La legge sulla ciberresilienza dell'UE come normativa sui prodotti

Normativa orizzontale sui prodotti

Il CRA non è una legge generale sulla cibersicurezza delle aziende: è una normativa sui prodotti. Stabilisce se un prodotto con elementi digitali può essere messo a disposizione sul mercato dell’UE, quale operatore è responsabile di ciascun obbligo e se il prodotto e i processi del fabbricante soddisfano i requisiti di cibersicurezza.

norme relative alla messa a disposizione sul mercato di prodotti con elementi digitali per garantire la cibersicurezza di tali prodotti;

Regolamento (UE) 2024/2847, articolo 1(a)

Il titolo giuridico definisce queste norme requisiti orizzontali di cibersicurezza. Orizzontale significa che il CRA non è scritto per un solo settore. Può applicarsi a molti tipi di prodotti se rientrano nell’ambito di applicazione e non sono esclusi da un’esclusione o da una specifica regola di sovrapposizione.

Perché esiste la normativa

I considerando descrivono due problemi principali. In primo luogo, molti prodotti con elementi digitali arrivavano agli utenti con una sicurezza debole, vulnerabilità note o informazioni poco chiare sugli aggiornamenti di sicurezza. In secondo luogo, spesso gli utenti non disponevano di informazioni sufficienti per scegliere e usare i prodotti in modo sicuro.

L’UE ha cercato di istituire un quadro uniforme di requisiti di cibersicurezza dei prodotti per ridurre la frammentazione normativa nel mercato interno. Il CRA collega quindi la cibersicurezza all’immissione dei prodotti sul mercato, insieme alle altre leggi dell’UE applicabili ai prodotti, alle operazioni di rete e alla sicurezza organizzativa.

Modello della marcatura CE

Il CRA utilizza il modello esistente della marcatura CE. Non crea un nuovo logo di cibersicurezza. Per un prodotto che reca già la marcatura CE in base a un’altra normativa dell’UE sui prodotti, il CRA aggiunge la cibersicurezza allo stesso insieme di documenti di conformità del prodotto.

La marcatura CE è soggetta ai principi generali di cui all’articolo 30 del regolamento (CE) n. 765/2008.

Regolamento (UE) 2024/2847, articolo 29

La Guida blu spiega il significato della marcatura CE: il fabbricante dichiara che il prodotto soddisfa le leggi dell’Unione applicabili che ne richiedono la marcatura. Non è un marchio di qualità né di origine e non significa che un’autorità pubblica abbia sottoposto a prova ogni prodotto.

Cibersicurezza nel fascicolo del prodotto

Il CRA aggiunge requisiti di cibersicurezza al sistema esistente di conformità dei prodotti. I fabbricanti possono utilizzare procedure giuridiche note, ma devono aggiungere i contenuti tecnici pertinenti.

• L’allegato I, parte I, stabilisce i requisiti di cibersicurezza per il prodotto stesso.
• L’allegato I, parte II, stabilisce i requisiti per il processo del fabbricante di gestione delle vulnerabilità.
• La documentazione tecnica deve dimostrare come il prodotto e i processi soddisfano i requisiti applicabili.
• La valutazione della conformità verifica il prodotto e i processi del fabbricante rispetto a tali requisiti.
• La dichiarazione di conformità UE e la marcatura CE collegano l’esito del CRA al normale sistema di conformità dei prodotti dell’UE.

Rapporto con altre normative sui prodotti

Il CRA non sostituisce le normative esistenti sui prodotti. Una macchina connessa, un prodotto radio, un giocattolo, un controllore industriale o un accessorio di un dispositivo medico può già essere disciplinato da un altro regime dell’UE. Se si applica anche il CRA, il fabbricante deve rispettarlo insieme agli altri atti legislativi applicabili.

Alcune sovrapposizioni sono disciplinate direttamente dal CRA. Questi gruppi di prodotti hanno norme specifiche di esclusione o limitazione:

• dispositivi medici e dispositivi medico-diagnostici in vitro;
• prodotti soggetti all’omologazione dei veicoli a motore;
• prodotti certificati nell’ambito dell’aviazione civile;
• apparecchiature marittime;
• pezzi di ricambio identici;
• prodotti sviluppati o modificati esclusivamente per finalità di sicurezza nazionale o di difesa;
• prodotti progettati specificamente per trattare informazioni classificate.

Altre sovrapposizioni funzionano diversamente. A seconda del prodotto e del rischio disciplinato, il CRA può integrare normative quali:

• il regolamento Macchine;
• il regolamento sulla sicurezza generale dei prodotti;
• la direttiva sulle apparecchiature radio;
• il GDPR;
• il Data Act;
• l’AI Act;
• NIS2.