In vista dell’ormai prossima definitiva entrata in vigore (prevista nel 2024) della nuova disciplina in materia di cybersicurezza a tutela dei prodotti digitali (hardware e software) dell’UE, è stato di recente annunciato il raggiungimento di un accordo informale tra Parlamento europeo e Consiglio, accolto favorevolmente anche dalla Commissione europea, sulle regole armonizzate introdotte dal cd. Cyber Resilience Act.
Alla base dell’accordo vi è l’intento di ampliare l’ambito di operatività della relativa normativa, rafforzando, altresì, il ruolo dell’Agenzia dell’Unione europea per la sicurezza informatica (ENISA), da coinvolgere con tempestività in caso di incidenti informatici rilevanti, suscettibili di compromettere la vulnerabilità dei dispositivi contenenti elementi digitali.
Il contesto legislativo: dall’EU Cyber Solidarity Act alla Direttiva NIS2
La menzionata proposta di regolamento, elaborata in combinato disposto con il cd. EU Cyber Solidarity Act, rientra nella generale strategia dell’UE per la sicurezza informatica in attuazione degli obiettivi formalizzati nel Programma Europa Digitale, e integra la legislazione predisposta dalla Direttiva NIS2 (ossia, la Direttiva UE 2022/2555, già entrata in vigore nel 2023), emanata per aumentare il livello di sicurezza informatica nell’Unione europea, al fine di adeguare il quadro giuridico esistente alle insidie alimentate dal rapido processo di evoluzione digitale che si perfeziona in modo costantemente mutevole nel corso del tempo.
La “ratio” ispiratrice della disciplina di cui al Cyber Resilience Act va individuata nell’esigenza di garantire un’efficace protezione dei prodotti digitali (hardware e software), soggetti a frequenti attacchi informatici che, tra l’altro, provocano un incremento esponenziale dei costi sostenuti per fronteggiare le relative minacce, a causa del negativo impatto finanziario derivante dalla spesa complessivamente destinata a prevenire e/o reprimere i rischi di criminalità informatica, tenuto conto dell’elevato importo stimato, pari a circa 5,5 trilioni di euro, come in tal senso rileva espressamente la relazione esplicativa della proposta normativa formulata in sede di enunciazione degli obiettivi perseguiti dal legislatore europeo. Pertanto, poiché la crescente proliferazione degli incidenti informatici, sempre più diffusi nell’ambiente virtuale, può avere gravi ripercussioni, compromettendo, su larga scala, il funzionamento di interi settori economici e sociali, con l’ulteriore letale insidia di mettere in pericolo persino la vita delle persone, si rende necessario incrementare il livello di cybersicurezza, unitamente all’esigenza di assicurare, in condizioni di trasparenza, la piena conoscenza da parte degli utenti circa le caratteristiche dei prodotti digitali fabbricati durante tutto l’intero ciclo di progettazione, da cui discendono implicazioni transfrontaliere che giustificano l’adozione di una normativa omogenea in grado di salvaguardare la sovranità tecnologica dell’Unione europea.
Principi chiave del Cyber Resilience Act: accountability e trasparenza
In tale prospettiva, l’assetto regolatorio introdotto dal Cyber Resilience Act riconosce e valorizza, alla stregua di quanto stabilito in via generale dalla normativa settoriale vigente in materia di mercato interno, il principio universale di “accountability”, attribuendo ai fabbricanti la responsabilità di eventuali criticità e vulnerabilità riscontrabili nella progettazione di prodotti digitali, in grado di comprometterne la sicurezza informatica con ripercussioni negative a discapito dei diritti dei consumatori/utenti finali, sui quali non può, dunque, incolpevolmente ricadere il rischio di acquistare dispositivi pericolosi laddove non correttamente configurati.
La genesi del Cyber Resilience Act scaturisce da uno scrupoloso processo di indagine dedicato ad approfondire il quadro complessivo dell’UE per verificare l’opportunità di introdurre una nuova disciplina in materia di cybersicurezza. All’esito istruttorio della valutazione d’impatto effettuata sulla stesura preliminare della presente proposta normativa, dopo aver escluso la possibilità di avvalersi di un approccio giuridico non vincolante in regime di soft-law come inadeguata soluzione applicativa priva di effetti cogenti, il legislatore europeo motiva la scelta di introdurre stringenti “requisiti di cybersicurezza per un’ampia gamma di prodotti tangibili e non tangibili con elementi digitali, compreso il software non incorporato (opzione 4)”, manifestando l’intenzione di prendere in considerazione “l’intera catena di approvvigionamento digitale”: l’intento è, infatti, quello di identificare l’attribuzione di una “chiara ripartizione delle responsabilità dei vari operatori economici” durante l’intero ciclo di vita dei prodotti digitali immessi sul mercato, al fine di garantire “la certezza del diritto ed evitare un’ulteriore frammentazione del mercato” a tutela dei diritti fondamentali dei consumatori.
Sotto il profilo interpretativo-sistematico, il campo di operatività della nuova disciplina presenta una portata applicativa ampia e generale, riferibile a qualsivoglia prodotto (software e hardware) contenente elementi digitali, “il cui uso previsto e ragionevolmente prevedibile includa una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete” (cfr. Capo I, Disposizioni generali e art. 2 – Proposta di Regolamento UE sui requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali e che modifica il regolamento UE 2019/1020), fatti salvi i limitati casi di esclusione tassativa espressamente previsti (tra cui, ad esempio, i dispositivi medici per uso umano, compresi i relativi accessori, rientranti nel quadro giuridico contemplato dal Regolamento UE 2017/745).
L’ambito di applicazione del Cyber Resilience Act
A conferma degli effetti cogenti particolarmente estensivi di cui sono dotate le nuove regole armonizzate introdotte dal Cyber Resilience Act, ricorrendo ad una tecnica legislativa ipertrofica, dettagliata e oltremodo circostanziata (come generale approccio regolatorio all’uopo adottato dal legislatore europeo), l’ambito soggettivo di applicazione delle relative disposizioni va riferito alla generica nozione di “operatore economico” (ex art. 3) che comprende, indistintamente, il “fabbricante, il rappresentante autorizzato, l’importatore, il distributore o qualsiasi altra persona fisica o giuridica soggetta agli obblighi stabiliti dal presente regolamento”.
Più specificamente, a tenore della richiamata norma, il “fabbricante” identifica “qualsiasi persona fisica o giuridica che sviluppi o fabbrichi prodotti con elementi digitali o che faccia progettare, sviluppare o fabbricare prodotti con elementi digitali e li commercializzi con il proprio nome o marchio, a titolo oneroso o gratuito”; il “rappresentante autorizzato” è, invece, “qualsiasi persona fisica o giuridica stabilita nell’Unione che abbia ricevuto da un fabbricante un mandato scritto che la autorizza ad agire per suo conto in relazione a determinati compiti”. Per “importatore” si intende “qualsiasi persona fisica o giuridica stabilita nell’Unione che immette sul mercato un prodotto con elementi digitali recante il nome o il marchio di una persona fisica o giuridica stabilita al di fuori dell’Unione”; mentre il “distributore” indica, infine, “qualsiasi persona fisica o giuridica nella catena di approvvigionamento, diversa dal fabbricante o dall’importatore, che mette a disposizione un prodotto con elementi digitali sul mercato dell’Unione senza modificarne le proprietà”.
Criticità e preoccupazioni legate al Cyber Resilience Act
Così ricostruita tale fattispecie, al netto delle implicazioni pratiche derivanti dal concreto impatto di una simile normativa notevolmente particolareggiata e procedimentalizzata rispetto alla costante rapidità e mutevolezza cangiante dell’evoluzione digitale, la scelta, da parte del legislatore europeo, di dettare disposizioni generalizzate tanto stringenti e minuziose ha sollevato non poche preoccupazioni sul rischio di pregiudicare la natura aperta di Internet, ostacolando, ad esempio, lo sviluppo di software prodotti con licenze open source per promuovere il progresso tecnologico inclusivo e sostenibile, a causa di costi e vincoli troppo onerosi e, in ogni caso, comunque tecnicamente incompatibili con i peculiari standard della progettazione distribuita e decentralizzata su cui si basa il funzionamento dei codici sorgenti creati, modificati, gestiti e resi disponibili in formato aperto. In altri termini, sul piano fattuale, il Cyber Resilience Act disincentiverebbe la possibilità di sperimentare nuovi processi innovativi spesso scaturenti da intuizioni creative promosse da piccoli sviluppatori, praticamente bloccati da un irragionevole eccesso di “inflazione normativa” controproducente per la crescita generale del settore tecnologico.
Nell’ottica di garantire un adeguato livello di sicurezza informatica, la proposta regolamentare introduce, ex art. 1, specifici requisiti essenziali (dettagliatamente identificati nella sezione I dell’Allegato I) per la progettazione e lo sviluppo di prodotti con elementi digitali, ponendo a carico degli operatori economici stringenti obblighi di attuazione, il cui esatto adempimento è oggetto di costante vigilanza esercitata dalle competenti autorità preposte ad assicurare la corretta applicazione delle norme vigenti in materia.
In particolare, secondo le indicazioni descritte dall’Allegato I, costituente parte integrante della citata proposta, i requisiti essenziali di sicurezza informatica impongono che il processo di progettazione e di sviluppo dei prodotti digitali venga effettuato verificando l’assenza di qualsivoglia profilo di vulnerabilità riscontrabile in ragione dei rischi concretamente sussistenti, con l’ulteriore vincolo di assicurare l’implementazione tecnica di una configurazione sicura di “default”, in grado di consentire il ripristino del prodotto digitale al suo stato originale.
Inoltre, tra i requisiti essenziali di cybersicurezza, viene espressamente garantita la protezione e l’integrità dei dati raccolti, memorizzati e trasmessi mediante adeguati meccanismi di controllo, anche crittografico, per impedire l’accesso non autorizzato ai sistemi di identificazione, salvaguardando il diritto alla riservatezza, con l’intento di impedire qualsivoglia manipolazione o modifica non direttamente autorizzata dall’utente, nel rispetto del principio di “minimizzazione dei dati”.
La progettazione dei prodotti digitali deve, anche, essere in grado di limitare il rischio di attacchi e incidenti informatici, tramite il costante perfezionamento di aggiornamenti tecnici in materia di cibersicurezza, di cui occorre sempre fornire complete informazioni, monitorando costantemente le attività svolte.
Sicurezza informatica e gestione delle vulnerabilità
Ad integrazione dei menzionati vincoli essenziali, i fabbricanti dei prodotti con elementi digitali sono, altresì, tenuti a rispettare specifici requisiti per la gestione delle vulnerabilità mediante la predisposizione di adeguati sistemi di identificazione in grado di documentare le eventuali relative implicazioni in relazione ai rischi rilevati, con l’impegno di affrontare e superare senza indugio le criticità riscontrate anche grazie alla corretta applicazione periodica di test e revisioni sulla sicurezza dei prodotti, pubblicando le informazioni acquisite sulla gravità degli impatti negativi accertati nell’ambito di efficaci politiche elaborate per ridurre il rischio di potenziali vulnerabilità suscettibili di inficiare il regolare sviluppo dei prodotti con elementi digitali.
A presidio del principio generale di trasparenza da assicurare nei confronti degli utenti, l’Allegato II esige, in via inderogabile, che sia riportata l’indicazione di informazioni minime nella descrizione, completa ed esaustiva, dei prodotti con elementi digitali, contrassegnati da univoci elementi di identificazione (nome, denominazione commerciale e marchio registrato del produttore, lotto, versione o numero di serie, ecc.), per consentire, tra l’altro, di contattare agevolmente i fabbricanti responsabili, mediante l’individuazione di appositi canali di comunicazione tramite i quali sia possibile segnalare e ricevere informazioni e istruzioni sulle funzionalità essenziali e sulle concrete vulnerabilità di sicurezza informatica dei prodotti progettati.
I prodotti digitali critici
L’art. 6 della proposta di regolamento individua i cd. “prodotti critici con elementi digitali”, positivizzando la corrispondente categoria nell’Allegato III (che la Commissione europea ha il potere di modificare, dopo aver rilevato l’esistenza di nuovi fattori tecnologici che emergono nella concreta prassi tali da giustificarne la relativa revisione). Al riguardo, nell’ottica di ricostruire concretamente la nozione di “prodotti critici” si ricorre alla configurazione di due distinti classi (I e II) ricognitive di un differente livello di rischio per la cybersicurezza.
In particolare, secondo quanto testualmente riportato dal citato Allegato III, rientra nella classe I un elenco molto ampio ed elastico, enucleato in via generale con clausola finale residuale estensibile a tutti i sistemi operativi non riconducibili, per esclusione, alla classe II. L’elenco comprende, a mero titolo di esempio: i software per i sistemi di gestione dell’identità e per la gestione degli accessi privilegiati; i browser autonomi e incorporati; i gestori di password; i prodotti con funzione di rete privata virtuale (VPN); i sistemi di gestione, configurazione della rete, monitoraggio del traffico di rete e gestione degli eventi di sicurezza (SIEM); i software di accesso/condivisione remota e per la gestione di dispositivi mobili.
La concreta ricognizione dei “prodotti digitali critici” è, come prima accennato, completata dalla ricostruzione di una ulteriore classe II che include, tra l’altro, sistemi operativi per server, desktop e dispositivi mobili; hypervisor e sistemi che supportano l’esecuzione virtuale di sistemi operativi e ambienti simili; infrastrutture a chiave pubblica ed emittenti di certificati digitali; firewall, sistemi di rilevamento e/o prevenzione delle intrusioni destinati ad uso industriale; router, modem destinati alla connessione ad Internet e switch, nonché ad uso industriale; moduli di sicurezza hardware (HSM); crittoprocessori sicuri; lettori di smartcard e contatori intelligenti.
I sistemi di intelligenza artificiale ad alto rischio
Inoltre, rispetto alla generale classificazione delineata dal legislatore europeo, sono, altresì, delineati i cd. “sistemi di intelligenza artificiale ad alto rischio” (ex art. 8) utilizzabili, previa valutazione di conformità ivi prescritta, come peculiari componenti di sicurezza di un prodotto, così definibili sulla scorta del rinvio operato alla nozione di riferimento ravvisabile nell’Allegato III al cd. “EU AI Act” (la legge europea sull’intelligenza artificiale), secondo cui i sistemi di IA ad alto rischio sono considerati tali se diretti a realizzare una serie di specifiche attività ritenute “sensibili” per il tracciamento profilato degli individui (ossia, a mero titolo di esempio: “identificazione e categorizzazione biometrica delle persone fisiche”; “gestione e funzionamento delle infrastrutture critiche, nonché fornitura di acqua, gas, riscaldamento ed elettricità”; “istruzione e formazione professionale per valutare gli studenti”; “occupazione, gestione e accesso al lavoro per l’assunzione o la selezione di persone fisiche, per vagliare e filtrare le candidature, nonché per valutare i candidati nel corso di colloqui”; “accesso a prestazioni e servizi pubblici o privati essenziali, nonché per valutare l’affidabilità creditizia”).
La dichiarazione di conformità UE
La dichiarazione di conformità UE, rilasciata sotto la responsabilità esclusiva del fornitore (e messa a disposizione delle competenti autorità preposte ad effettuare eventuali controlli ed accertamenti ispettivi da attivare anche ex post), deve riportare, ai sensi di quanto prescritto dall’Allegato IV, una serie di informazioni che consentano l’identificazione univoca e la tracciabilità dei prodotti con elementi digitali.
Peraltro, la dichiarazione di conformità UE si ottiene all’esito di una complessa procedura di valutazione (descritta dall’Allegato VI), da cui si evinca l’adozione, da parte del fabbricante, di tutte le misure necessarie per rendere i processi di progettazione, sviluppo, produzione e gestione delle vulnerabilità dei prodotti digitali compatibili con i requisiti essenziali di cui all’Allegato I.
Rispetto alla richiamata modalità configurabile in via ordinaria, la procedura di valutazione della conformità può, altresì, prevedere il ricorso ad un esame UE effettuato da un apposito organismo accreditato, incaricato di analizzare la progettazione tecnica e lo sviluppo dei prodotti digitali, nonché l’adeguatezza dei processi di gestione delle vulnerabilità messi in atto dal produttore, tenuto conto della complessiva documentazione tecnica pervenuta, al fine di attestare compiutamente il corretto e puntuale rispetto dei requisiti essenziali prescritti.
La valutazione dei rischi di cybersicurezza
Nell’ambito del Capitolo II del cd. Cyber Resilience Act, l’art. 10 impone, pertanto, alla generalità dei produttori l’assolvimento di una serie di obblighi finalizzati a garantire che i prodotti digitali siano stati progettati e sviluppati in conformità agli specifici requisiti essenziali indicati dal menzionato Allegato I.
Viene, altresì, prescritta la necessità di effettuare una valutazione dei rischi di cybersicurezza mediante costanti interventi di monitoraggio azionabili durante l’intero ciclo di produzione, con l’intento di minimizzare gli impatti negativi di possibili incidenti informatici, sulla scorta di documentate attestazioni tecniche (redatte nel rispetto delle indicazioni di cui all’Allegato V), prima che i prodotti siano resi disponibili, all’esito di analisi periodicamente aggiornate e da fornire, su richiesta, agli interessati, oltre che alle competenti autorità di vigilanza per la durata di 10 anni decorrenti dall’avvenuta immissione dei prodotti digitali sul mercato.
Il contenuto della documentazione tecnica esige, seguendo le indicazioni delineate dall’Allegato V, la descrizione esaustiva delle caratteristiche e dello scopo perseguito mediante lo sviluppo di prodotti con elementi digitali, riportando le versioni del software che influiscono sulla concreta conformità ai requisiti essenziali prescritti dal legislatore europeo, con l’ulteriore pubblicazione di informazioni complete e aggiornate in ordine ai processi di gestione delle vulnerabilità attuati dal produttore nell’ambito di periodici interventi di costante monitoraggio ivi realizzati.
Notifiche all’ENISA e sanzioni
Inoltre, a tenore del successivo art. 11, come ulteriore specifico obbligo di segnalazione, il fabbricante è tenuto, tra l’altro, a notificare all’ENISA, tempestivamente senza ritardo, e in ogni caso entro 24 ore dal momento in cui ne viene a conoscenza (a meno che sussistano giustificativi motivi ostativi all’immediata comunicazione da ottemperare), qualsiasi vulnerabilità contenuta nel prodotto digitale progettato e, se del caso, anche eventuali misure correttive che si intendano adottare alla luce delle specifiche circostanze del caso concreto, nonché qualsivoglia incidente informatico avente un impatto diretto sulla sicurezza dei prodotti con elementi digitali.
Quando vengono immessi sul mercato prodotti digitali, i distributori verificano previamente che sia riportata la marcatura CE, apposta in modo visibile, leggibile e indelebile con elementi digitali (ex art. 22 della proposta di regolamento), come adempimento necessario per garantirne la conformità alle prescrizioni tecniche stabilite dal legislatore europeo.
Ai sensi dell’art. 53, l’eventuale inosservanza dei requisiti essenziali di cybersicurezza e la violazione degli obblighi imposti comporta, oltre al ritiro del prodotto digitale dal mercato, l’irrogazione di sanzioni amministrative pecuniarie che condannano, ad esempio, il trasgressore al pagamento di una somma di denaro fino al massimo edittale di 15.000.000 di euro o, se l’autore è un’impresa, fino a 2,5% del fatturato totale annuo registrato nell’anno finanziario precedente, tenuto conto della natura, della gravità e della durata dell’infrazione commessa, in ossequio al principio generale di proporzionalità.
La capacità di fronteggiare le minacce “ibride”
Alla luce della descritta riforma realizzata in materia di cybersicurezza, si conferma, dunque, anche come necessario intervento di mantenimento dell’equilibrio geo-politico da assicurare su scala globale, l’impegno prioritario dell’Unione europea di rafforzare, in condizioni di pronta efficacia e tempestività operativa, la propria capacità di fronteggiare le minacce “ibride” che possono compromettere la vulnerabilità delle infrastrutture critiche da cui dipende la stabilità complessiva dell’ecosistema digitale, al punto da giustificare, nell’ambito di una costante cooperazione multilaterale dialogica perseguita in sede diplomatica, l’adozione di misure preventive e restrittive contro gli attacchi informatici, connesse alla classica funzione dissuasivo-deterrente svolta dalle sanzioni eventualmente irrogate nei casi di accertate condotte dannose ivi commesse.
L’azione dell’UE contro gli attacchi informatici: strategie e partnership
Nell’ambito della generale strategia di sostegno alla cyber-diplomazia dell’UE rappresenta senza dubbio una sfida complessa sempre più centrale nell’attuale panorama geopolitico globale la necessità di edificare una solida difesa informatica in grado di contrastare le pericolose interferenze provocate dal cd. “cyber-mercenarismo” che mirano a indebolire l’ordine pubblico e la sicurezza telematica, mediante l’uso di spyware, malware e sofisticati strumenti di intelligenza artificiale riconducibili allo svolgimento di attività sospette da cd. “hacking su commissione” effettuate tramite una un’ampia gamma di operazioni estremamente insidiose.
Per tale ragione, la Commissione europea e l’Alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza hanno presentato una Comunicazione congiunta su una politica di ciberdifesa dell’UE al fine di realizzare un piano d’azione in grado di individuare e reprimere gli attacchi informatici, anche mediante appositi accordi di partenariato diretti a facilitare la cooperazione sinergica a livello mondiale.
Rafforzamento delle misure di cybersicurezza: il dialogo UE-USA
Emblematica, in tal senso, la recente dichiarazione transatlantica congiunta formalizzata, in occasione del nono dialogo informatico UE-USA, dalle rispettive rappresentanze istituzionali con l’intento di rinnovare il reciproco impegno comune per potenziare, nel contesto mondiale, l’attuazione di un partenariato resiliente in materia di cybersicurezza, fondata sul mantenimento di una Rete Internet aperta, interoperabile, sicura, stabile e affidabile secondo condivisi standard tecnici a presidio delle infrastrutture critiche, la cui implementazione è stata recepita con un accordo tecnico-operativo di lavoro concluso tra l’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) e l’Agenzia statunitense per la sicurezza informatica e le infrastrutture (CISA), proprio nell’ottica di valorizzare lo scambio delle migliori pratiche e la condivisione delle conoscenze progressivamente acquisite in materia.
Conclusioni
In tale scenario e alla luce del quadro così delineato, si inserisce, dunque, il Cyber Resilience Act come ulteriore tassello della complessiva strategia europea progressivamente edificata in materia di sicurezza informatica a presidio della sovranità tecnologica di cui intende dotarsi l’Unione europea, mediante l’emanazione di un robusto quadro regolatorio (tracciato dalle ultime riforme organiche di cui al Digital Markets Act, Digital Services Act, Data Governance Act, Regolamento UE 679/2016, “EU AI Act”) che, in linea con gli obiettivi perseguiti lungo le tappe dell’ambizioso decennio digitale, consenta di realizzare un ecosistema digitale solido e sicuro, in grado di resistere anche ai più insidiosi attacchi informatici potenzialmente letali per la vulnerabilità di infrastrutture critiche vitali.
Le opinioni espresse nel presente articolo hanno carattere personale e non sono, direttamente o indirettamente collegate, in alcun modo, alle attività e funzioni lavorative svolte dall’Autore, senza, quindi, impegnare, in alcun modo, l’Amministrazione di appartenenza del medesimo.
