Il Cyber Resilience Act (CRA) [in inglese] dell’Unione Europea ha avuto il via libera del Consiglio dei ministri dell’UE: si completa così il quadro normativo dell’Unione sulla cybersicurezza di cui fanno parte anche la NIS2 e, per il settore finanziario, la normativa DORA. Il CRA si rivolge ai produttori di dispositivi digitali immessi sul mercato europeo, ma per i CIO significa avere una garanzia sui device che portano in azienda, e, di conseguenza, generare un impatto positivo sulla cyber-resilienza, perché, imponendo precisi requisiti di sicurezza ai produttori di dispositivi digitali connessi, il CRA ridurrà il rischio di attacchi informatici che sfruttano le vulnerabilità di questi prodotti.
“Conosco bene il Cyber Resilience Act, ed è sicuramente una mossa positiva da parte dell’UE”, afferma Giuseppe Ridulfo, Vice Responsabile Dipartimento Organizzazione e Responsabile Sistemi Informativi di Banca Popolare Etica Scpa. “Il CRA mira a rafforzare la sicurezza dei prodotti con elementi digitali e, insieme alla NIS2, fornisce un quadro più completo per la protezione delle infrastrutture critiche e dei prodotti digitali. Mentre la NIS2 si concentra sulla resilienza delle reti e dei servizi essenziali, il CRA si concentra direttamente sui requisiti di sicurezza dei prodotti stessi. Questo approccio integrato eleva gli standard di sicurezza nell’intera catena digitale, riducendo vulnerabilità e minacce potenziali già dalla progettazione. In quanto CIO, considero questo passo un’opportunità per allineare le strategie aziendali con i requisiti normativi e ridurre il rischio complessivo per l’azienda”.
La legge copre un ampio ventaglio di “prodotti con elementi digitali”, definiti come “un prodotto software o hardware e le loro soluzioni di elaborazione remota dei dati, incluse le componenti software o hardware che vengono portate sul mercato separatamente”. La norma è, dunque, trasversale: copre orizzontalmente tutti i prodotti digitali connessi a internet, come spiega Davide Baldini, avvocato e partner dello studio ICT Legal Consulting.
