Sicuro appena acceso
Niente password uguali per tutti i pezzi, solo le funzioni che servono attive, accessi protetti. Chi installa la macchina non deve ricordarsi di chiudere niente.
Cyber Resilience Act · Regolamento (UE) 2024/2847 Le vostre macchine si collegano ad altro? Dal 2027 devono essere sicure per legge.
Il Cyber Resilience Act vale per tutti i prodotti che contengono software e si collegano a qualcosa: una rete, un bus di campo, una porta USB. I macchinari industriali sono compresi. Se costruite macchine o dispositivi elettronici, firmware e software dovranno rispettare requisiti di sicurezza precisi. Noi li sviluppiamo così e prepariamo la parte tecnica della documentazione.
Chi riguarda
Il regolamento europeo sulla cybersicurezza dei prodotti.
Il Regolamento (UE) 2024/2847 riguarda i prodotti con elementi digitali, cioè quelli che contengono software e scambiano dati con altri dispositivi o con una rete. Vale per tutti i settori allo stesso modo.
Gli obblighi principali sono a carico del fabbricante, cioè di chi mette il prodotto in commercio con il proprio nome o marchio. Per un costruttore di macchine questo vuol dire rispondere anche del PLC, del pannello operatore, delle schede e del software che ci sono dentro, compresi quelli comprati da altri.
Le informazioni su questa pagina non sono consulenza legale. Se e come il regolamento si applica al vostro prodotto lo valuta il vostro consulente.
Chi è escluso
Restano fuori i prodotti già coperti da regole proprie, e pochi altri casi:
- dispositivi medici e diagnostici in vitro;
- veicoli omologati;
- aviazione civile;
- equipaggiamento marittimo;
- prodotti fatti solo per la difesa e la sicurezza nazionale;
- software open source distribuito senza attività commerciale;
- software usato solo come servizio online (SaaS), se non serve a far funzionare un prodotto.
I macchinari industriali non sono esclusi.
Le scadenze
Una parte degli obblighi è già in vigore.
Il regolamento è entrato in vigore il 10 dicembre 2024 e si applica per gradi. Il primo obbligo, la segnalazione delle vulnerabilità e degli incidenti, è partito l'11 settembre 2026 e vale anche per i prodotti che avete già venduto.
Dall'11 settembre 2026
Se scoprite che una vulnerabilità del vostro prodotto viene sfruttata, o se c'è un incidente grave, dovete segnalarlo: un primo avviso entro 24 ore da quando ve ne accorgete e una notifica completa entro 72 ore, attraverso la piattaforma europea gestita dall'ENISA.
Dall'11 dicembre 2027
Ogni prodotto messo in commercio deve rispettare i requisiti di sicurezza, avere la documentazione tecnica e la dichiarazione di conformità, e portare la marcatura CE anche per la cybersicurezza.
I prodotti già in commercio
Quelli venduti prima dell'11 dicembre 2027 devono rispettare i requisiti solo se dopo quella data li modificate in modo sostanziale. L'obbligo di segnalazione invece vale per tutti.
Cosa chiede in pratica
Cosa deve avere un prodotto per essere in regola.
Dati protetti
Le comunicazioni con la rete e con gli altri dispositivi devono essere cifrate, e i dati e i comandi protetti da chi prova a modificarli.
Aggiornamenti di sicurezza
Il prodotto deve poter ricevere le correzioni per tutto il periodo di assistenza, che di norma dura almeno cinque anni.
Vulnerabilità sotto controllo
Il fabbricante tiene l'elenco dei componenti software usati nel prodotto, corregge i problemi senza aspettare e dà un contatto a chi vuole segnalarne uno.
Documentazione tecnica
Servono l'analisi dei rischi informatici, la descrizione del prodotto e delle misure adottate, le istruzioni di sicurezza per chi lo usa e la dichiarazione di conformità.
Segnalazioni nei tempi
Vulnerabilità sfruttate e incidenti gravi vanno segnalati entro 24 ore, e chi usa il prodotto va avvisato di cosa fare.
Cosa facciamo per voi
Firmware e software sicuri, con la documentazione che li descrive.
Progettiamo schede elettroniche e scriviamo firmware e software per conto di costruttori di macchine e di dispositivi, con un sistema qualità certificato ISO 9001. Possiamo sviluppare il software di un prodotto nuovo già con i requisiti di sicurezza, oppure aggiornare quello di un prodotto che avete già in produzione.
Per voi significa arrivare a dicembre 2027 con il software a posto e con le carte che lo dimostrano. La dichiarazione di conformità resta vostra, perché la firma il fabbricante, e gli aspetti legali li segue il vostro consulente.
Il software
- Accessi protetti, senza password di fabbrica uguali per tutti.
- Comunicazioni cifrate tra macchina, rete e altri dispositivi.
- Aggiornamenti firmati, che il prodotto installa solo se arrivano da voi.
La documentazione
- L'analisi dei rischi informatici del prodotto.
- La descrizione tecnica del firmware e delle misure di sicurezza.
- Le istruzioni di sicurezza per chi installa e usa la macchina.
Domande frequenti
Domande sul Cyber Resilience Act
Le macchine che abbiamo già venduto vanno adeguate?
I requisiti di sicurezza valgono per i prodotti messi in commercio dall'11 dicembre 2027, e per quelli venduti prima solo se poi li modificate in modo sostanziale. L'obbligo di segnalare le vulnerabilità sfruttate e gli incidenti gravi invece vale già oggi, anche per le macchine installate da anni.
Il PLC e il pannello li compriamo da altri. Tocca comunque a noi?
Sì, se la macchina esce con il vostro nome. Chi vi fornisce i componenti ha i suoi obblighi, ma il fabbricante della macchina risponde del prodotto intero e deve verificare che i componenti che usa siano sicuri.
Il nostro software è un servizio online. Rientra?
Un software usato solo come servizio online è escluso. Se però il servizio serve a far funzionare il prodotto, per esempio il portale da cui si comandano o si aggiornano le macchine, viene considerato parte del prodotto e rientra.
Serve un ente di certificazione?
Per la maggior parte dei prodotti no: il fabbricante verifica da sé la conformità e firma la dichiarazione. Per alcune categorie elencate nel regolamento servono norme armonizzate o la verifica di un organismo notificato. In quale caso ricade il vostro prodotto lo valuta il vostro consulente.
Cosa rischia chi non si adegua?
Il prodotto può essere ritirato dal mercato, e le sanzioni per chi non rispetta i requisiti di sicurezza arrivano a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se più alto.
Costruite macchine o dispositivi collegati? Parliamone prima del 2027.
Raccontateci com'è fatto il vostro prodotto e vi diciamo cosa va sistemato nel firmware e nel software.