Accompagnare i soci lungo l’intero percorso di adeguamento, in modo che gli obbligi normativi possano diventare una opportunità concreta per diventare più competitivi: è questo l’obiettivo del Comitato Tecnico sulla cyber security istituito da G.I.S.I.
G.I.S.I. è lieta di annunciare l’istituzione del Comitato Tecnico sulla Cyber Security: l’obiettivo è supportare e aggiornare i soci sugli sviluppi dei regolamenti e delle direttive europee in questo ambito, con particolare riferimento al Cyber Resilience Act (CRA).
Il comitato nasce dall’esigenza di fornire una visione chiara e strutturata degli adempimenti normativi, delle novità legislative in corso di emanazione, e dei percorsi necessari per raggiungere la conformità al Regolamento CRA, che avrà un impatto significativo sul mercato e sulle aziende, in particolare sulle PMI.
Richieste da parte dei soci
La prima riunione del Comitato Tecnico si è tenuta lo scorso gennaio, e ha rappresentato un primo momento di confronto per iniziare a dipanare le principali questioni legate al CRA. In particolare, si è discusso delle criticità e delle difficoltà applicative che le PMI potrebbero incontrare nell’adeguamento al Regolamento, e dei possibili percorsi operativi per affrontare in modo efficace e sostenibile i requisiti richiesti.
Nel corso della riunione sono emerse alcune prime richieste rilevanti, tra cui: la volontà di utilizzare G.I.S.I. come interlocutore istituzionale per avviare un tavolo di confronto con ACN (Agenzia per la Cybersicurezza Nazionale) e ACCREDIA (Ente Italiano di Accreditamento), enti preposti rispettivamente alla definizione delle regole di attuazione e alle attività di ispezione, verifica e certificazione; la possibilità che i soci che dispongono di informazioni, esperienze o feedback provenienti da altri enti, organismi o contesti nazionali ed europei, li condividano a beneficio di tutta l’associazione.
Il quadro normativo è più definito
Nel frattempo, il quadro regolamentare europeo ha continuato a evolversi rapidamente. Il CRA è entrato in vigore il 10 dicembre 2024, ma i principali obblighi introdotti dalla legge si applicheranno dall’11 dicembre 2027, mentre gli obblighi di comunicazione degli incidenti si applicheranno a partire dall’11 settembre 2026. Il 1 dicembre 2025 è stato pubblicato nella Gazzetta Ufficiale dell’Ue il regolamento di esecuzione (UE) 2025/2392, che comprende la descrizione tecnica delle categorie di prodotti con elementi digitali importanti e critici.
Sul fronte italiano, la legge di delegazione europea 2025, approvata definitivamente l’11 marzo dal Senato, conferisce al governo le deleghe per recepire il CRA nell’ordinamento nazionale. L’ACN è designata come autorità di notifica e vigilanza, con stanziamenti di 2,1 milioni di euro per il 2026, e 5,8 milioni previsti per il 2027.
Cosa cambia per le aziende?
I produttori dovranno mantenere aggiornamenti di sicurezza per almeno cinque anni dopo la commercializzazione del prodotto. La mancanza di preparazione può risultare in esclusione dal mercato Ue o in sanzioni fino al 2,5% del fatturato globale annuo. Le sanzioni in caso di inadempienza possono arrivare fino a 15 milioni di euro. Circa il 90% dei prodotti potrà ricorrere all’autocertificazione, mentre i prodotti classificati come “importanti” o “critici” richiederanno rispettivamente audit di terze parti o certificazione esterna obbligatoria.
Le PMI beneficiano di procedure semplificate e tariffe ridotte per le valutazioni di conformità, ma devono sviluppare competenze interne di cybersicurezza e avviare per tempo i processi di adeguamento, tenuto conto che le scadenze si avvicinano e che la complessità tecnica e organizzativa richiede una pianificazione strutturata.
I prossimi passi del comitato
G.I.S.I. intende ora costituire il gruppo di lavoro operativo del Comitato Tecnico e organizzare una prossima riunione operativa, finalizzata alla definizione di un piano di lavoro condiviso. L’obiettivo è accompagnare i soci lungo l’intero percorso di adeguamento, trasformando un obbligo normativo complesso in un’opportunità concreta di rafforzamento competitivo.
