CIBERSICUREZZA DEI PRODOTTI DIGITALI
Disposizioni per l’adeguamento della normativa nazionale al regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica i regolamenti (UE) n. 168/2013 e (UE) 2019/1020 e la direttiva (UE) 2020/1828 (regolamento sulla ciberresilienza) (decreto legislativo – esame preliminare)
Il 2 ottobre 2026, il Consiglio dei ministri, su proposta del Presidente Giorgia Meloni e del Ministro per gli affari europei, il PNRR e le politiche di coesione Tommaso Foti, ha approvato, in esame preliminare, un decreto legislativo che adegua la normativa nazionale al regolamento europeo sulla ciberresilienza, che fissa requisiti di cibersicurezza per i prodotti hardware e software immessi sul mercato dell’Unione. Il regolamento prevede che i prodotti siano sicuri fin dalla progettazione e per l’intero ciclo di vita, con obblighi a carico di fabbricanti, importatori e distributori, tra cui la gestione delle vulnerabilità, gli aggiornamenti di sicurezza e la segnalazione degli incidenti gravi.
Il decreto individua nell’Agenzia per la cybersicurezza nazionale (ACN) l’autorità di notifica degli organismi di valutazione della conformità, la cui valutazione e il cui controllo sono affidati all’organismo nazionale di accreditamento. L’ACN è anche l’autorità di vigilanza del mercato e può avvalersi della Guardia di finanza.
Altre autorità vigilano negli ambiti di propria competenza:
- per i prodotti classificati anche come sistemi di intelligenza artificiale ad alto rischio, le autorità competenti ai sensi della disciplina nazionale sull’intelligenza artificiale;
- nei confronti degli istituti finanziari vigilati, la Banca d’Italia, la Commissione nazionale per le società e la borsa (CONSOB) e l’Istituto per la vigilanza sulle assicurazioni (IVASS);
- per i profili di sua competenza, il Garante per la protezione dei dati personali.
Le autorità operano in coordinamento, anche attraverso accordi per lo scambio di informazioni.
Il testo disciplina l’applicazione delle sanzioni amministrative previste dal regolamento da parte di ciascuna autorità secondo le proprie procedure, e la gestione dei reclami dei consumatori, che possono segnalare direttamente al gruppo nazionale di intervento per la sicurezza informatica (CSIRT Italia) vulnerabilità, incidenti e minacce informatiche. Le violazioni del regolamento sono inoltre incluse tra le materie per le quali è possibile promuovere azioni rappresentative a tutela degli interessi collettivi dei consumatori.
A sostegno delle microimprese e delle piccole e medie imprese, comprese le start-up, è previsto un canale dedicato di consulenza, definito dall’ACN e dal Ministero delle imprese e del Made in Italy, e sono stabilite tariffe proporzionate per la valutazione della conformità. È istituito, sotto la supervisione dell’Agenzia, uno spazio di sperimentazione normativa (Sandbox-CRA). Lo spazio offre ambienti di prova controllati per lo sviluppo e la verifica di prodotti innovativi prima dell’immissione sul mercato, con accesso prioritario per le microimprese e le piccole imprese, ed è coordinato con gli spazi di sperimentazione per i servizi finanziari e per l’intelligenza artificiale.
News archive