Dall’11 settembre il Cyber Resilience Act europeo compie il suo primo vero passaggio operativo. I produttori di dispositivi e software con elementi digitali dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi capaci di incidere sulla sicurezza dei loro prodotti. Il primo avviso dovrà essere trasmesso entro ventiquattro ore dal momento in cui il produttore viene a conoscenza del problema, mentre una notifica più completa dovrà seguire entro settantadue ore. La piena applicazione degli altri obblighi del regolamento arriverà soltanto l’11 dicembre 2027, ma sarebbe un errore considerare questa prima scadenza come un semplice anticipo burocratico.
Per le aziende cambia innanzitutto il modo di organizzarsi. Non basterà predisporre un modulo da compilare quando l’incidente si è già verificato. Occorrerà sapere in anticipo chi individua la vulnerabilità, chi ne valuta la gravità, chi raccoglie le informazioni necessarie e chi assume la responsabilità della segnalazione. I tempi previsti dal regolamento sono troppo brevi per consentire improvvisazioni. Le funzioni tecnologiche, legali, di compliance e di governo societario dovranno condividere la stessa mappa del rischio prima dell’emergenza, non cominciare a conoscersi quando l’orologio delle ventiquattro ore ha già iniziato a correre. Il cambiamento, tuttavia, è più profondo.
Indice degli argomenti
Cyber resilience act: la sicurezza lungo il ciclo di vita
Per molto tempo la cybersicurezza è stata trattata come un problema specialistico, affidato a un gruppo di tecnici e spesso percepito dai vertici aziendali soprattutto come un costo. Il Cyber Resilience Act rovescia questa prospettiva. La sicurezza diventa una caratteristica essenziale del prodotto e deve accompagnarlo dalla progettazione allo sviluppo, dalla sua immissione sul mercato agli aggiornamenti successivi. Una vulnerabilità non è più soltanto un inconveniente tecnico da correggere, ma il possibile sintomo di un difetto nella progettazione o nell’organizzazione. È la traduzione concreta dei principi di sicurezza by design e by default. Non basta intervenire dopo che il rischio si è materializzato.
Aggiornamenti e nuove minacce nell’era dell’intelligenza artificiale
Occorre costruire prodotti capaci di resistere agli attacchi, ridurre le superfici di esposizione, gestire le vulnerabilità conosciute e fornire gli aggiornamenti necessari durante il periodo di utilizzo previsto. Chi porta sul mercato un prodotto digitale non può considerare conclusa la propria responsabilità al momento della vendita. Deve continuare a interrogarsi sulla sicurezza di ciò che ha realizzato e sulle conseguenze che una sua fragilità può produrre. L’intelligenza artificiale rende questa trasformazione ancora più evidente. L’AI può essere utilizzata per individuare anomalie, riconoscere schemi sospetti e rafforzare la capacità di risposta agli attacchi, ma può anche rendere le minacce più rapide, adattive e accessibili. Soprattutto, aumenta la complessità dei prodotti digitali.
Governare insieme rischi tecnologici e obblighi normativi
Un sistema può modificarsi attraverso aggiornamenti, nuove integrazioni, servizi di elaborazione remota e componenti provenienti da una pluralità di fornitori. La vulnerabilità può trovarsi non nel prodotto finale, ma in uno degli elementi della catena dalla quale esso dipende. Il Cyber Resilience Act e l’AI Act non coincidono e non devono essere confusi. Il primo introduce requisiti di cybersicurezza per i prodotti con elementi digitali; il secondo prevede, in particolare per i sistemi di AI ad alto rischio, requisiti di accuratezza, robustezza e cybersicurezza e disciplina anche i rischi sistemici connessi ai modelli di uso generale più potenti. A questi strumenti si affianca la direttiva NIS2, dedicata alla resilienza delle organizzazioni e dei servizi essenziali.
Superare la frammentazione della compliance
Sono discipline differenti, ma appartengono alla stessa traiettoria europea: passare dalla riparazione del danno alla prevenzione del rischio e dalla responsabilità isolata del singolo tecnico alla responsabilità complessiva dell’organizzazione. Le imprese dovrebbero evitare la tentazione di affidare ciascuna normativa a un ufficio diverso, costruendo una compliance per compartimenti stagni. Il rischio cyber, quello algoritmico e quello legato alla protezione dei dati spesso nascono dallo stesso prodotto e possono colpire la stessa persona. Separarli artificialmente significa produrre documenti senza ottenere una reale capacità di governo. Serve invece una visione unitaria, nella quale la sicurezza tecnica, la conformità giuridica e la responsabilità organizzativa siano parti dello stesso processo.
Il cyber resilience act porta il diritto nella progettazione
In questa prospettiva cambia anche il ruolo del diritto. Il giurista non deve trasformarsi in un ingegnere, né pretendere di sostituirsi a chi possiede competenze tecniche. Ma non può più essere chiamato soltanto alla fine, quando il prodotto è stato progettato, le decisioni sono ormai incorporate nel codice e il danno si è verificato. Deve contribuire fin dall’inizio a formulare le domande che la sola ricerca dell’efficienza potrebbe lasciare sullo sfondo: chi può essere colpito da una vulnerabilità? Quali dipendenze tecnologiche non sono sotto il controllo dell’impresa? Per quanto tempo il prodotto verrà aggiornato? Chi può interromperne il funzionamento? Quale rischio residuo viene lasciato sulle spalle dell’utente?
Le vulnerabilità digitali hanno conseguenze sulle persone
Sono domande giuridiche, ma anche costituzionali. La cybersicurezza, infatti, non protegge soltanto reti, server e dispositivi. Protegge le persone che da quelle infrastrutture ormai dipendono. Una falla in un giocattolo connesso può esporre un bambino; in un dispositivo medico può incidere sulla salute; in un sistema utilizzato dalla pubblica amministrazione può compromettere l’accesso a un servizio essenziale; in una piattaforma informativa può mettere a rischio la riservatezza delle comunicazioni o la libera formazione delle opinioni. Dietro la sicurezza digitale si trova dunque una costellazione di valori molto concreta: dignità, riservatezza, autonomia individuale, tutela della salute, continuità dei servizi e fiducia collettiva.
La sicurezza digitale come condizione della libertà
La sicurezza non è un valore astratto da contrapporre automaticamente alla libertà. È spesso la condizione che permette alla libertà di essere esercitata davvero. Se una persona non può sapere se il dispositivo che utilizza è sicuro, se i suoi dati possono essere sottratti o se un servizio essenziale può essere facilmente interrotto, la sua autonomia rimane soltanto apparente. La prospettiva europea è significativa proprio perché prova a collegare mercato e diritti. Il produttore conserva la libertà di innovare, ma deve assumersi anche la responsabilità delle fragilità che introduce nella società. Il consumatore, dal canto suo, non può essere lasciato solo a difendersi da rischi che non possiede gli strumenti tecnici per conoscere o valutare.
Perché il cyber resilience act lega innovazione e responsabilità
Esiste un’evidente asimmetria informativa e di potere tra chi progetta un prodotto digitale e chi lo acquista. La regolazione serve anche a riequilibrare questa distanza. La segnalazione delle vulnerabilità acquista allora un significato che va oltre l’adempimento. Trasforma la conoscenza dell’incidente in una responsabilità verso l’intero ecosistema digitale. Tacere o ritardare non espone soltanto l’azienda: può lasciare vulnerabili migliaia di persone e altre organizzazioni che utilizzano lo stesso prodotto. La condivisione tempestiva delle informazioni diventa così uno strumento di solidarietà tecnologica, necessario in un ambiente nel quale le debolezze di un singolo componente possono propagarsi lungo un’intera catena di fornitura.
La vera novità dell’11 settembre non risiede, quindi, soltanto nei termini brevi delle notifiche. Sta nell’affermazione di un principio più ambizioso: innovazione e responsabilità non possono più essere separate. La cybersicurezza diventa parte della qualità del prodotto, della cultura dell’impresa e della tutela effettiva dei diritti. Non serve a frenare la tecnologia, ma a impedire che il costo della sua insicurezza venga trasferito silenziosamente sugli utenti e sulla collettività. È in questo punto di incontro tra tecnica, diritto e valori che si misura oggi la resilienza di una società digitale.
Partecipa alla community