Il #CyberResilienceAct non è più soltanto una normativa da tenere d’occhio. Dall’11 settembre 2026 sono infatti entrati in vigore i primi obblighi concreti previsti dal regolamento europeo sulla #cybersicurezza dei prodotti con elementi digitali. Per chi sviluppa #software, #hardware connesso o prodotti digitali destinati al #mercatoeuropeo, significa iniziare a considerare la sicurezza informatica come una responsabilità che riguarda l’intero ciclo di vita del prodotto.
La prima scadenza riguarda in particolare la gestione degli incidenti. I produttori devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che compromettono la #sicurezza dei prodotti interessati. La segnalazione deve avvenire attraverso la piattaforma unica predisposta da #ENISA: è previsto un primo allarme entro 24 ore dalla conoscenza dell’evento e una notifica completa entro 72 ore.
La novità è importante perché il produttore non può più limitarsi a correggere una falla e distribuire un aggiornamento. Deve anche avere un processo organizzato per individuare le vulnerabilità, valutarne la gravità e gestire correttamente gli eventuali obblighi di comunicazione.
Il Cyber Resilience Act riguarda un’ampia categoria di prodotti con elementi digitali, che comprende software e hardware collegati direttamente o indirettamente ad altri dispositivi o reti. Per questo motivo l’impatto può interessare non soltanto i grandi produttori tecnologici, ma anche aziende che sviluppano o commercializzano propri prodotti digitali con il proprio nome o marchio.
La parte più ampia della normativa entrerà in applicazione dall’11 dicembre 2027, ma il lavoro per adeguarsi non dovrebbe essere rimandato. Il regolamento prevede infatti requisiti di sicurezza già dalla progettazione, valutazione dei rischi, gestione delle vulnerabilità, aggiornamenti di sicurezza e documentazione tecnica. Tra gli elementi richiesti rientra anche la Software Bill of Materials (SBOM), cioè una sorta di elenco dei componenti software utilizzati all’interno di un prodotto.
Per chi sviluppa software questo significa, in concreto, dover sapere sempre meglio che cosa c’è dentro il proprio prodotto, comprese le librerie e i componenti open source utilizzati. Se viene individuata una vulnerabilità in uno di questi componenti, il produttore deve intervenire e gestirla secondo le procedure previste dal regolamento.
Il tema riguarda quindi anche le aziende che affidano lo sviluppo a fornitori esterni. Il fatto che il software sia stato materialmente realizzato da un’altra società non significa necessariamente che la responsabilità normativa scompaia: il CRA individua come produttore anche chi fa sviluppare un prodotto e lo commercializza con il proprio nome o marchio.
Per le imprese che sviluppano siti, applicazioni, software gestionali o altri prodotti digitali, il Cyber Resilience Act rappresenta quindi un cambiamento importante nel modo di affrontare la sicurezza. Non sarà più sufficiente intervenire quando emerge un problema: bisognerà dimostrare di aver costruito processi adeguati per prevenire, individuare, correggere e, quando necessario, segnalare le vulnerabilità.
La piena applicazione arriverà nel 2027, ma i primi obblighi sono già partiti. Per chi sviluppa software, questo è quindi il momento giusto per verificare componenti utilizzati, procedure di aggiornamento, gestione delle vulnerabilità e responsabilità tra azienda e fornitori.
La cybersicurezza, con il Cyber Resilience Act, smette sempre più di essere soltanto una buona pratica tecnica e diventa un requisito da integrare nella progettazione e nella gestione dei prodotti digitali.
