Negli ultimi mesi il Cyber Resilience Act (CRA) ha monopolizzato il dibattito sulla sicurezza dei prodotti con elementi digitali. È comprensibile: introduce requisiti di cyber security lungo l’intero ciclo di vita del prodotto, impone la gestione delle vulnerabilità, disciplina gli aggiornamenti di sicurezza e rende il principio del secure by design un vero e proprio obbligo normativo.
Molte organizzazioni stanno quindi concentrando la propria attenzione sugli adempimenti previsti dal regolamento, valutando l’impatto sui processi di sviluppo, manutenzione e distribuzione del software. Il rischio, però, è quello di osservare solo una parte del quadro normativo europeo.
Accanto al CRA, infatti, si sta affacciando un’altra norma destinata a completarne gli effetti sul piano della responsabilità civile. Si tratta della Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi. La sua finalità non è introdurre nuovi requisiti di sicurezza informatica, bensì stabilire chi risponde dei danni quando un prodotto, compreso il software, si rivela difettoso.
La Direttiva dovrà essere recepita dagli Stati membri entro il 9 dicembre 2026. In Italia il percorso legislativo è già stato avviato con la Legge di delegazione europea 2025 (Legge 17 marzo 2026, n. 36), che delega il Governo ad adottare il decreto legislativo di recepimento.
Al momento della stesura di questo articolo tale decreto non risulta ancora emanato. Il quadro normativo, tuttavia, è ormai delineato e consente già oggi alle imprese di comprendere la direzione intrapresa dal legislatore europeo: la sicurezza dei prodotti digitali non rappresenterà soltanto un requisito di conformità, ma diventerà sempre più un elemento centrale nella valutazione della responsabilità civile del produttore.
È proprio questa la differenza fondamentale tra le due norme. Il CRA definisce come un prodotto digitale debba essere progettato e mantenuto affinché possa essere considerato sicuro. La Direttiva, invece, affronta una domanda diversa: cosa accade quando quella sicurezza si dimostra insufficiente e provoca un danno?
Indice degli argomenti
CRA e Direttiva UE sui prodotti difettosi: dalla conformità alla responsabilità
Per anni la cybersecurity è stata interpretata prevalentemente come una questione tecnica. Successivamente è diventata un tema di governance, soprattutto con l’entrata in vigore della NIS2, che ha attribuito agli organi di amministrazione responsabilità dirette nella supervisione del rischio cyber.
Il CRA rappresenta un ulteriore passo in avanti, perché trasferisce la sicurezza direttamente all’interno del processo di progettazione e sviluppo del prodotto. La Direttiva 2024/2853 completa questo percorso introducendo una nuova prospettiva: quella della responsabilità civile.
Non si tratta semplicemente di rispettare una norma per evitare una sanzione amministrativa. Diventa necessario considerare che una carenza nella sicurezza del prodotto potrebbe trasformarsi in un contenzioso civile qualora provochi un danno a persone o beni.
La cybersecurity, in altre parole, non rimane confinata nell’ambito della compliance. Diventa un elemento che può incidere direttamente sulla responsabilità patrimoniale dell’impresa.
La Direttiva non introduce nuove sanzioni amministrative, perché il suo terreno non è quello della vigilanza regolatoria ma quello del risarcimento. Introduce però qualcosa di potenzialmente più oneroso per l’impresa: il rischio che una vulnerabilità gestita in modo inadeguato, quando contribuisce a causare uno dei danni riconosciuti dalla disciplina, si trasformi in una richiesta risarcitoria di importo rilevante. È il passaggio dalla compliance alla responsabilità patrimoniale.
Il software entra definitivamente nel concetto di prodotto
Uno degli aspetti più significativi della nuova Direttiva riguarda proprio il software.
La normativa europea supera definitivamente una distinzione ormai non più sostenibile tra componente fisica e componente digitale, riconoscendo il software come parte integrante del prodotto. Rientrano in questo concetto anche gli aggiornamenti, le modifiche e, in molti casi, i servizi digitali necessari affinché il prodotto continui a svolgere correttamente la propria funzione.
Questo significa che la sicurezza del software non rappresenta più soltanto una caratteristica tecnica desiderabile, ma diventa uno degli elementi attraverso cui valutare se il prodotto offra il livello di sicurezza che il mercato può ragionevolmente attendersi.
Anche la gestione degli aggiornamenti assume quindi un valore completamente diverso. Un prodotto mantenuto senza adeguate patch di sicurezza potrebbe non essere valutato esclusivamente sotto il profilo della conformità al CRA, ma anche sotto quello della sua eventuale difettosità.
Quando una vulnerabilità diventa un problema legale
Per chi opera nella cybersecurity il cambio di prospettiva è evidente.
Fino ad oggi una vulnerabilità rappresentava soprattutto un rischio operativo. Poteva favorire un attacco informatico, determinare un’interruzione dei servizi, generare una violazione dei dati personali oppure esporre l’organizzazione a sanzioni regolatorie.
Con la nuova Direttiva quella stessa vulnerabilità potrebbe assumere anche un diverso significato giuridico.
Qualora contribuisca a provocare un danno, potrebbe infatti diventare uno degli elementi utilizzati per sostenere che il prodotto non offriva il livello di sicurezza che ci si poteva legittimamente attendere.
Non sarà naturalmente la semplice presenza di una vulnerabilità a determinare automaticamente una responsabilità civile. La sicurezza assoluta non esiste e nessuna norma pretende di eliminarne completamente il rischio. Il punto è un altro: il produttore dovrà essere in grado di dimostrare di avere progettato, sviluppato e mantenuto il prodotto secondo lo stato dell’arte e le migliori pratiche applicabili.
La differenza non è soltanto tecnica. È soprattutto documentale e organizzativa.
Quando il rischio diventa concreto
Si consideri un produttore che commercializza un software destinato alla gestione di un impianto industriale. Dopo l’immissione sul mercato emerge una vulnerabilità critica capace di consentire la modifica remota dei parametri di funzionamento, ma il rilascio della correzione viene rinviato nonostante il rischio sia noto e documentato.
Qualora la vulnerabilità fosse successivamente sfruttata causando il danneggiamento dei macchinari, la distruzione di beni o la perdita di dati non utilizzati esclusivamente per finalità professionali, la discussione non riguarderebbe più soltanto la gestione dell’incidente: diventerebbe necessario stabilire se il prodotto offrisse la sicurezza che una persona poteva legittimamente attendersi e se il produttore avesse mantenuto un processo adeguato di aggiornamento e gestione delle vulnerabilità.
Lo stesso ragionamento assume una portata ancora più evidente nel caso di un dispositivo medico connesso.
Una vulnerabilità nota, lasciata senza aggiornamento o gestita con ritardo, potrebbe essere sfruttata alterando il funzionamento del dispositivo e causando una lesione al paziente.
In uno scenario di questo tipo la vulnerabilità non sarebbe soltanto la causa tecnica dell’evento, ma potrebbe concorrere alla qualificazione del prodotto come difettoso, aprendo il terreno alla responsabilità civile del produttore e alla richiesta di risarcimento del danno da parte della persona lesa.
Un messaggio per il management
La Direttiva 2024/2853 contiene un messaggio che il management non dovrebbe sottovalutare.
La cybersecurity non può più essere interpretata esclusivamente come un costo di conformità o come una funzione demandata all’area IT. Diventa un elemento di gestione del rischio d’impresa, con possibili implicazioni economiche, patrimoniali e legali.
Questo significa che aspetti come il Secure Development Lifecycle, la gestione delle vulnerabilità, la tracciabilità degli aggiornamenti, la documentazione tecnica e le decisioni assunte durante il ciclo di vita del prodotto non costituiscono soltanto buone pratiche di sicurezza. Possono diventare elementi fondamentali anche per dimostrare, in sede giudiziaria, che il produttore ha adottato tutte le misure ragionevolmente esigibili.
La capacità di documentare il processo decisionale potrebbe quindi assumere un’importanza non inferiore a quella delle misure tecniche implementate.
Il puzzle normativo europeo prende forma
Negli ultimi anni l’Unione europea ha costruito un quadro normativo che, osservato nel suo insieme, appare sempre più coerente.
La NIS2 ha introdotto la responsabilità degli organi di amministrazione nella gestione del rischio cyber. Il Cyber Resilience Act ha definito i requisiti di sicurezza che devono caratterizzare i prodotti con elementi digitali durante il loro intero ciclo di vita. La Direttiva (UE) 2024/2853 aggiunge infine il tassello della responsabilità civile quando un prodotto difettoso provoca un danno.
Considerate singolarmente, queste norme sembrano disciplinare ambiti differenti. Letta nel suo complesso, la strategia europea appare invece molto chiara: la sicurezza informatica non è più soltanto una questione tecnica né esclusivamente regolatoria. È diventata un elemento strutturale della governance aziendale e della responsabilità d’impresa.
Chi continua a vedere il CRA come l’unico riferimento europeo per la sicurezza dei prodotti digitali rischia quindi di fermarsi a metà del percorso.
La vera sfida non consiste soltanto nel progettare prodotti conformi, ma nel dimostrare di aver fatto tutto ciò che era ragionevolmente necessario per renderli sicuri.
Quando questa dimostrazione dovrà essere fornita davanti a un giudice civile, la cyber security avrà ormai definitivamente oltrepassato i confini dell’IT per entrare a pieno titolo nella gestione del rischio legale e patrimoniale delle organizzazioni.
Partecipa alla community