Nel Cyber Resilience Act, chi apporta una modifica sostanziale a un prodotto con elementi digitali assume automaticamente gli obblighi del fabbricante originario: conformità CE, gestione delle vulnerabilità, notifiche agli organismi competenti e supporto per l’intera durata del ciclo di vita. Manutentori, integratori di sistema e operatori white label sono i soggetti più esposti. Uno studio che assiste questi clienti deve oggi saper qualificare giuridicamente l’intervento tecnico prima che il prodotto ritorni sul mercato.
Punti chiave
- Chi modifica sostanzialmente un prodotto digitale diventa fabbricante ai sensi del CRA con tutti gli obblighi connessi.
- La soglia ‘sostanziale’ si misura sugli effetti sulla cybersicurezza o sulla destinazione d’uso del prodotto.
- Manutentori e operatori white label rischiano responsabilità diretta se non eseguono una nuova valutazione di conformità.
Se il tuo cliente integra, personalizza o ribrandizza prodotti software o hardware, potrebbe già essere qualificabile come fabbricante ai sensi del Cyber Resilience Act — con tutto ciò che ne consegue in termini di obblighi di conformità, notifica degli incidenti e gestione delle vulnerabilità. Questo non è un rischio futuro: il CRA si applica progressivamente a partire dal 2025 e le imprese devono strutturarsi adesso.
Lo spiega con chiarezza un’analisi pubblicata da Agenda Digitale: nel Cyber Resilience Act (Regolamento UE 2024/2847), la qualificazione di «modifica sostanziale» non dipende dall’entità tecnica dell’intervento, ma dai suoi effetti sulla cybersicurezza del prodotto o sulla sua destinazione d’uso. Chi supera quella soglia subentra al fabbricante originario con obblighi pieni.
Il contesto normativo
Il Regolamento UE 2024/2847 (Cyber Resilience Act), pubblicato in Gazzetta Ufficiale UE il 20 novembre 2024, definisce all’art. 3, n. 37, la «modifica sostanziale» come quella che incide sul livello di cybersicurezza del prodotto o ne altera la destinazione d’uso prevista. L’art. 14 stabilisce che chiunque immetta sul mercato un prodotto che ha subito una modifica sostanziale deve essere trattato come fabbricante, con conseguente applicazione degli artt. 13-24 del regolamento: obblighi di valutazione della conformità, marcatura CE, documentazione tecnica, gestione delle vulnerabilità per l’intero ciclo di vita del prodotto (fino a 5 anni per la maggior parte dei casi) e notifica degli incidenti significativi all’ENISA e alle autorità nazionali entro 24 ore dalla rilevazione. Sul versante del diritto interno, la responsabilità del produttore ex artt. 114 e ss. del d.lgs. 206/2005 (Codice del Consumo) si sovrappone al quadro CRA: un’errata qualificazione del ruolo espone il cliente a responsabilità concorrenti.
Cosa cambia per lo studio
- Audit contrattuale urgente per integratori e reseller. I contratti di distribuzione e white label che non allocano esplicitamente la responsabilità da «modifica sostanziale» espongono entrambe le parti. Bisogna rivedere clausole di indennizzo, garanzia e manleva prima che il prodotto entri nel mercato UE.
- Qualificazione preventiva dell’intervento tecnico. Prima di consigliare al cliente di rimettere in commercio un prodotto modificato, occorre ottenere una valutazione tecnica scritta che documenti se la modifica incide sulla cybersicurezza o sulla destinazione d’uso. Questo documento è la prima difesa in caso di contestazione.
- Obbligo di notifica a 24 ore. Se il cliente assume il ruolo di fabbricante, deve disporre di procedure interne per rilevare e notificare incidenti significativi all’ENISA entro 24 ore e fornire un report completo entro 72 ore. Lo studio può essere chiamato a redigere o validare queste procedure.
- Supporto post-vendita per 5 anni. Il fabbricante-subentrante è tenuto a garantire aggiornamenti di sicurezza per tutta la durata del supporto atteso, che il CRA fissa in almeno 5 anni per la generalità dei prodotti. I contratti con i clienti finali devono riflettere questo vincolo.
- Responsabilità dell’operatore white label. Chi appone il proprio marchio su un prodotto altrui senza modificarlo tecnicamente non è fabbricante ai sensi del CRA, ma se aggiunge funzionalità o ne cambia il firmware, il regime cambia radicalmente. La linea di confine va tracciata caso per caso con documentazione adeguata.
Attenzione a
Sottovalutare le modifiche «minori». Un aggiornamento firmware che corregge vulnerabilità note ma introduce nuove superfici d’attacco può essere qualificato come modifica sostanziale anche se l’intenzione del cliente era conservativa. Senza una valutazione tecnica formale, il rischio di contestazione da parte delle autorità di vigilanza nazionale è concreto e difficile da gestire ex post.
Confondere il regime CRA con la direttiva NIS2. I due strumenti coesistono e si sovrappongono parzialmente per i soggetti essenziali e importanti. Un cliente che ricade sotto entrambi i regimi ha obblighi di notifica e sicurezza distinti, con autorità competenti diverse. Trattarli come un unico adempimento è un errore che può costare sanzioni su due fronti.
Domande frequenti
Quando una modifica a un prodotto software diventa sostanziale secondo il CRA?
Secondo l’art. 3, n. 37 del Regolamento UE 2024/2847, una modifica è sostanziale quando altera il livello di cybersicurezza del prodotto o ne cambia la destinazione d’uso prevista. Non conta la complessità tecnica dell’intervento, ma il suo impatto funzionale e di sicurezza. Una valutazione tecnica documentata è lo strumento per tracciare il confine.
Un operatore white label che ribrandizza un prodotto diventa fabbricante ai sensi del CRA?
Solo se apporta modifiche che alterano cybersicurezza o destinazione d’uso. Il semplice rebranding senza interventi tecnici non fa scattare il regime del fabbricante. Ma qualsiasi personalizzazione del firmware, del software o delle funzionalità può superare la soglia e attivare tutti gli obblighi degli artt. 13-24 del CRA, incluse notifiche e supporto quinquennale.
Entro quanto tempo va notificato un incidente di sicurezza se il mio cliente è diventato fabbricante per effetto del CRA?
Il CRA impone una notifica preliminare all’ENISA e alle autorità nazionali entro 24 ore dalla rilevazione dell’incidente significativo, seguita da un report completo entro 72 ore. Il cliente deve avere procedure interne operative prima di immettere il prodotto sul mercato, non dopo il primo incidente.
Fonte di riferimento: AgendaDigitale