CRA: prodotti con elementi digitali, non servizi

Il regolamento sulla ciberresilienza (CRA) si concentra sui prodotti hardware e software dotati di componenti digitali, quali dispositivi intelligenti, sistemi operativi o dispositivi IoT. Non disciplina servizi come il cloud computing o le piattaforme online. La distinzione fondamentale rispetto alla NIS2 è che quest’ultima riguarda la cibersicurezza delle organizzazioni e dei servizi da esse forniti, non i prodotti in quanto tali. Se una domanda menziona un termostato intelligente o un giocattolo connesso, si pensi al CRA; se menziona un ospedale o una banca, si pensi alla NIS2.

Per evitare di confonderli, si ricordi che il CRA riguarda oggetti che è possibile acquistare e installare, mentre la NIS2 riguarda soggetti che forniscono servizi critici. Un altro accorgimento: il CRA si applica ai prodotti immessi sul mercato dell’UE, indipendentemente dal luogo in cui ha sede il fabbricante. Se uno scenario descrive un requisito relativo all’aggiornamento software di un router, si tratta dell’ambito del CRA. Per una rapida eliminazione, ci si chieda: riguarda un prodotto tangibile o le attività operative di un’organizzazione? La risposta indica il regolamento pertinente.

Un modo sintetico per mettersi alla prova: se una domanda elenca un altoparlante intelligente, un’automobile connessa e un servizio cloud, quali rientrano nel CRA? I primi due, perché sono prodotti con elementi digitali; il servizio cloud è invece un servizio e rientra quindi nella NIS2. Tenendo presente questa distinzione tra prodotto e servizio, non si confonderanno i due atti.