Ruoli e obblighi ai sensi della legge sulla ciberresilienza dell'UE

I ruoli dipendono dal prodotto

Il CRA utilizza ruoli propri della normativa sui prodotti. Non assegna gli obblighi chiedendo soltanto chi ha scritto il codice, chi possiede il repository o chi gestisce un servizio. La prima domanda è se un prodotto con elementi digitali viene messo a disposizione sul mercato dell’Unione. La successiva riguarda ciò che l’operatore fa con quel prodotto.

Il CRA definisce operatori economici il fabbricante, il rappresentante autorizzato, l’importatore, il distributore e alcuni altri soggetti obbligati. Il termine è utile perché collega i ruoli alle attività di mercato. Una persona che si limita a contribuire al codice, ospitare un repository o fornire assistenza non correlata non assume per questo solo fatto tutti i ruoli previsti dal CRA.

Il fabbricante è il ruolo di riferimento

Per «fabbricante» si intende una persona fisica o giuridica che sviluppa o fabbrica prodotti con elementi digitali, oppure li fa progettare, sviluppare o fabbricare, e li commercializza con il proprio nome o marchio, a titolo oneroso o gratuito, anche tramite monetizzazione;

Regolamento (UE) 2024/2847, articolo 3(13)

La definizione ha due parti. L’operatore deve essere collegato allo sviluppo o alla fabbricazione del prodotto, direttamente o tramite un’altra parte, e deve commercializzarlo con il proprio nome o marchio. L’autore originario del software non è sempre il fabbricante. Un titolare del marchio che commissiona lo sviluppo di un prodotto può esserne il fabbricante se lo commercializza come proprio.

Per questo i principali obblighi del CRA spettano al fabbricante. Il CRA lo considera responsabile della progettazione, dello sviluppo e della conformità del prodotto, delle informazioni per gli utenti, del periodo di supporto, della gestione delle vulnerabilità e degli obblighi di notifica derivanti dagli articoli 13 e 14.

Importatori e distributori operano nella catena di fornitura

Un importatore è stabilito nell’Unione e immette sul mercato dell’Unione un prodotto con elementi digitali recante il nome o il marchio di una persona stabilita al di fuori dell’Unione. Il ruolo esiste perché un fabbricante extra-UE può essere al di fuori della portata immediata dei controlli del mercato dell’UE.

Un distributore è un altro operatore della catena di fornitura, diverso dal fabbricante o dall’importatore, che mette a disposizione un prodotto sul mercato dell’Unione senza modificarne le caratteristiche. Il suo ruolo è più ristretto di quello del fabbricante perché non ha progettato o sviluppato il prodotto e non lo commercializza come proprio.

Importatori e distributori verificano i marchi di conformità e le informazioni sul fabbricante e sull’importatore. I loro obblighi includono anche il blocco della fornitura di un prodotto quando vi sono motivi per ritenerlo non conforme e la cooperazione con le autorità di vigilanza del mercato.

Il rappresentante autorizzato agisce in base a un mandato

Il rappresentante autorizzato è stabilito nell’Unione e agisce per conto del fabbricante solo perché quest’ultimo gli ha conferito un mandato scritto. Il mandato deve specificare i compiti. La nomina di un rappresentante autorizzato non trasferisce il ruolo di fabbricante.

La distinzione è importante nella pratica. Il rappresentante può fungere da referente nell’UE per compiti specifici, come fornire documenti alle autorità di vigilanza del mercato o cooperare alle azioni correttive. Gli obblighi fondamentali relativi a progettazione, sviluppo, produzione e mantenimento della conformità del prodotto restano a carico del fabbricante.

L’open source comprende due concetti distinti

Il software libero e open source non è sempre escluso dal CRA. Se una persona immette sul mercato un prodotto con elementi digitali di software libero e open source con il proprio nome o marchio nell’ambito di un’attività commerciale, può essere il fabbricante di quel prodotto.

Il CRA crea anche un ruolo distinto per il software open source pubblicato ma non messo a disposizione sul mercato in tal senso: il responsabile del software open source.

Per «responsabile del software open source» si intende una persona giuridica, diversa da un fabbricante, il cui scopo o obiettivo è fornire sistematicamente e su base continuativa sostegno allo sviluppo di prodotti specifici con elementi digitali che si qualificano come software libero e open source e sono destinati ad attività commerciali, e che assicura la sostenibilità di tali prodotti;

Regolamento (UE) 2024/2847, articolo 3(14)

Il ruolo di responsabile non è quindi un’etichetta per ogni manutentore o collaboratore. Si applica a una persona giuridica, per uno specifico software libero e open source, quando sostiene il progetto e ne assicura la sostenibilità senza essere il fabbricante del prodotto. La Commissione descrive il regime per i responsabili come mirato e meno oneroso di quello previsto per i fabbricanti.

I singoli contributori al codice sorgente sono trattati diversamente. Il CRA non si applica alle persone fisiche o giuridiche che contribuiscono codice sorgente a software libero e open source non sotto la loro responsabilità.

Cambio di ruolo

Un ruolo può cambiare quando l’operatore smette di limitarsi a fornire il prodotto di un’altra persona e inizia a presentarlo o modificarlo in un modo che il CRA considera attività del fabbricante.

Un importatore o distributore è considerato fabbricante ai fini del presente regolamento ed è soggetto agli articoli 13 e 14 quando immette sul mercato un prodotto con elementi digitali con il proprio nome o marchio oppure apporta una modifica sostanziale a un prodotto con elementi digitali già immesso sul mercato.

Regolamento (UE) 2024/2847, articolo 21

Lo stesso principio si applica anche oltre a importatori e distributori. Una persona diversa dal fabbricante, dall’importatore o dal distributore è considerata fabbricante se apporta una modifica sostanziale e mette a disposizione sul mercato il prodotto modificato. Per tale persona, gli obblighi del fabbricante si applicano alla parte interessata del prodotto oppure all’intero prodotto se la modifica incide sulla cibersicurezza del prodotto nel suo complesso.

Una modifica sostanziale non coincide con ogni aggiornamento, riparazione o attività di supporto. La definizione del CRA dipende dal fatto che la modifica successiva all’immissione sul mercato incida sulla conformità ai requisiti essenziali di cibersicurezza o cambi la finalità prevista per la quale il prodotto è stato valutato. Un aggiornamento di sicurezza che riduce soltanto il rischio normalmente depone contro un cambio di ruolo. Una modifica funzionale che cambia la finalità prevista o aumenta il rischio di cibersicurezza può invece deporre a favore.

Queste norme chiariscono i confini più comuni. Un operatore stabilito nell’UE che immette sul mercato dell’Unione un prodotto con marchio extra-UE è normalmente un importatore. Un operatore della catena di fornitura che mette a disposizione un prodotto invariato è normalmente un distributore. Un operatore che usa il proprio nome o marchio oppure modifica sostanzialmente il prodotto e lo mette a disposizione può diventare il fabbricante.