La Commissione europea ha pubblicato delle linee guida non vincolanti volte ad assistere i produttori, gli sviluppatori e le imprese con riguardo all’adempimento degli obblighi previsti dal Cyber Resilience Act (CRA – Regolamento 2024/2847/UE).
In tale contesto si ricorda come dall’11 settembre diventi obbligatorio segnalare le vulnerabilità e i gravi incidenti per i produttori che abbiano elementi all’interno del mercato UE.
Il citato Regolamento, si ricorda, definisce i requisiti comuni in materia di sicurezza informatica per i prodotti con elementi digitali.
Lo scopo del Regolamento è rafforzare l’approccio dell’UE alla sicurezza informatica, affrontare la resilienza informatica a livello europeo e a migliorare il funzionamento del mercato interno, stabilendo un quadro giuridico uniforme per i requisiti essenziali di sicurezza informatica relativi all’immissione sul mercato dell’UE di prodotti con elementi digitali, nonché durante il ciclo di vita di un prodotto con elementi digitali.
In tale contesto si ricorda come l’art. 26 par. 1 del CRA contenga uno specifico mandato per la Commissione UE relativo alla pubblicazione di linee guida per assistere gli operatori economici nell’applicazione del Regolamento, con particolare attenzione alla facilitazione dell’adempimento da parte delle microimprese e delle PMI.
Il par. 2 del medesimo articolo prevede gli elementi minimi che la Commissione UE è chiamata a disciplinare nella citate linee guida. In particolare, tali elementi minimi sono: l’ambito di applicazione del Cyber Resilience Act, la nozione di “periodi di assistenza”, l’interazione tra il CRA e altre normative dell’UE e il concetto di modifica sostanziale.
Il documento in oggetto è suddiviso in nove sezioni con esempi e casi d’uso concreti. In aggiunta, la linee guida contengono orientamenti interpretativi concernenti:
- l’ambito di applicazione del Regolamento e la disciplina dell’immissione sul mercato dei prodotti
- i software gratuiti e open source
- le modifiche sostanziali e la gestione delle parti di ricambio
- il periodo di supporto
- i prodotti critici e importanti dotati di elementi digitali
- la valutazione dei rischi e l’integrazione di più prodotti dotati di elementi digitali
- il remote data processing
- la gestione delle vulnerabilità, gli obblighi di segnalazione e l’interazione con le altre legislazioni.
