Quali leggi sulla sicurezza IoT si applicano al tuo prodotto?

Per vent’anni la sicurezza di un prodotto connesso è stata quella che il produttore decideva, e il mercato ha premiato velocità e prezzo più delle patch. Le botnet che ne sono seguite, e il flusso costante di telecamere, router e giocattoli trovati con password scritte nel codice, hanno fatto cambiare idea ai regolatori. Oggi un prodotto venduto nell’UE, nel Regno Unito o negli Stati Uniti deve rispettare obblighi di sicurezza che sono obbligatori per legge oppure difficili da ignorare sul piano commerciale.

I quattro quadri normativi che contano di più per i team IoT sono il Cyber Resilience Act europeo, il regime del PSTI Act britannico, il Cyber Trust Mark statunitense e lo standard di base ETSI EN 303 645 su cui gli altri tre si appoggiano. Questa guida spiega cosa chiede ciascuno, a chi si applica e cosa dovrebbe fare un team di prodotto. È una panoramica ingegneristica, non una consulenza legale.

Cosa richiede la ETSI EN 303 645?

Si parte dallo standard, perché le leggi lo citano. La EN 303 645 di ETSI, pubblicata per la prima volta nel 2020 e oggi alla versione 3.1.3 (settembre 2024), definisce un livello di base per la sicurezza dell’IoT consumer in 13 disposizioni. I punti principali sono:

• Nessuna credenziale predefinita universale: ogni dispositivo riceve una password unica, oppure l’utente deve impostarne una, e deve resistere agli attacchi a forza bruta.
• Un canale pubblico per segnalare le vulnerabilità, con gestione tempestiva, cioè il processo formale di divulgazione delle vulnerabilità.
• Aggiornamenti software: consegnati in modo sicuro, verificati prima dell’installazione e forniti per un periodo di supporto dichiarato che l’acquirente può conoscere prima dell’acquisto.
• Archiviazione sicura di chiavi e credenziali, comunicazioni sicure e superficie di attacco ridotta al minimo (nessuna porta inutilizzata, nessun servizio superfluo, interfacce di debug protette).
• Controlli di integrità del software come il secure boot, resilienza alle interruzioni di rete, validazione degli input e modi semplici per consentire agli utenti di cancellare i propri dati.

Una specifica complementare, la ETSI TS 103 701, descrive come i laboratori di prova valutano un prodotto rispetto a queste disposizioni. Lo standard è scritto per i dispositivi consumer, ma viene applicato ampiamente anche ai prodotti commerciali. Se il tuo prodotto rispetta la EN 303 645, hai già fatto la maggior parte del lavoro tecnico richiesto dalle leggi descritte qui sotto.

Cosa richiede il regime PSTI britannico?

Il Product Security and Telecommunications Infrastructure Act 2022, con i suoi regolamenti attuativi in vigore dal 29 aprile 2024, rende obbligatorio per legge un sottoinsieme della EN 303 645 per i prodotti connettibili consumer venduti nel Regno Unito. Si applicano tre requisiti:

1. Nessuna password predefinita universale.
2. Un punto di contatto e una policy pubblici per segnalare i problemi di sicurezza.
3. Un periodo minimo dichiarato pubblicamente durante il quale il prodotto riceverà aggiornamenti di sicurezza.

I produttori devono redigere una dichiarazione di conformità, e importatori e distributori non possono vendere prodotti che ne siano privi. Il regime è applicato dall’Office for Product Safety and Standards, con sanzioni fino a 10 milioni di sterline o al 4% del fatturato mondiale, a seconda di quale sia il valore più alto. È volutamente circoscritto, ma si applica ai prodotti fabbricati in qualsiasi parte del mondo se arrivano ai consumatori britannici.

Cosa richiede il Cyber Resilience Act europeo?

Il CRA è il più ampio dei quattro. È un regolamento orizzontale che copre i “prodotti con elementi digitali”, vale a dire quasi qualsiasi hardware o software dotato di connessione di rete, consumer o industriale, da una lampadina intelligente a un PLC fino a una libreria software venduta commercialmente. Il Regolamento (UE) 2024/2847 è entrato in vigore il 10 dicembre 2024; gli obblighi di segnalazione delle vulnerabilità e degli incidenti si applicano dall’11 settembre 2026, e l’insieme completo dei requisiti si applica dall’11 dicembre 2027.

L’idea di fondo è estendere alla cybersicurezza il modello della marcatura CE, già familiare per le norme di sicurezza e sulle apparecchiature radio. Per apporre il marchio CE, un produttore deve:

• Progettare il prodotto secondo i requisiti essenziali di cybersicurezza: sicuro per impostazione predefinita, nessuna vulnerabilità nota sfruttabile al momento del rilascio, identità uniche, controllo degli accessi, cifratura dei dati in transito e a riposo dove opportuno, superficie di attacco ridotta al minimo e resilienza.
• Gestire un processo di trattamento delle vulnerabilità per un periodo di supporto che rifletta la vita attesa del prodotto, con un minimo generale di cinque anni. Questo comprende mantenere una distinta base del software (SBOM) almeno delle dipendenze di primo livello, fornire gratuitamente gli aggiornamenti di sicurezza e pubblicare le vulnerabilità corrette.
• Segnalare alle autorità designate le vulnerabilità attivamente sfruttate e gli incidenti gravi, con un’allerta precoce entro 24 ore e una notifica più completa entro 72 ore.
• Svolgere una valutazione della conformità. La maggior parte dei prodotti può autovalutarsi. I prodotti delle classi “importanti” e “critici”, che comprendono sistemi operativi, router, firewall, prodotti di sicurezza per la smart home come serrature e telecamere, microcontrollori di sicurezza e gateway per contatori intelligenti (smart meter), seguono percorsi più rigorosi che coinvolgono norme armonizzate o la valutazione di terze parti.

Il CRA impone obblighi anche a importatori e distributori e copre il software open source immesso sul mercato a fini commerciali, con un trattamento più leggero per i gestori non commerciali. Le norme armonizzate che danno presunzione di conformità sono ancora in fase di sviluppo, e la EN 303 645 dovrebbe essere uno dei riferimenti per i dispositivi consumer.

Che cos’è il Cyber Trust Mark statunitense?

L’approccio statunitense è un’etichetta volontaria, non un obbligo. La FCC ha approvato il programma Cyber Trust Mark nel marzo 2024: un logo a forma di scudo che i prodotti consumer possono esibire dopo essere stati testati secondo criteri derivati dal NIST IR 8425, il profilo dell’agenzia per i prodotti IoT consumer. Il logo è abbinato a un codice QR che rimanda a una pagina di registro con periodo di supporto, politica di aggiornamento e informazioni correlate.

I criteri tecnici coprono terreno familiare: identificazione degli asset, configurazione del prodotto, protezione dei dati, controllo degli accessi alle interfacce, aggiornamenti software e consapevolezza dello stato di cybersicurezza, oltre a obblighi di documentazione e divulgazione a carico del produttore. I test sono affidati a laboratori accreditati. Il rollout è stato lento: il primo Lead Administrator, UL Solutions, si è ritirato nel dicembre 2025, e la FCC ha nominato la ioXt Alliance come Lead Administrator nell’aprile 2026 per completare l’attuazione. Poiché il marchio è volontario, la sua forza deriva dai rivenditori e dagli acquisti pubblici che privilegiano i prodotti etichettati. A parte questo, diversi Stati americani hanno leggi proprie sulla sicurezza IoT, la più nota delle quali è la norma californiana contro le password predefinite.

Cosa si applica ai prodotti industriali?

I quadri normativi consumer non sono tutta la storia. I dispositivi industriali e per le infrastrutture critiche vengono valutati secondo IEC 62443, la serie che definisce i livelli di sicurezza per componenti, sistemi e per le organizzazioni che li costruiscono e li gestiscono. Gli operatori soggetti alla direttiva NIS2 dell’UE chiedono sempre più spesso ai fornitori componenti allineati alla 62443, quindi un produttore di dispositivi che vende a fabbriche, utility o edifici dovrebbe aspettarsi di dover dimostrare la conformità a 62443-4-1 (processo di sviluppo sicuro) e 62443-4-2 (requisiti dei componenti) accanto a quella al CRA.

Cosa dovrebbe fare un team di prodotto?

I regimi si sovrappongono in larga misura, quindi un unico programma ne copre la maggior parte:

• Progettare secondo la EN 303 645 e, per i prodotti industriali, la IEC 62443-4-2. Questo copre i requisiti britannici e gran parte dei requisiti essenziali del CRA.
• Decidere e pubblicare un periodo di supporto prima del lancio, e mettere a budget l’ingegneria necessaria per consegnare aggiornamenti OTA per tutta la sua durata. Questa decisione guida la conformità a PSTI, CRA e Cyber Trust Mark.
• Mantenere una SBOM fin dalla prima build. Aggiungerla a posteriori a un prodotto già in commercio è doloroso.
• Predisporre una policy di divulgazione delle vulnerabilità con un contatto presidiato, e un processo per fare triage e segnalare entro le scadenze del CRA.
• Classificare presto il prodotto secondo il CRA. Il percorso di valutazione e l’onere documentale cambiano abbastanza tra classe predefinita, importante e critica da incidere sui tempi.
• Tenere in ordine le prove di conformità, i rapporti di prova e il fascicolo tecnico; regolatori e grandi clienti li chiederanno.

Niente di tutto questo è ingegneria esotica. È la disciplina descritta in Fondamenti di sicurezza IoT, ora con una scadenza.

Per continuare

• Fondamenti di sicurezza IoT descrive le minacce che queste regole intendono contrastare.
• Identità dei dispositivi, certificati e PKI per l’IoT spiega in pratica il requisito dell’identità unica.
• Gestione dei dispositivi e aggiornamenti over the air è la capacità che ognuno di questi regimi dà per scontato che tu abbia.

Argomenti: normativa, Cyber Resilience Act, PSTI, Cyber Trust Mark, ETSI EN 303 645, conformità