Dopo l’entrata in vigore del Cyber Resilience Act (CRA), la Commissione europea ha pubblicato la bozza delle linee guida applicative, aprendo una consultazione pubblica. L’obiettivo è aiutare le aziende a orientarsi tra gli obblighi del regolamento sulla cybersicurezza dei prodotti digitali, con un’attenzione particolare alle piccole e medie imprese, al software open source e ai servizi di elaborazione dati da remoto. I chiarimenti arrivano in un momento cruciale, mentre il mercato si prepara alla piena applicazione prevista per il 2027.
Perché le linee guida sono importanti
Il CRA introduce requisiti di sicurezza per tutti i prodotti con elementi digitali immessi sul mercato UE, dai dispositivi IoT ai software. Le linee guida mirano a ridurre l’incertezza interpretativa, spiegando nel dettaglio cosa significhi “immissione sul mercato”, come gestire gli aggiornamenti di sicurezza e quali sono le responsabilità per produttori, importatori e distributori. Senza questi chiarimenti, molte aziende rischierebbero di non conformarsi o di sostenere costi inutili.
Cosa chiariscono su Pmi e software open source
Uno dei nodi più delicati riguarda il trattamento del software libero: la bozza precisa che gli sviluppatori open source non sono considerati “fabbricanti” se il software viene fornito al di fuori di un’attività commerciale. Tuttavia, se il codice viene integrato in prodotti a pagamento, scattano gli obblighi. Per le Pmi, le linee guida offrono esempi concreti su come applicare i requisiti in modo proporzionato, suggerendo l’uso di standard tecnici e procedure semplificate di valutazione della conformità.
Impatto sui servizi cloud e coordinamento normativo
Il documento chiarisce anche quando i servizi di elaborazione dati da remoto rientrano nell’ambito del CRA, distinguendo tra soluzioni SaaS e infrastrutture cloud. Inoltre, spiega il rapporto con altre normative europee come il regolamento sull’intelligenza artificiale (AI Act) e la direttiva NIS2, per evitare duplicazioni e garantire un quadro coerente. Chi sviluppa modelli di AI integrati in prodotti fisici dovrà gestire entrambi i regimi, ma le linee guida offrono una mappa per ridurre gli attriti.
Prossime tappe: consultazione pubblica e scadenze
La consultazione sulla bozza è aperta a tutti gli stakeholder e rappresenta un’occasione per influenzare la versione finale. Le imprese hanno tempo fino a fine 2027 per adeguarsi pienamente, ma la Commissione proseguirà il dialogo con le parti interessate.