CECE: "L'UE ignora gli avvertimenti del settore sulla complessit脿 dell'architettura delle macchine"
26 febbraio 2024
Dopo appena due mesi di negoziati interistituzionali, i responsabili politici dell'UE della presidenza spagnola del Consiglio e del Parlamento europeo hanno raggiunto un accordo sulle principali disposizioni della nuova legge dell'UE sulla sicurezza informatica per i dispositivi connessi, il Cyber Resilience Act (CRA).
Comitato per le attrezzature europee per l'edilizia (CECE)L'accordo sul testo finale 猫 stato raggiunto in tempi record, nonostante gli avvertimenti del settore sulla necessit脿 di evitare di accelerare l'approvazione di questo fondamentale atto legislativo.
Non tiene conto delle esigenze dei produttori di prodotti durevoli in termini di tempi di implementazione adeguati.
In qualit脿 di rappresentante dell'industria europea delle attrezzature per l'edilizia, il CECE critica fermamente la scarsa attenzione data a questa questione.
Una volta entrata in vigore, la CRA sar脿 la prima normativa del suo genere al mondo a introdurre una serie di requisiti di sicurezza per i prodotti connessi, dai giocattoli intelligenti ai macchinari industriali.
Con il suo campo di applicazione molto ampio, che comprende tutti i prodotti con elementi digitali (sia hardware che software, ad eccezione dei pezzi di ricambio) resi disponibili sul mercato e in grado di connettersi a un dispositivo o a una rete, la CRA imporr脿 nuovi obblighi ai produttori durante l'intero ciclo di vita dei prodotti, dalla fase di progettazione e sviluppo, fino all'immissione sul mercato dell'UE.
I prodotti con elementi digitali che rientrano nell'ambito di applicazione della CRA sono classificati nelle categorie predefinite, importanti o critiche con un approccio basato sul rischio.
I produttori saranno pertanto tenuti a effettuare una valutazione della conformit脿 basata sul rischio assegnato di minacce alla sicurezza.
In altre parole, diverse classificazioni dei prodotti richiederanno diverse procedure di valutazione della conformit脿.
Tuttavia, vale la pena notare che l'integrazione di prodotti critici non implica di per s茅 che il prodotto integrato sia soggetto alla stessa procedura di valutazione della conformit脿.
L'approccio del periodo di supporto
La nuova legge sulla sicurezza informatica per i prodotti connessi costituisce un dossier prioritario per i membri del CECE, a causa dell'impatto previsto una volta applicata.
A partire dalla met脿 del 2027, i produttori di attrezzature edili saranno tenuti a rispettare una serie di requisiti di sicurezza essenziali quando immettono sul mercato prodotti con elementi digitali.
Inoltre, gli obblighi legati alla gestione delle vulnerabilit脿 seguiranno l'approccio del "periodo di supporto", che ora si riferisce al periodo di tempo previsto per l'utilizzo di un prodotto (tempo di utilizzo previsto anzich茅 durata prevista) e rifletter脿 le aspettative degli utenti e la natura del prodotto.
Un aspetto positivo risiede nel fatto che i produttori possono prendere in considerazione altri elementi nel determinare la durata del periodo di supporto, come ad esempio i periodi di supporto dei componenti integrati (funzioni principali) forniti da terze parti, in modo da garantire la proporzionalit脿.
La durata minima del periodo di supporto 猫 di 5 anni e tutti gli aggiornamenti di sicurezza resi disponibili all'utente devono rimanere disponibili per almeno 10 anni o per il periodo di supporto rimanente, a seconda di quale sia il periodo pi霉 lungo.
Cosa succeder脿 ora?
Il testo dell'accordo politico provvisorio raggiunto nel trilogo deve essere formalmente approvato sia dal Parlamento che dal Consiglio.
Il testo sar脿 poi pubblicato nella Gazzetta ufficiale dell'UE (pubblicazione prevista per la met脿 del 2024) ed entrer脿 in vigore il ventesimo giorno successivo alla sua pubblicazione.
Il periodo di transizione prima che il CRA diventi applicabile 猫 stato leggermente prorogato di soli 12 mesi.
Le nuove norme sulla sicurezza informatica per i prodotti connessi si applicheranno quindi 36 mesi, ovvero 3 anni, dopo l'entrata in vigore del nuovo regolamento.
Ci貌 dar脿 ai produttori di attrezzature edili un lasso di tempo molto limitato (fino a met脿 del 2027) per conformarsi ai nuovi requisiti di sicurezza informatica.
Questa breve tempistica ignora completamente sia gli avvertimenti del settore sia la complessit脿 dei macchinari prodotti, che ora richiederanno modifiche significative all'intera architettura della macchina.
RESTA CONNESSO
Ricevi le informazioni di cui hai bisogno, quando ne hai bisogno, attraverso le nostre riviste, newsletter e briefing quotidiani leader a livello mondiale.
CONNETTITI CON IL TEAM
