Produttori UE, allerta cyber entro 24 ore

Dall’11 settembre, ogni azienda che vende nell’UE, con il proprio marchio, un dispositivo connesso o un software commerciale ha 24 ore per avvertire le autorità quando scopre che degli aggressori stanno sfruttando una vulnerabilità del prodotto. L’obbligo riguarda anche quelli già sul mercato, compresi i dispositivi venduti da tempo (Regulation, European Commission). In un giorno, le autorità informatiche di tutta l’UE possono così venire a conoscenza di un attacco. La segnalazione, però, non installa una correzione sui dispositivi degli utenti.

L’obbligo di segnalazione è la prima parte del Cyber Resilience Act, la legge europea sulla sicurezza dei prodotti, a entrare in vigore. Le regole sulla progettazione si applicheranno soltanto dall’11 dicembre 2027 (ENISA).

Quando parte il conto alla rovescia

La segnalazione scatta in due casi: quando vi sono prove attendibili che qualcuno abbia sfruttato una vulnerabilità per fini malevoli senza il permesso del proprietario, oppure quando un incidente grave compromette la sicurezza del prodotto, anche in assenza di una vulnerabilità accertata. Se un ricercatore segnala in privato un difetto senza indizi di attacco, l’obbligo non scatta, secondo le indicazioni del centro nazionale olandese per la cybersicurezza (Dutch NCSC).

Il conto alla rovescia parte quando il produttore viene a conoscenza del problema, non quando gli aggressori colpiscono per la prima volta e nemmeno quando è pronta una correzione. Entro 24 ore va inviata una prima segnalazione; quella completa deve arrivare entro 72 ore, calcolate dallo stesso momento e non dal primo invio (ENISA FAQ).

La relazione finale va presentata in seguito, entro una scadenza che varia a seconda che la segnalazione riguardi una vulnerabilità sfruttata o un incidente. Il produttore deve inoltre spiegare agli utenti interessati come proteggersi (Regulation).

Dove arriva la segnalazione

Tutte le segnalazioni passano dalla Single Reporting Platform, gestita da ENISA, l’agenzia dell’UE per la cybersicurezza. Il produttore invia la propria al CSIRT del Paese in cui ha la sede principale nell’UE: il CSIRT è la squadra nazionale che gestisce le emergenze informatiche e inoltra la segnalazione ai suoi omologhi di ogni Paese in cui il prodotto è venduto (ENISA).

Le segnalazioni non sono pubbliche e alcune riguarderanno vulnerabilità ancora prive di correzione; in casi eccezionali, il gruppo incaricato del coordinamento può quindi ritardarne la trasmissione, senza che questo modifichi le scadenze del produttore (Regulation). La norma risponde a un rischio concreto: i dettagli di una vulnerabilità senza correzione diventano più pericolosi man mano che si diffondono.

Chi deve farsi trovare pronto

Per «produttore» si intende chi vende il prodotto con il proprio nome, indipendentemente dalla sede o dalle dimensioni dell’azienda. La definizione comprende tanto il sistema di manutenzione a distanza di un costruttore tedesco di macchinari quanto l’app commerciale di un’impresa irlandese, anche se si scarica gratuitamente (Silicon Republic).

Gran parte dell’impegno è organizzativo: una persona autorizzata a inviare la segnalazione deve poter individuare un attacco, valutarlo e comunicarlo anche di domenica notte. L’11 settembre, l’associazione tedesca di ingegneria elettrica VDE ha invitato i produttori a predisporre procedure di rilevamento e di escalation (VDE).

Poco prima dell’avvio, la stampa francese ha riferito che le segnalazioni dovevano essere inviate manualmente, senza un’interfaccia per l’invio automatico (ZDNet France). Ogni invio dipende quindi dalla disponibilità di una persona nel momento in cui parte il conto alla rovescia.

Le aziende che non rispettano le scadenze rispondono alle autorità nazionali di vigilanza del mercato, che possono indagare sulla conformità dei prodotti e multare chi viola le regole. Le sanzioni possono arrivare a 15 milioni di euro o al 2,5% del fatturato mondiale (Regulation). Gli annunci di avvio illustrano la procedura, ma non indicano quante segnalazioni siano già arrivate (ENISA, European Commission).

L’Europa dispone ora di un canale unico per trasmettere alle squadre nazionali di cybersicurezza di tutti i Paesi in cui un prodotto viene venduto ciò che il produttore sa di un attacco, anche se il dispositivo è sul mercato da anni ed è ancora in uso. Le autorità apprendono così le notizie più in fretta; gli utenti sono protetti solo quando una correzione funzionante raggiunge i loro dispositivi.

ENISA e Commissione europea potranno valutare se le segnalazioni più rapide portino anche a correzioni più tempestive pubblicando due dati: quante segnalazioni arrivano e quanto attendono gli utenti prima di ricevere una correzione.