Per molte aziende è solo l’ultima sigla da aggiungere all’elenco delle normative europee da rispettare. In realtà, il Cyber Resilience Act (CRA) segna un cambio di passo nel modo in cui l’Europa guarda alla cybersecurity. Il regolamento introduce requisiti obbligatori per la sicurezza dei prodotti con elementi digitali e sposta l’attenzione su un paradigma destinato a diventare centrale: la sicurezza cyber diventa una caratteristica essenziale del prodotto. Cosa significa, in concreto, per chi sviluppa software, produce dispositivi connessi o porta sul mercato tecnologie digitali? Perché il Cyber Resilience Act è considerato una svolta?
Indice degli argomenti
Cyber Resilience Act, perché cambia il punto di vista
Anzitutto perché cambia il punto di vista. Finora ci siamo concentrati soprattutto sulla protezione delle infrastrutture o delle organizzazioni. Con il CRA, invece, il legislatore europeo mette il prodotto al centro. Se un dispositivo o un software arriva sul mercato, deve essere progettato pensando anche alla sua sicurezza. Non basta correggere i problemi quando emergono: bisogna prevenirli il più possibile. Il fatto che riguardi solo le grandi aziende tecnologiche è un equivoco che sentiamo spesso. Il regolamento coinvolge una platea molto ampia: produttori di hardware e software, aziende che realizzano dispositivi IoT, sviluppatori di componenti digitali e, più in generale, chi immette sul mercato europeo prodotti con elementi digitali. Anche importatori e distributori hanno le loro responsabilità specifiche. In pratica, tutta la filiera dovrà fare la propria parte per i rispettivi ambiti di riferimento.
Dal nuovo obbligo alla revisione dei processi
Negli ultimi anni le aziende hanno dovuto confrontarsi con NIS2, DORA e altre iniziative a livello europeo. Il rischio è vedere il CRA solo come un altro obbligo da rispettare. In realtà il messaggio è diverso: il regolamento invita le imprese a rivedere il modo in cui sviluppano e gestiscono i propri prodotti. Se questo percorso viene affrontato per tempo, può tradursi in una maggiore affidabilità e in un vantaggio competitivo, ma senza dubbio la parte più complessa riguarderà sia l’ambito organizzativo che tecnologico. Alcune imprese possiedono già strumenti e competenze, ma spesso mancano processi formalizzati. Il CRA richiede di documentare come viene sviluppato il software, gestire le vulnerabilità con procedure precise, garantire aggiornamenti di sicurezza e definire le responsabilità in modo chiaro. Sono aspetti che coinvolgono non solo l’IT, ma anche R&D, Legal, Quality. Dal punto di vista tecnologico sicuramente le attività relative all’identificazione delle vulnerabilità e – soprattutto – la gestione e distribuzione delle patch sarà sfidante per le aziende. Specialmente quelle i cui prodotti sono largamente diffusi in diverse aree geografiche.
Security by design e resilienza digitale europea
Uno dei concetti chiave è la “security by design“ perché sposta la sicurezza all’inizio del progetto. In passato era frequente intervenire alla fine dello sviluppo, magari poco prima del rilascio. Oggi questo approccio non è più sufficiente. La sicurezza deve accompagnare tutto il ciclo di vita del prodotto: dalla progettazione ai test, fino agli aggiornamenti successivi. È un cambiamento dal punto di vista culturale prima ancora che tecnologico, senza dimenticare che il CRA nel quadro normativo europeo fa parte di una strategia molto più ampia. Non va letto separatamente, ma insieme a normative come NIS2 e DORA, che perseguono lo stesso obiettivo: rafforzare la resilienza digitale europea. Per questo il nostro suggerimento alle aziende è quello di evitare progetti separati per ogni regolamento. Ha molto più senso costruire una governance unica, capace di rispondere ai diversi requisiti normativi.
Come prepararsi al Cyber Resilience Act
Le aziende che vogliono arrivare preparate devono anzitutto capire quali prodotti rientrano nell’ambito del regolamento. Sembra banale, ma è da quel punto che comincia tutto. Il passo successivo è misurare il livello di maturità dell’organizzazione. Vale a dire capire cosa funziona già, dove esistono e se ci sono lacune e quali interventi hanno la priorità rispetto ad altri. Solo a quel punto si può pensare di costruire un percorso realistico. Adeguarsi al CRA non significa compilare qualche documento in più. Richiede un lavoro che coinvolge persone, processi e tecnologie e che difficilmente si conclude in pochi mesi. Chi parte oggi avrà più margine per fare le cose con metodo e trasformare un obbligo normativo in un investimento sul valore dei propri prodotti. Tra l’altro per supportare le aziende a comprendere meglio come il regolamento possa impattarle, Deloitte ha lanciato un self-assessment disponibile in maniera totalmente gratuita.
Cybersecurity dei prodotti digitali come fattore competitivo
In conclusione, il Cyber Resilience Act introduce certamente nuovi obblighi, ma ridurlo a un semplice esercizio di compliance sarebbe un errore. Il regolamento chiede alle imprese di ripensare il modo in cui progettano, sviluppano e mantengono i propri prodotti digitali, con l’obiettivo di renderli più sicuri e più affidabili. In un mercato in cui la fiducia è diventata un fattore competitivo, investire oggi nella resilienza informatica significa non solo ridurre i rischi, ma anche rafforzare il proprio posizionamento nel lungo periodo.
Partecipa alla community