Riassunto:
L'11 settembre l'Unione Europea ha varato ufficialmente le principali disposizioni del Cyber Resilience Act, imponendo obblighi più severi di segnalazione sulla sicurezza informatica ai produttori di prodotti digitali e agli sviluppatori di software. Secondo le nuove normative, una volta che le aziende scoprono che i loro prodotti presentano vulnerabilità di sicurezza che vengono sfruttate dagli hacker, devono segnalarle all’agenzia europea per la sicurezza informatica entro un periodo di tempo molto breve, altrimenti potrebbero incorrere in gravi sanzioni in futuro.
Secondo i requisiti del disegno di legge, quando un'azienda scopre che una vulnerabilità nel suo prodotto è stata effettivamente sfruttata, deve prima inviare una notifica di allarme rapido all'Agenzia europea per la sicurezza informatica (ENISA) entro 24 ore; quindi presentare una descrizione più dettagliata della situazione entro 72 ore, compresa la natura della vulnerabilità, la portata dell'impatto e le misure di mitigazione adottate; una volta riparata la vulnerabilità, deve presentare una relazione finale entro 14 giorni. Se si tratta di un grave incidente di sicurezza informatica piuttosto che di un semplice exploit di vulnerabilità, il termine per la presentazione della relazione finale viene esteso a un mese.
L'UE ha affermato che lo scopo principale di questo sistema è migliorare la trasparenza e la reattività dell'intero ecosistema di prodotti digitali. Obbligando i fornitori a rivelare e segnalare rapidamente i rischi per la sicurezza, l’UE spera di ridurre i danni causati dall’occultamento a lungo termine delle vulnerabilità e di migliorare il livello di sicurezza generale dei dispositivi IoT, delle piattaforme software e dei prodotti connessi.
A differenza di molte normative sulla sicurezza informatica, il nuovo sistema non si applica solo ai nuovi prodotti lanciati in futuro, ma copre anche i prodotti digitali già presenti sul mercato. Ciò significa che le aziende non possono limitarsi a istituire un meccanismo di risposta alla sicurezza per i nuovi prodotti, ma devono istituire un sistema di segnalazione rapida delle vulnerabilità per software, hardware e prodotti esistenti sottoposti a manutenzione continua. Una volta che si scopre che i prodotti rilevanti sono sotto attacco o hanno sfruttato le vulnerabilità, verrà avviato il processo di segnalazione legale.
Il campo di applicazione delle nuove normative è piuttosto ampio. Oltre alle aziende locali dell’UE, anche tutte le società straniere che vendono prodotti e servizi digitali sul mercato dell’UE devono conformarsi ai requisiti pertinenti. Che si tratti di sviluppatori di software, produttori di hardware, aziende di elettronica di consumo o fornitori di apparecchiature per l’Internet delle cose, finché i loro prodotti entrano nel mercato dell’UE, potrebbero essere soggetti a restrizioni.
Per aiutare le aziende ad adattarsi al nuovo sistema, la Commissione europea ha pubblicato una serie di documenti guida pratici e l'Agenzia europea per la sicurezza informatica ha creato una piattaforma di reporting unificata per ricevere e gestire le segnalazioni di vulnerabilità e incidenti di sicurezza presentate dalle aziende. Le agenzie competenti sperano di ridurre i costi di conformità aziendale attraverso processi standardizzati, garantendo al tempo stesso che le autorità di regolamentazione possano cogliere tempestivamente le dinamiche dei rischi per la sicurezza della rete.
Mentre il sistema di segnalazione delle vulnerabilità sarà implementato a partire da oggi, i requisiti di piena conformità del Cyber Resilience Act saranno implementati in fasi. Secondo il calendario stabilito, i requisiti completi, compresi obblighi globali come la certificazione del prodotto, la documentazione tecnica e la marcatura CE, diventeranno ufficialmente obbligatori nel dicembre 2027.
Il contesto alla base dell'introduzione del disegno di legge è che gli attacchi informatici globali sono aumentati frequentemente negli ultimi anni e che un gran numero di dispositivi intelligenti e prodotti connessi a Internet presentano vulnerabilità che non sono state riparate da molto tempo. L’UE ritiene che in passato alcuni produttori non fossero motivati a divulgare e affrontare le questioni di sicurezza in modo tempestivo, quindi è necessario stabilire standard unificati attraverso la legislazione e utilizzare le responsabilità legali per promuovere le aziende a migliorare i livelli di gestione della sicurezza.
Gli analisti ritengono che questo nuovo regolamento potrebbe costringere il settore tecnologico a riprogettare i propri processi di risposta alla sicurezza interna. In futuro, le aziende non solo dovranno scoprire le vulnerabilità più velocemente, ma dovranno anche garantire che la valutazione, la notifica e la correzione siano completate entro il tempo specificato. Per le grandi aziende tecnologiche, ciò significa che è necessario investire maggiori risorse nella creazione di team di sicurezza di rete 24 ore su 24; mentre gli sviluppatori di piccole e medie dimensioni potrebbero dover affrontare notevoli pressioni in termini di conformità.
Con la graduale attuazione del Cyber Resilience Act, l'UE sta diventando una delle regioni con le normative sulla sicurezza informatica più severe al mondo. Nei prossimi anni, la questione se questo sistema possa davvero ridurre l’abuso di scappatoie e migliorare il livello di sicurezza digitale dei consumatori e delle imprese diventerà un’importante questione di preoccupazione per l’industria tecnologica globale.
Commenti