Per anni la normativa europea sulla cybersicurezza ha guardato soprattutto a una cosa: come reagiamo quando qualcosa va storto. Come rispondiamo a un incidente, come proteggiamo i dati una volta che sono a rischio. Il Cyber Resilience Act ribalta la prospettiva. Non guarda più solo alla reazione: mette sotto esame il prodotto stesso. Fissa requisiti di sicurezza obbligatori che nascono già sul tavolo di progettazione e accompagnano il prodotto per tutta la sua vita sul mercato.
E il suo raggio d’azione è vastissimo. Il regolamento riguarda la gran parte del software e dei dispositivi connessi venduti in Europa. Il principio è tanto semplice quanto rivoluzionario: un prodotto non può arrivare sul mercato portandosi dietro vulnerabilità note e sfruttabili. Deve avere protezioni proporzionate ai rischi che comporta e processi documentati per gestire le falle che emergono dopo il lancio. Prima di poter essere venduto, il fabbricante deve completare le valutazioni di conformità, spesso in forma di autovalutazione, e, nei casi previsti dalla legge, apporre la marcatura CE: la firma che certifica il rispetto dei requisiti dell’Unione Europea.
Dietro tutto questo ci sono tre obiettivi chiari:
- Sicurezza vera, dal primo all’ultimo giorno. Non basta essere sicuri il giorno in cui si esce dalla fabbrica: il prodotto deve restarlo per tutto il ciclo di vita.
- Una sola regola, una sola CE, valida ovunque. Basta rincorrere ventisette normative diverse: un unico standard europeo, riconosciuto da tutti.
- Trasparenza verso chi acquista. Chi compra ha il diritto di sapere quanto è sicuro un prodotto e per quanto tempo riceverà aggiornamenti.
E non è teoria lontana nel tempo: questi obiettivi cominciano a “pesare” già dall’11 settembre 2026.