11/09/2026
Da oggi, 11 settembre, entra in vigore una delle prime parti operative del Cyber Resilience Act.
In pratica, per i produttori interessati dalla normativa, alcune vulnerabilità sfruttate attivamente e gli incidenti gravi di sicurezza dovranno essere segnalati molto rapidamente: il primo avviso va fatto entro 24 ore.
Al di là dell'aspetto normativo, per noi il punto interessante è un altro.
Da anni hardware e software si stanno fondendo sempre di più. Un tornello, un lettore, un sensore, un dispositivo IoT o qualsiasi apparato connesso non è più soltanto “hardware”: ha firmware, software, librerie, servizi esterni, aggiornamenti e, inevitabilmente, anche vulnerabilità da gestire.
E quindi non basta più costruire qualcosa che funzioni bene il giorno della consegna.
Bisogna sapere cosa c'è dentro, poterlo aggiornare, capire quando nasce un problema e intervenire senza dover scoprire tutto da capo mesi dopo.
Sembra banale, ma non lo è affatto.
Soprattutto perché molti prodotti connessi vengono ancora trattati come se, una volta installati, potessero restare lì per anni. Una specie di soprammobile molto costoso, però con una porta aperta su Internet. 😄
Il Cyber Resilience Act diventerà pienamente applicabile nel 2027, ma la direzione è ormai evidente: chi produce tecnologia dovrà ragionare sempre di più sul ciclo di vita completo del prodotto, non solo sulla sua consegna.
E, francamente, era ora.
