Cyber Resilience Act, obblighi e sfide: guida essenziale per produttori ICT

L’intento che ispira il Cyber Resilience Act[1] è reso manifesto sin dal Considerando 1: “La cibersicurezza è una delle sfide principali per l’Unione… È opportuno affrontare i due problemi principali che comportano ulteriori costi per gli utilizzatori e la società: un basso livello di cibersicurezza dei prodotti con elementi digitali, testimoniato da vulnerabilità diffuse e dalla fornitura insufficiente e incoerente di aggiornamenti di sicurezza per porvi rimedio così come un’insufficiente comprensione delle informazioni e un accesso limitato alle stesse da parte degli utilizzatori, che impediscono loro di scegliere prodotti con proprietà di cibersicurezza adeguate o di utilizzarli in modo sicuro.”

L’intento e la prospettiva del Cyber Resilience Act

In altri termini, se fino ad oggi l’attenzione massima è stata dedicata alla costruzione di un modello normativo che imponga a diversi soggetti, pubblici o privati, l’adozione di misure di sicurezza rivolte alla protezione del proprio patrimonio informativo e dei sistemi necessari a garantire la disponibilità, l’integrità e la riservatezza delle informazioni dei soggetti interessati dalla bulimica verve regolatoria dell’Unione, il Cyber Resilience Act parte da una prospettiva del tutto opposta: imporre obblighi specifici ai produttori di beni ICT, in particolare software, trasformando la produzione e l’offerta di tali beni in un contesto di doveri di protezione ben definiti e sanzionabili.

In termini più semplici: proteggere infrastrutture, sistemi e servizi è giusto, ma non basta: occorre utilizzare prodotti intrinsecamente sicuri, all’origine e durante il ciclo di vita utile e questa necessità non può gravare in capo all’utente finale, ma deve, per forza di cose, ricadere sul soggetto – il produttore – che ha la capacità, la competenza e il potere di agire sul proprio prodotto per soddisfare tale esigenza.

Il principio di affidamento nei prodotti digitali

Principio tanto più vero in quanto i prodotti “COTS – Commercial Off-the-Shelf”, ossia prodotti commerciali disponibili a scaffale e non modificabili dall’utente finale, che ne riceve solo una licenza d’uso, sono artefatti “a scatola chiusa” che presuppongono un rapporto di affidamento e che, in relazione all’attività professionale del produttore, dovrebbero essere da questi immessi sul mercato privi di quei difetti o vizi occulti, riconoscibili con l’utilizzo della diligenza richiesta all’operatore professionale.

Eppure, tale principio, di comune buon senso, è assai spesso eluso dai produttori, che negli accordi di licenza, che pochi leggono, si premurano di allontanare da sé il rischio, limitando la responsabilità ai soli casi di dolo o colpa grave e comunque con un significativo tetto all’importo risarcibile, normalmente pari al valore del prodotto.

Il Cyber Resilience Act: un quadro normativo innovativo e complesso

Con il Regolamento in esame la situazione è destinata a cambiare, in maniera estremamente significativa.

La percezione immediata che si ha del Cyber Resilience Act è che esso non sia un regolamento di semplice lettura e richiederà un livello di approfondimento tecnico e di integrazione per nulla marginale. È tuttavia evidente che l’obiettivo declinato non sia soltanto quello di definire uno strumento forte per la protezione dei consumatori europei dai rischi associati ai prodotti digitali, ma una intensa conformazione del mercato, nell’ottica di definire un importante tessera nel mosaico della protezione cibernetica a più strati che l’Unione sta progressivamente componendo.

Il punto chiave, descritto nell’ambito di applicazione del regolamento, è che il fatto di “mettere a disposizione sul mercato” prodotti con elementi digitali la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete, importa il soddisfacimento di una serie di obblighi, tra cui:

• Il rispetto di requisiti essenziali di cibersicurezza (che la lingua italiana ci perdoni) per la progettazione, lo sviluppo e la produzione di prodotti con elementi digitali (information security by design);
• requisiti essenziali di cibersicurezza per i processi di gestione delle vulnerabilità messi in atto dai fabbricanti per garantire la cibersicurezza dei prodotti con elementi digitali durante il periodo in cui si prevede che i prodotti siano in uso (security through lifecycle).

Definizioni e ambito di applicazione del regolamento

La menzionata complessità è osservabile anche riguardo alla necessità che il legislatore europeo ha avvertito di introdurre definizioni specifiche per questo regolamento, che vengono declinate nell’articolo 3, con l’intento di vincolare l’interprete in un ben definito perimetro lessicale.

In primo luogo, la necessità di chiarire cosa significhi “messa a disposizione del mercato”, intesa come la fornitura, a titolo oneroso o gratuito, di un prodotto con elementi digitali perché sia distribuito o usato sul mercato dell’Unione nel corso di un’attività commerciale: nozione che espande notevolmente anche l’ambito soggettivo di applicazione, in quanto gli effetti impositivi del regolamento non gravano soltanto sul soggetto produttore (fabbricante), ma anche su altri soggetti, come importatori, distributori e “rappresentanti autorizzati”, figura, quest’ultima, riferibile ad un soggetto – persona fisica o giuridica – che agisca in nome e per conto del fabbricante sulla base di un mandato scritto e con l’effetto di estendere, di fatto, l’applicazione della normativa anche a beni della tecnologia dell’informazione d’origine extraeuropea.

Interessante poi notare che nella nozione di “fabbricante” non vi sia chi direttamente sviluppa codice o produce hardware, ma anche chi “fa progettare, sviluppare o fabbricare prodotti con elementi digitali e li commercializza con il proprio nome o marchio”, indipendentemente se a titolo oneroso o gratuito. In altri termini, le operazioni, frequenti nella pratica, in particolare delle software house, di fornire i prodotti che vengono “etichettati” con il proprio marchio dal soggetto che vende alla propria catena di clienti, suscitando l’apparenza che egli stesso sia il produttore, produrrà effetti interessanti: da un canto evidenziando l’indifferenza funzionale, da parte del legislatore europeo, rispetto alla necessità di garantire l’obbligo in capo a chiunque sia o appaia, verso il mercato, come produttore.

Con ciò depotenziando, a favore dell’utente finale, pratiche commerciali di puro marketing; dall’altro l’inevitabile conseguenza di una revisione radicale dei contratti sottostanti tra vera software house e produttore apparente, per regolare i diversi profili di responsabilità contrattuale derivanti dal rapporto di reale produzione e di rispetto degli obblighi che, come detto, non si limitano solo alla sicurezza originaria, ma anche agli obblighi di mantenimento lungo il ciclo di vita del prodotto stesso.

Quanto al prodotto, cui il regolamento si applica, si intende qualsiasi dispositivo fisico o software che contiene elementi digitali. Più specificamente, un “prodotto con elementi digitali” è definito come un prodotto la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete.

Questa definizione comprende:

• Hardware: dispositivi fisici che hanno la capacità di connettersi a una rete o a un altro dispositivo (es. computer, smartphone, smart home devices).
• Software: programmi o applicazioni che operano su hardware e che possono connettersi a una rete o ad altri dispositivi (es. sistemi operativi, app mobili, software di gestione).
• Combinazione di hardware e software: prodotti che combinano elementi sia fisici che digitali e che hanno capacità di connessione (es. router, firewall, sistemi di automazione industriale).

Unica condizione posta è che il “prodotto”, così ampiamente inteso, sia originariamente o anche occasionalmente “connesso”, secondo una nozione di ragionevole prevedibilità che, nell’applicazione concreta – ad esempio nei software gestionali on premise – è difficilmente eludibile.

La valutazione del rischio di cybersicurezza nel Cyber Resilience Act

È fin troppo evidente, perciò, che il legislatore europeo abbia deciso di garantire che tutti i prodotti che potrebbero rappresentare un rischio per la sicurezza digitale siano soggetti ai requisiti di sicurezza delle informazioni stabiliti dal regolamento, con esclusione di quei prodotti che, pur contenendo elementi digitali, non sono destinati a essere utilizzati in un ambiente connesso o che non presentano rischi significativi per la sicurezza.

Questa considerazione introduce un altro aspetto cruciale: posto che i fabbricanti sono tenuti a garantire che il prodotto con elementi digitali sia stato progettato, sviluppato e realizzato conformemente ai requisiti essenziali di sicurezza definiti dal regolamento, essi devono effettuare una valutazione del rischio di cibersicurezza.

Si tratta di un aspetto cruciale del regolamento, che richiede a vari attori di identificare, valutare e mitigare i rischi di sicurezza associati ai prodotti con elementi digitali, che è applicato a diverse categorie di soggetti coinvolti nella messa a disposizione del mercato di tali prodotti, dunque non soltanto ai fabbricanti. Vediamo come.

Gli obblighi per i fornitori

Al fornitore competono:

• Identificazione dei rischi: il fornitore deve identificare potenziali vulnerabilità e minacce che potrebbero compromettere la sicurezza del prodotto durante il suo ciclo di vita.
• Valutazione dei rischi: una volta identificate le minacce, il fornitore deve valutare la probabilità e l’impatto di tali minacce, determinando le aree di maggiore rischio.
• Mitigazione dei rischi: sulla base della valutazione dei rischi, il fornitore deve implementare misure di sicurezza adeguate a mitigare i rischi identificati. Questo include l’adozione di pratiche di security by design e through lifecycle.
• Documentazione: il fornitore deve mantenere una documentazione dettagliata della valutazione dei rischi e delle misure adottate per mitigare tali rischi. Questa documentazione deve essere disponibile per le autorità competenti.

Gli obblighi per l’importatore

All’importatore, invece:

• Verifica della conformità: l’importatore deve assicurarsi che i prodotti importati siano conformi ai requisiti di sicurezza stabiliti dal regolamento. Questo include la revisione della documentazione fornita dal fabbricante relativa alla valutazione dei rischi e alle misure di sicurezza adottate.
• Valutazione dei rischi residui: l’importatore deve valutare i rischi residui associati ai prodotti importati e, se necessario, adottare ulteriori misure per mitigare tali rischi.
• Monitoraggio continuo: l’importatore deve monitorare continuamente i prodotti importati per rilevare eventuali nuovi rischi o vulnerabilità e assicurarsi che vengano adottate misure correttive tempestive.

Obblighi per distributori e rivenditori

Ad altri soggetti, quali distributori e rivenditori:

• Conformità ai requisiti: i distributori e rivenditori devono assicurarsi che i prodotti che mettono a disposizione sul mercato siano conformi ai requisiti del regolamento. Questo include la verifica che i prodotti siano accompagnati dalla documentazione appropriata e che siano stati sottoposti a una valutazione del rischio.
• Segnalazione delle non-conformità: se i distributori o rivenditori individuano prodotti non conformi, devono segnalarlo immediatamente alle autorità competenti e adottare misure per rimuovere tali prodotti dal mercato.
• Supporto nella gestione delle vulnerabilità: i distributori e rivenditori devono collaborare con i fabbricanti e gli importatori nella gestione delle vulnerabilità e nella distribuzione degli aggiornamenti di sicurezza ai clienti.

La valutazione del rischio è quindi un processo continuo e collaborativo che coinvolge tutti i soggetti lungo la catena di distribuzione e che comporta una sostanziale anticipazione della soglia di responsabilizzazione. Essa, infatti, risponde all’esigenza di prevenire proattivamente i problemi di sicurezza, identificando e mitigando le vulnerabilità prima che possano essere sfruttate. Al tempo stessogarantisce che tutti i soggetti coinvolti rispettino i requisiti normativi, riducendo il rischio di sanzioni e migliorando la fiducia degli utenti, contribuendo a creare un ecosistema digitale più sicuro e resiliente.

Il periodo di assistenza e la gestione delle vulnerabilità

Sul punto, vale la pena soffermarsi anche su un altro aspetto caratterizzante il Cyber Resilience Act, ossia il fatto di garantire non solo la sicurezza originaria del prodotto, ma anche il mantenimento dei livelli di sicurezza attesi lungo un definito ciclo di vita del prodotto.

Per questa ragione, il Regolamento stabilisce che tali livelli di sicurezza siano garantiti per la durata del “periodo di assistenza”, attraverso la gestione efficace delle vulnerabilità, nel rispetto dei requisiti essenziali di cibersicurezza declinati nell’Allegato I. Periodo che tuttavia non può essere definito liberamente dal fabbricante.

Al contrario, l’art. 13, paragrafo 8, individua in maniera piuttosto puntuale i criteri di fissazione dell’assistenza, in relazione alla durata di utilizzo del prodotto, “…tenendo conto, in particolare, delle ragionevoli aspettative degli utilizzatori, della natura del prodotto, compresa la sua finalità prevista, nonché del pertinente diritto dell’Unione che determina la durata di vita dei prodotti con elementi digitali”.

Fatto che significa, in buona sostanza, richiamare l’attenzione sulla natura di “investimento durevole” di un prodotto digitale e sulla circostanza che il ciclo di vita non può essere artatamente limitato per eludere la norma di protezione, ma rispondere ad un’esigenza coerente con le aspettative degli utenti e della natura del prodotto. E, in ogni caso, la durata dell’assistenza non può mai essere inferiore a cinque anni.

Questa previsione non è di poco conto, soprattutto per le software house di minori dimensioni, che sono chiamate ad uno sforzo non marginale di strutturazione della propria organizzazione, per assicurare il rispetto dei requisiti, incluso il meccanismo di divulgazione coordinata delle vulnerabilità, cui va aggiunto il processo, non meno complesso, degli obblighi di segnalazione delle vulnerabilità.

Gli obblighi di trasparenza e conformità nel Cyber Resilience Act

Non basta: i doveri dei fabbricanti e degli altri attori della catena del valore sono oltremodo rafforzati attraverso due notevoli previsioni:

• Gli aggiornamenti di sicurezza rilasciati durante il periodo di assistenza devono rimanere disponibili per gli utilizzatori, dopo il rilascio, per almeno dieci anni (o per il restante periodo di assistenza, se superiore);
• Il fabbricante che abbia immesso sul mercato versioni successive sostanzialmente modificate di un software può garantire la conformità ai requisiti essenziali di cybersicurezza, solo per l’ultima versione rilasciata, “…a condizione che gli utilizzatori delle versioni precedentemente immesse sul mercato abbiano accesso gratuito all’ultima versione immessa sul mercato e non debbano sostenere costi aggiuntivi per adeguare l’ambiente hardware e software in cui utilizzano la versione originale del prodotto” (art. 13 para 10). Condizione, quest’ultima, che rappresenta una significativa inversione di tendenza rispetto alle logiche di mercato che impongono, invece, l’acquisto di versioni realmente innovative del prodotto.

Il tutto accompagnato da un principio generale di trasparenza, che si traduce in diverse obbligazioni di comunicazione, tra cui il necessario rilascio di una documentazione tecnica significativamente dettagliata (articolo 31) e all’obbligo di dichiarazione di conformità e marcatura CE.

Elemento, quest’ultimo, tutt’altro che formale, perché con la dichiarazione di conformità UE il fabbricante si assume la responsabilità della conformità del prodotto con elementi digitali e, di conseguenza, la falsa dichiarazione di rispetto delle previsioni del regolamento, oltre a far decadere la presunzione di conformità, ai sensi dell’art. 27, e salvo che il fatto costituisca reato secondo l’ordinamento dello Stato membro, sanzioni amministrative pecuniarie particolarmente afflittive (effettive, proporzionate e dissuasive, secondo una formula di frequente utilizzo nel provvedimenti normativi dell’Unione) che arrivano fino a 15 milioni di Euro ovvero, per le entità definite come imprese, fino al 2,5% del fatturato mondiale totale annuo rispetto all’esercizio precedente, se superiore.

Gradualità e proporzionalità nel cyber resilience act

Il sistema disegnato dal legislatore unionale è comunque ispirato a criteri di proporzionalità e gradualità ed è stata opportunamente inserita una clausola rafforzativa degli obblighi per i prodotti con elementi digitali che presentano “un rischio di cibersicurezza significativo”, con un controllo che potrebbe rivelare una certa somiglianza con il sistema delle approvazioni del Centro di Valutazione e Certificazione nazionale (e dei Laboratori Accreditati di Prova) di cui al Decreto-legge 105/2019 istitutivo del Perimetro della Sicurezza nazionale Cibernetica. Così come, d’altro versante, un alleggerimento degli obblighi per le micro e piccole imprese e per i gestori di open source, verso i quali si intravede un più che giustificato favore.

Sfide e opportunità del nuovo quadro normativo

Sebbene il regolatore europeo abbia concesso un lungo periodo di adeguamento, nel quale sono attesi anche provvedimenti di attuazione, il quadro d’insieme rappresentato dal Cyber Resilience Act definisce per l’interprete una posizione di indiscutibile rigore, che è rafforzata dall’insieme dei controlli, anche “a tappeto” – per citare testualmente l’articolo 60 del regolamento – di iniziativa delle autorità di vigilanza e con l’utilizzo di “indagini sotto copertura”, a sancire la volontà impositiva della legge.

La trasformazione della produzione dei beni e servizi ICT nel quadro degli obblighi di protezione rappresenta una sfida significativa per i produttori, ma anche un’opportunità per migliorare la qualità e la sicurezza dei prodotti offerti ai consumatori e più in generale agli utenti finali, rappresentando, quindi, il completamento, dal versante dei prodotti digitali, la cornice di una severa articolazione della difesa del dominio cyber.

Quanto le autorità di controllo potranno essere in grado di rispondere alle esigenze di verifica presupposte dalla normativa in esame è da vedere, trattandosi di un’ulteriore incombenza, tutt’altro che banale.

All’interprete del diritto ed alle imprese, gravate da questo più che incisivo provvedimento, il difficile compito di analizzare ed attuare i diversi istituti contemplati dal regolamento, inclusa la valutazione degli impatti sul regime della responsabilità contrattuale e sugli aspetti di correttezza commerciale con potenziali riflessi anche di natura penalistica.

[1] Regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio del 23 ottobre 2024 relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica i regolamenti (UE) n. 168/2013 e (UE) 2019/1020 e la direttiva (UE) 2020/1828 (regolamento sulla ciberresilienza)