Nascondere un attacco informatico è diventato illegale in Europa — i produttori hanno 24 ore per segnalarlo

Vendere un dispositivo connesso in Europa comporta ora un obbligo che non esisteva la settimana scorsa: scoprire un attacco informatico o un grave incidente di sicurezza impone di notificare le autorità entro 24 ore. Il Cyber Resilience Act dell’UE ha superato questa settimana la sua prima importante soglia di attuazione, e la tempistica è specifica – una notifica più completa segue entro 72 ore, con un rapporto finale entro 14 giorni dalla disponibilità di una correzione, o entro un mese per incidenti di portata maggiore.

L’obbligo copre ciò che la legge chiama ‘prodotti con elementi digitali’ – una categoria abbastanza ampia da includere smartphone, termostati intelligenti, router connessi, app per il fitness e piattaforme cloud. In modo critico, si applica ai prodotti già presenti sul mercato UE, non solo alle nuove uscite. Un dispositivo commercializzato due anni fa e ancora in uso rientra nell’ambito se ha funzionalità connesse. Il software gratuito distribuito commercialmente ricade sotto le stesse regole.

Prima dell’11 settembre, il rapporto tra un produttore e un incidente di sicurezza era in gran parte regolato da policy interne. Le aziende rendevano noti gli attacchi quando sceglievano di farlo, spesso dopo settimane di revisione interna, consultazione legale e valutazione del rischio di marca. Alcune non li hanno mai divulgati. Ora quella discrezione è venuta meno in Europa. I rapporti vanno al team nazionale di risposta agli incidenti di sicurezza informatica (Computer Security Incident Response Team) dello Stato membro dell’UE in cui si trova la sede principale del produttore, con copia all’Agenzia dell’UE per la cibersicurezza, ENISA, tramite una piattaforma di segnalazione unica dedicata.

Letture consigliateCos’è una violazione dei dati e come funziona davvero un cyberattacco

La questione della preparazione è seria. Quando gli obblighi di segnalazione sono stati finalizzati, i produttori hanno avuto circa tre mesi per costruire l’infrastruttura interna – un inventario dei prodotti interessati, protocolli di escalation chiari e integrazione tecnica con la piattaforma di segnalazione unica. I consulenti legali che lavorano con i produttori avvertono che le finestre temporali non lasciano quasi tempo per costruire il processo dopo l’inizio di un incidente. Un’azienda che scopre una violazione a mezzanotte di venerdì deve presentare il rapporto iniziale entro mezzanotte di sabato, indipendentemente dal fine settimana o dai giorni festivi.

Il beneficio per i consumatori è reale ma indiretto. I produttori devono anche notificare agli utenti interessati gli incidenti di sicurezza e le mitigazioni disponibili. Se un’azienda non notifica tempestivamente gli utenti, le autorità nazionali di cibersicurezza possono intervenire e diramare l’allarme loro stesse. Questo non è un regime di notifica che l’utente medio vedrà sul proprio telefono – opera attraverso canali normativi – ma crea un obbligo esecutivo per cui gli attacchi informatici non possono essere semplicemente assorbiti in silenzio da un team legale.

L’11 settembre è la parte più ristretta dell’obbligo. Il corpo più completo del Cyber Resilience Act – che richiede che i prodotti connessi siano progettati con la sicurezza integrata, impone processi di gestione delle vulnerabilità e introduce valutazioni di conformità per le categorie di prodotto a più alto rischio – non si applica fino all’11 dicembre 2027. Tale scadenza richiede modifiche progettuali, protocolli di test e processi di certificazione che non possono semplicemente essere applicati alle linee di prodotto esistenti in pochi mesi. Il settore ha più di un anno, ma il lavoro tecnico è già in corso presso i principali produttori.

L’approccio dell’UE rende l’Europa il primo grande blocco normativo a imporre tempistiche vincolanti per la divulgazione delle vulnerabilità su tutto il mercato tecnologico di consumo, non solo sulle infrastrutture critiche. La rapidità con cui i CSIRT nazionali svilupperanno la capacità di elaborare questi rapporti – e se l’applicazione delle sanzioni seguirà i fallimenti di divulgazione nei primi mesi – determinerà se l’11 settembre segnerà un vero cambiamento o una scadenza sulla carta.

Tag: sicurezza informatica, Commissione europea, violazione dei dati, Cyber Resilience Act, dispositivi connessi, ENISA

Contenuti simili

Ogni chatbot in Europa deve ora dichiarare di essere un’IA — o chi lo crea paga 15 milioni di euro

Falla Oracle PeopleSoft 9.8/10: ShinyHunters dentro a 100+ organizzazioni per due settimane

TikTok paga 400 milioni di dollari per aver raccolto dati di minori senza consenso dei genitori

Claude ha trovato 10.000 falle critiche in un mese, le patch non arrivano

I TV LG registrano la tua voce in standby e scansionano ogni dispositivo in casa

GlassWorm è vissuto un anno nelle estensioni di VS Code prima di essere smantellato