è abrogato dall’11 dicembre 2027, perché da quella data i requisiti passano al CRA. I prodotti radio immessi sul mercato fino al 10 dicembre 2027 restano soggetti alla RED. Sicurezza elettrica, compatibilità elettromagnetica e uso dello spettro continuano a passare dalla RED.

Cosa chiede il CRA

L’allegato I elenca i requisiti essenziali. Sul prodotto:

• nessuna vulnerabilità sfruttabile nota al momento della vendita;
• configurazione sicura di default e ripristino allo stato di fabbrica;
• vulnerabilità correggibili con aggiornamenti di sicurezza, anche automatici;
• controllo degli accessi e autenticazione;
• dati protetti, anche con la cifratura, in memoria e in transito;
• integrità di dati, comandi, programmi e configurazione;
• funzioni essenziali disponibili anche dopo un attacco;
• superficie d’attacco ridotta, comprese le interfacce esterne;
• registro degli eventi rilevanti per la sicurezza;
• cancellazione sicura dei dati.

Sulla gestione delle vulnerabilità: un SBOM dei componenti software, correzioni rapide, test di sicurezza regolari, una politica di divulgazione coordinata con un contatto per le segnalazioni, aggiornamenti distribuiti in modo sicuro. Il supporto deve durare almeno cinque anni, o quanto la vita prevista del prodotto se è più breve (art. 13).

Le sanzioni arrivano a 15 milioni di euro o al 2,5% del fatturato mondiale (art. 64).

I prodotti che vendete già

I prodotti immessi sul mercato prima dell’11 dicembre 2027 ricadono nel CRA solo se subiscono una modifica sostanziale (art. 69). L’obbligo di segnalazione invece vale per tutti, già dall’11 settembre 2026: una vulnerabilità sfruttata attivamente va notificata con un preallarme entro 24 ore e una notifica entro 72 ore (Commissione europea).

Per un prodotto con un lungo ciclo di vita conviene pianificare la prossima revisione di scheda o firmware già con i requisiti del CRA.

Regolamento Macchine: protezione dall’alterazione

Per chi costruisce macchine c’è anche il Regolamento (UE) 2023/1230, dal 20 gennaio 2027. Il punto 1.1.9 dell’allegato III chiede che il collegamento di un altro dispositivo, anche remoto, non crei situazioni pericolose; che hardware, software e dati critici per la sicurezza siano protetti da alterazioni accidentali o volute; che la macchina sappia dire quale software ha installato e registri gli interventi sul software e sulla configurazione.

È lo stesso lavoro che serve per il CRA: firme, versioni, log, porte di servizio protette. Conviene progettarlo una volta per entrambi.

Prodotti importanti e critici

Per la maggior parte dei prodotti il fabbricante valuta da sé la conformità. Per le categorie degli allegati III e IV la procedura è più pesante: norme armonizzate o organismo notificato. Tra queste ci sono boot manager e sistemi operativi, router e interfacce di rete, prodotti per la casa intelligente con funzioni di sicurezza, lettori per il controllo degli accessi, microcontrollori con funzioni di sicurezza, secure element e smartcard.

Le norme armonizzate del CRA (serie EN 40000) sono in preparazione. A ottobre 2026 nessuna è ancora pubblicata nella Gazzetta ufficiale.