di Fabrizio Garnero
Il Cyber Resilience Act
Essendo nato nel 1971, appartengo, orgogliosamente, alla cosiddetta Generazione X, anche definita“ generazione invisibile” o“ ponte”, avendo vissuto in prima persona la transizione dall’ era analogica a quella digitale. Siamo stati, di fatto, i primi ad aver adottato i personal computer, i primi telefoni cellulari- delle vere e proprie cabine telefoniche ambulanti- e internet in età giovanile o adulta, comprendendo, indicativamente, i nati dal 1965 al 1980. Ciò nonostante, siamo però la generazione che, tuttora, mantiene una profonda comprensione del mondo pre-digitale, anzi, nel mio caso, ne ho quasi nostalgia, sotto certi aspetti. Siamo, infatti, cresciuti in un’ epoca segnata da eventi che ci hanno portato ad allenare la capacità di valutare i fatti con estremo realismo e un pizzico di disincanto. È quindi con quello stesso realismo che, ferma restando l’ assoluta convinzione di dover digitalizzare ed efficientare la nostra industria e il nostro sistema produttivo, della digitalizzazione ne apprezzo gli enormi e indiscussi vantaggi, ma ne valuto con attenzione anche quegli aspetti che hanno prodotto alcune potenziali problematiche in più, con cui fare i conti, in virtù della nostra dipendenza dalle reti informatiche, dal web e, sempre più, dall’ intelligenza artificiale. Il costruttore di macchine utensili è quindi un mestiere sempre più complesso tra competitività internazionale, dazi, rischio geopolitico, sostenibilità e rispetto delle normative europee in fatto di sicurezza e, udite udite, anche di cybersecurity e rischio di attacchi informatici. Tutto questo preambolo, più o meno articolato e condivisibile da chi legge, mi è, infatti, servito per richiamare l’ attenzione sull’ imminente scadenza prevista dal Cyber Resilience Act( CRA) per la segnalazione delle vulnerabilità. Introdotto per la prima
IL CRA STABILISCE I REQUISITI OBBLIGATORI IN MATERIA DI SICUREZZA INFORMATICA DA RISPETTARE
volta dall’ Unione Europea( UE) il 10 dicembre 2024, il CRA stabilisce i requisiti obbligatori in materia di sicurezza informatica che i produttori e i rivenditori di macchine utensili e beni strumentali devono integrare nella pianificazione, nella progettazione, nello sviluppo e nella manutenzione dei propri prodotti dotati di una componente digitale per poter continuare a venderli nei mercati dell’ UE. Sebbene gli obblighi principali della legge non entreranno in vigore fino all’ 11 dicembre 2027, l’ obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi è attivo già dall’ 11 settembre di quest’ anno. A partire da tale data, i costruttori di macchine devono quindi rispettare una procedura di segnalazione articolata su tre livelli presso l’ Agenzia dell’ Unione europea per la sicurezza informatica( ENISA) e i relativi gruppi di risposta agli incidenti di sicurezza informatica, con obblighi di notifica da adempiere entro 24 ore, 72 ore e 14 giorni dal verificarsi di un incidente. Alla luce di ciò, da buon pragmatico quale sono, ho quindi deciso di dedicare questo editoriale al Cyber Resilience Act per richiamare l’ attenzione su un tema poco pubblicizzato ma su cui i costruttori sono chiamati ad agire tempestivamente per farsi trovare pronti e garantire la piena conformità ai nuovi obblighi normativi.
8 Ottobre 2026