Immissione sul mercato ai sensi della legge sulla ciberresilienza dell'UE
Sytance · Aggiornato
La data di applicazione degli obblighi del CRA dipende da quando il prodotto è immesso sul mercato, non da quando è stato progettato per la prima volta il relativo modello. Le domande principali sono quando il prodotto è stato fornito per la prima volta sul mercato dell’Unione, se la fornitura successiva riguarda soltanto la distribuzione ulteriore dello stesso prodotto e se una modifica successiva costituisce una modifica sostanziale.
Termini relativi al mercato
«Immissione sul mercato» indica la prima messa a disposizione di un prodotto con elementi digitali sul mercato dell’Unione;
Regolamento (UE) 2024/2847, articolo 3(21)
«Messa a disposizione sul mercato» indica la fornitura di un prodotto con elementi digitali per la distribuzione o l’uso sul mercato dell’Unione nel corso di un’attività commerciale, a titolo oneroso o gratuito;
Regolamento (UE) 2024/2847, articolo 3(22)
L’immissione sul mercato è la prima fornitura del prodotto sul mercato dell’Unione. La messa a disposizione sul mercato è un concetto più ampio. Comprende anche le forniture successive per la distribuzione o l’uso dopo che è già avvenuta la prima fornitura.
Prima fornitura
La prima fornitura sul mercato dell’Unione costituisce l’immissione sul mercato.
Fornitura successiva
La vendita o distribuzione successiva dello stesso prodotto costituisce una messa a disposizione sul mercato.
Scorte detenute
Fabbricare, immagazzinare o completare un prodotto non è sufficiente, a meno che non venga fornito per la distribuzione o l’uso.
Il prezzo non determina la risposta. Anche un prodotto gratuito può essere messo a disposizione sul mercato se la fornitura rientra in un’attività commerciale. È diverso un prodotto realizzato esclusivamente per uso proprio: la sua sola esistenza non comporta l’immissione sul mercato.
Data del singolo prodotto
Come per la «messa a disposizione sul mercato», il concetto di «immissione sul mercato» si riferisce a ciascun singolo prodotto, non a un tipo di prodotto, indipendentemente dal fatto che sia stato fabbricato come unità singola o in serie. Di conseguenza, ciascun singolo prodotto può essere immesso sul mercato dell’Unione una sola volta in tutta l’UE e l’immissione non avviene in ciascuno Stato membro. Anche se un modello o tipo di prodotto è stato fornito prima dell’entrata in vigore di una nuova normativa di armonizzazione dell’Unione che stabilisce nuovi requisiti obbligatori, le singole unità dello stesso modello o tipo immesse sul mercato dopo che tali requisiti sono diventati applicabili devono rispettarli.
Guida blu 2022, sezione 2.3
Le FAQ della Commissione applicano questo principio al CRA. L’immissione sul mercato precedente di un tipo di prodotto non copre tutte le unità successive dello stesso tipo. Ogni singolo prodotto deve avere una propria data di immissione sul mercato.
Questo aspetto è importante per le scorte e le importazioni ripetute. Se un lotto di router è stato immesso sul mercato prima dell’11 dicembre 2027, tali unità non rientrano nel regime completo del CRA solo perché raggiungono gli utenti finali in un momento successivo. Un lotto successivo dello stesso modello immesso sul mercato dell’Unione l’11 dicembre 2027 o dopo è diverso.
Prodotti immessi sul mercato prima dell’11 dicembre 2027
I prodotti con elementi digitali immessi sul mercato prima dell’11 dicembre 2027 sono soggetti ai requisiti del presente regolamento soltanto se, a partire da tale data, sono oggetto di una modifica sostanziale.
Regolamento (UE) 2024/2847, articolo 69(2)
In deroga al paragrafo 2 del presente articolo, gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito del presente regolamento e sono stati immessi sul mercato prima dell’11 dicembre 2027.
Regolamento (UE) 2024/2847, articolo 69(3)
La norma transitoria esenta i prodotti immessi sul mercato prima dell’11 dicembre 2027 dai requisiti completi del CRA, a meno che non siano oggetto di una modifica sostanziale a partire da tale data. Non esenta le nuove unità immesse sul mercato in seguito.
L’obbligo di notifica dell’articolo 14 è distinto. Si applica prima e riguarda anche i prodotti rientranti nell’ambito di applicazione immessi sul mercato prima dell’11 dicembre 2027.
I fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi quando lo richiede l’articolo 14.
I prodotti immessi sul mercato a partire da questa data devono soddisfare i requisiti applicabili del CRA prima dell’immissione.
I prodotti immessi sul mercato prima dell’11 dicembre 2027 devono soddisfare i requisiti completi del CRA soltanto se sono modificati sostanzialmente a partire da questa data.
Date delle versioni software
Gli orientamenti della Commissione del luglio 2026 considerano il software autonomo immesso sul mercato quando termina la fase di fabbricazione e viene fornito per la prima volta per la distribuzione o l’uso sul mercato dell’UE nell’ambito di un’attività commerciale. Le copie dello stesso software condividono tale data. Ai fini di questa valutazione, varianti con componenti, configurazioni o funzioni abilitate diverse sono considerate prodotti distinti.
I successivi download della stessa versione costituiscono normalmente una messa a disposizione successiva dello stesso prodotto software. Una versione successiva ha una nuova data di immissione sul mercato quando costituisce una modifica sostanziale.
Stessa versione software
I download successivi seguono normalmente la data della prima immissione sul mercato di tale versione.
Versione modificata sostanzialmente
Una versione modificata sostanzialmente è considerata di nuova immissione sul mercato.
Questa interpretazione riguarda il software autonomo fornito in formato digitale. Se il software è fornito su un supporto fisico, conta anche il prodotto fisico. Se il software è necessario affinché un prodotto hardware svolga le sue funzioni, hardware e software possono costituire un unico prodotto anche se il software viene scaricato in un secondo momento.
Modifica sostanziale
Per «modifica sostanziale» si intende una modifica del prodotto con elementi digitali avvenuta dopo la sua immissione sul mercato che incide sulla conformità del prodotto con elementi digitali ai requisiti essenziali di cibersicurezza di cui alla parte I dell’allegato I o che comporta una modifica della finalità prevista per la quale il prodotto con elementi digitali è stato valutato;
Regolamento (UE) 2024/2847, articolo 3(30)
La definizione prevede due casi. Una modifica può essere sostanziale se incide sulla conformità ai requisiti di cibersicurezza del prodotto di cui alla parte I dell’allegato I. Può esserlo anche se modifica la finalità prevista per la quale il prodotto è stato valutato.
Per una modifica successiva all’immissione sul mercato, applicare la definizione di modifica sostanziale: la modifica incide sulla conformità ai requisiti essenziali di cibersicurezza o cambia la finalità prevista per la quale il prodotto è stato valutato? Una riparazione o un aggiornamento di sicurezza va valutato rispetto a queste condizioni.
- Un aggiornamento di sicurezza che corregge una vulnerabilità e non cambia la finalità prevista normalmente non costituisce una modifica sostanziale.
- Un aggiornamento di funzionalità che cambia lo scopo previsto del prodotto può essere sostanziale.
- Una funzione di minore entità può essere rilevante se introduce una nuova interfaccia, un flusso di dati, una dipendenza esterna o uno scenario di attacco non considerato in precedenza.
- Un prodotto immesso sul mercato prima dell’11 dicembre 2027 rientra nel regime completo del CRA se viene modificato sostanzialmente a partire da tale data.
Responsabilità dopo una modifica
L’articolo 21 considera fabbricante l’importatore o il distributore che immette il prodotto sul mercato con il proprio nome o marchio oppure apporta una modifica sostanziale a un prodotto già immesso sul mercato.
L’articolo 22 applica lo stesso principio in modo più ampio. Una persona diversa dal fabbricante, dall’importatore o dal distributore può essere considerata fabbricante se apporta una modifica sostanziale e mette a disposizione sul mercato il prodotto modificato.
Casi ricorrenti relativi alle date
La domanda principale è se il singolo prodotto sia già stato immesso sul mercato dell’Unione prima dell’11 dicembre 2027. Il fatto che raggiunga l’utente finale successivamente non elimina di per sé il trattamento transitorio.
Le scorte già fornite per la distribuzione o l’uso sul mercato dell’Unione prima della piena applicazione possono proseguire lungo la catena di fornitura, fatti salvi l’articolo 14 e il criterio della modifica sostanziale. È diverso il caso delle scorte solo fabbricate o detenute prima di tale data, ma non ancora fornite per la distribuzione o l’uso.
Lo stesso modello non ha un’unica data permanente di immissione sul mercato ai fini del CRA. Le unità successive immesse sul mercato dell’Unione l’11 dicembre 2027 o dopo devono rispettare il CRA anche se le unità precedenti dello stesso modello erano state immesse prima di tale data.
Un aggiornamento non sostanziale normalmente non crea una nuova data di immissione sul mercato; un aggiornamento sostanziale sì. La risposta dipende dal fatto che l’aggiornamento incida sulla conformità del prodotto al CRA o modifichi la finalità prevista valutata.
Una versione successiva di software autonomo è immessa sul mercato per la prima volta quando costituisce una modifica sostanziale. Un aggiornamento minore non sostanziale mantiene normalmente la data di immissione sul mercato della versione precedente.