04/11/2026

digital

Cyber Resilience Act e le sfide per le PMI tra conformità e sicurezza reale

Donelli (SimpleCyb): l'analisi dei rischi digitali deve evolvere costantemente per proteggere le infrastrutture aziendali

La crescente diffusione di dispositivi connessi, software e servizi digitali ha ampliato la superficie di attacco delle imprese, rendendo la sicurezza informatica una questione che riguarda non solo le infrastrutture aziendali, ma anche i prodotti e le tecnologie da cui dipendono le attività quotidiane.
In questo scenario, una vulnerabilità può emergere anche molto tempo dopo l'immissione di un prodotto sul mercato, quando cambiano le minacce, vengono individuate nuove falle o gli aggiornamenti non vengono gestiti tempestivamente.
È in questo contesto che si inserisce il Cyber Resilience Act (CRA), il regolamento europeo che introduce requisiti di cybersicurezza per i prodotti con elementi digitali. La sua portata va oltre la progettazione iniziale in quanto la sicurezza dovrà essere considerata lungo il ciclo di vita del prodotto, dalla gestione delle vulnerabilità agli aggiornamenti, fino alla comunicazione dei problemi individuati. La cybersecurity europea sta quindi entrando in una fase in cui non sarà più sufficiente chiedersi se un prodotto sia stato progettato in modo sicuro, ma anche come venga mantenuto, aggiornato e gestito nel tempo.

Sebbene gli obblighi riguardino principalmente i produttori, l'impatto del regolamento si estende anche alle piccole e medie imprese che acquistano, integrano e utilizzano queste tecnologie. Per loro, il CRA rappresenta un'occasione per ripensare il modo in cui viene governato il rischio digitale, considerando la sicurezza non come una caratteristica acquisita una volta per tutte, ma come una responsabilità da gestire lungo l'intero ciclo di vita dei prodotti.


Il problema non è soltanto avere prodotti sicuri, ma sapere quando smettono di esserlo

Una vulnerabilità può emergere anche molto tempo dopo l'installazione di un dispositivo, quando ormai è diventato parte integrante delle attività aziendali. Può trattarsi, per esempio, di un sistema che gestisce gli accessi, supporta la produzione, conserva dati o consente a un fornitore di collegarsi da remoto. Il rischio nasce spesso dal fatto che un prodotto continua a essere utilizzato anche quando le sue condizioni di sicurezza cambiano. Un dispositivo può funzionare regolarmente pur non ricevendo più aggiornamenti, un'applicazione può dipendere da componenti vulnerabili e un apparato installato anni prima può mantenere credenziali predefinite o servizi esposti di cui l'azienda ha perso traccia. Senza controlli periodici, queste criticità possono passare inosservate fino a diventare un problema concreto per l'impresa.

Il rischio, quindi, non dipende esclusivamente dalla qualità del prodotto al momento dell'acquisto. Ma anche dalla capacità dell'organizzazione di sapere che cosa si possiede, da quali sistemi dipende e chi è responsabile della sua manutenzione.


La conformità del fornitore non sostituisce la sicurezza dell'utilizzatore

È importante chiarire che il CRA non impone gli stessi obblighi a tutti gli attori coinvolti. Le responsabilità variano in base al ruolo ricoperto: i produttori, per esempio, devono rispettare requisiti specifici di cybersecurity e gestire le vulnerabilità dei prodotti, mentre le aziende che li acquistano e utilizzano non sono automaticamente soggette agli stessi obblighi. Le principali disposizioni del regolamento si applicheranno dall'11 dicembre 2027, mentre gli obblighi di segnalazione previsti dall'articolo 14 per i produttori entreranno in vigore l'11 settembre 2026.

Questa distinzione, però, non elimina le responsabilità pratiche delle imprese che utilizzano questi prodotti, chiamate comunque a valutarne la sicurezza e a gestire i rischi per la propria operatività.
Un prodotto conforme non rende automaticamente sicura la rete in cui viene inserito. Le sue protezioni possono essere configurate male, gli accessi amministrativi possono essere troppo estesi e le comunicazioni con altri sistemi possono creare percorsi di attacco inattesi. La sicurezza dipende, quindi, anche dal contesto in cui la tecnologia viene utilizzata.
Per una PMI, questo significa che non basta acquistare soluzioni aggiornate, occorre verificare come vengono configurate, quali privilegi vengono assegnati, quali aggiornamenti sono disponibili e come viene rilevato un comportamento anomalo.

Il vero punto debole può essere ciò che l'azienda non sa di avere

Le organizzazioni più piccole spesso operano con infrastrutture cresciute nel tempo come un server aggiunto per esigenze produttive, un accesso remoto attivato da un fornitore, un dispositivo connesso installato senza coinvolgere il reparto IT. Non sempre esiste un inventario completo e aggiornato degli asset digitali.
Questa frammentazione rende difficile stabilire quali siano le componenti più esposte, quali aggiornamenti siano prioritari e quali sistemi debbano essere isolati in caso di incidente. Senza una visione sufficientemente aggiornata dell'infrastruttura, anche le misure di sicurezza più sofisticate rischiano di lasciare zone d'ombra.

Per gestire queste criticità, la sicurezza non può essere affidata a controlli sporadici, ma richiede un processo continuo. Il primo passo è sapere quali dispositivi e applicazioni sono presenti in azienda e valutarne i rischi, per poi pianificare gli aggiornamenti, verificare gli accessi e monitorare eventuali anomalie. Se un aggiornamento non può essere installato subito per garantire la continuità operativa, occorre adottare misure alternative per ridurre l'esposizione e definire tempi e modalità per risolvere il problema.


La resilienza nasce dalla capacità di vedere, decidere e intervenire

Per le PMI, il limite non è necessariamente la mancanza di tecnologia, ma la difficoltà di mantenere nel tempo tutte queste attività. La sicurezza richiede competenze, continuità e una chiara attribuzione delle responsabilità, risorse che non sempre possono essere garantite da un team IT interno.

È qui che un modello di sicurezza gestita può offrire un contributo concreto, non sostituendo le responsabilità dell'impresa, ma aiutandola a mantenere visibilità sui propri sistemi, individuare tempestivamente le anomalie e coordinare gli interventi necessari.
Il Cyber Resilience Act dovrebbe quindi essere letto anche come un invito a superare una concezione statica della sicurezza.
La domanda utile per un'impresa non è soltanto se abbia acquistato prodotti conformi, ma se sia in grado di capire quando la propria infrastruttura diventa vulnerabile e di reagire prima che il problema si trasformi in un'interruzione operativa.

La resilienza digitale non si esaurisce in una dichiarazione di conformità. La si costruisce ogni giorno, attraverso la conoscenza degli asset, la gestione delle dipendenze e la capacità di intervenire quando le condizioni cambiano.

Alessandro Donelli, Chief Technology Officer e Board Member di SimpleCyb