Le scadenze delle norme sulla sicurezza IoT
Una tabella con le date degli obblighi di sicurezza per l'IoT: regolamento sulla ciberresilienza (Cyber Resilience Act) e regole UE sulle apparecchiature radio, PSTI britannico, U.S. Cyber Trust Mark, ETSI EN 303 645 e la legge californiana SB-327.
I prodotti connessi devono ormai rispettare regole di sicurezza nell'UE, nel Regno Unito e in diversi stati americani, a cui si aggiungono un'etichetta volontaria statunitense e una norma europea di base su cui quelle regole si appoggiano. Qui trovi, in ordine, le date che contano per chi sviluppa un prodotto, con cosa richiede ciascuna e il link al testo di legge o alla pagina dell'autorità. Per capire cosa significano in pratica, leggi la guida su quali leggi sulla sicurezza IoT si applicano al tuo prodotto e le voci del glossario Cyber Resilience Act, PSTI Act, Cyber Trust Mark ed ETSI EN 303 645.
Ultima verifica: 22 ottobre 2026. Stato e conteggio dei giorni sono stati calcolati il 25 ottobre 2026 e il tuo browser li aggiorna alla data di oggi. È una panoramica tecnica, non una consulenza legale. Ogni dato di questa pagina rimanda alla sua fonte primaria. Se qualcosa è cambiato, scrivici: lo correggeremo e la correzione sarà registrata nella pagina della politica editoriale.
Obblighi e date
11 voci, dalla più vecchia| Data | Stato oggi | Giurisdizione | Regola | Cosa richiede | Fonte |
|---|---|---|---|---|---|
| In vigore da 2489 giorni | California, Stati Uniti | SB-327, Civil Code 1798.91.04 (sicurezza dei dispositivi connessi) | Chi produce dispositivi connessi venduti in California deve dotarli di funzioni di sicurezza ragionevoli ("reasonable security"). Per un dispositivo che si autentica dall'esterno della rete locale, è considerata ragionevole una password preimpostata diversa per ogni esemplare, oppure l'obbligo per l'utente di creare nuove credenziali prima del primo accesso. Possono farla rispettare solo l'Attorney General e i procuratori di città, contee e distretti; i privati non possono fare causa sulla base di questa legge. | SB-327, testo promulgato (California Legislative Information) | |
| In vigore da 909 giorni | Regno Unito | Regime PSTI (Product Security and Telecommunications Infrastructure) | Prodotti connettibili di consumo messi a disposizione nel Regno Unito: niente password predefinite universali (uniche o scelte dall'utente, e non facili da indovinare), informazioni pubbliche su come segnalare problemi di sicurezza e un periodo minimo di aggiornamenti di sicurezza dichiarato pubblicamente, con una data di fine. | SI 2023/1007, regulation 1 (legislation.gov.uk) Linee guida del governo britannico (GOV.UK) | |
| Pubblicata da 784 giorni | Europa (norma tecnica) | ETSI EN 303 645 V3.1.3, sicurezza informatica dell'IoT di consumo | Requisiti di sicurezza di base per i prodotti IoT di consumo: dal divieto di password predefinite universali e da una politica di divulgazione delle vulnerabilità fino ad aggiornamenti sicuri, archiviazione e comunicazioni protette e cancellazione semplice dei dati dell'utente. È una norma tecnica, non una legge: si applica quando la richiama un regolamento, un contratto o uno schema di etichettatura. | ETSI EN 303 645 V3.1.3 (PDF, etsi.org) | |
| Attivo, su base volontaria da 776 giorni | Stati Uniti | U.S. Cyber Trust Mark (programma di etichettatura IoT della FCC) | Etichetta volontaria per i prodotti IoT wireless di consumo che superano i test sui criteri del programma della FCC, con un codice QR che porta alle informazioni di sicurezza del prodotto. La FCC ha adottato le regole nel marzo 2024; la data indicata è quella della loro entrata in vigore. Ancora in fase di avvio: il 13 aprile 2026 la FCC ha scelto la ioXt Alliance come nuovo Lead Administrator, l'11 agosto 2026 ha approvato con riserva alcuni amministratori dell'etichetta e aperto una nuova finestra per le candidature, e il 28 settembre 2026 ha riconosciuto due organismi di accreditamento (A2LA e ANAB). | Pagina del programma FCC (regole in vigore dal 9 settembre 2024) FCC Report and Order, marzo 2024 DA 26-354, 13 aprile 2026 DA 26-834, 11 agosto 2026 DA 26-1029, 28 settembre 2026 | |
| In vigore da 684 giorni | Unione europea | Regolamento sulla ciberresilienza (Cyber Resilience Act), regolamento (UE) 2024/2847: entrata in vigore | Il regolamento diventa legge (pubblicato nella Gazzetta ufficiale il 20 novembre 2024, in vigore venti giorni dopo). I suoi obblighi si applicano dalle date successive, elencate più sotto. | Regolamento (UE) 2024/2847, art. 71 (EUR-Lex) | |
| Pubblicata da 633 giorni | Unione europea | EN 18031-1, -2 e -3 citate come norme armonizzate ai sensi della direttiva sulle apparecchiature radio | La decisione di esecuzione (UE) 2025/138 della Commissione elenca la EN 18031-1:2024 (apparecchiature radio connesse a internet), la EN 18031-2:2024 (apparecchiature che trattano dati personali, compresi giocattoli, articoli per l'infanzia e dispositivi indossabili) e la EN 18031-3:2024 (apparecchiature che gestiscono denaro virtuale o valore monetario). Danno presunzione di conformità con alcune limitazioni: per esempio, non quando l'utente può scegliere di non impostare alcuna password. | Decisione di esecuzione (UE) 2025/138 (EUR-Lex) | |
| In vigore da 450 giorni | Unione europea | Regolamento delegato (UE) 2022/30 sulla direttiva apparecchiature radio | Le apparecchiature radio delle categorie interessate (connesse a internet, che trattano dati personali, compresi giocattoli, articoli per l'infanzia e dispositivi indossabili, e che gestiscono denaro) devono rispettare i requisiti essenziali dell'articolo 3, paragrafo 3, lettere d), e) ed f), della direttiva 2014/53/UE: nessun danno alla rete, protezione dei dati personali e della vita privata, protezione dalle frodi. L'applicazione è stata spostata a questa data dal regolamento delegato (UE) 2023/2444. | Regolamento delegato (UE) 2022/30 (EUR-Lex) Regolamento delegato (UE) 2026/339, considerando 2 (EUR-Lex) | |
| In vigore da 136 giorni | Unione europea | Regolamento sulla ciberresilienza: notifica degli organismi di valutazione della conformità (capo IV) | Si applicano gli articoli da 35 a 51: le regole con cui gli Stati membri notificano gli organismi che svolgono la valutazione della conformità per conto terzi. | Regolamento (UE) 2024/2847, art. 71 (EUR-Lex) | |
| In vigore da 44 giorni | Unione europea | Regolamento sulla ciberresilienza: obblighi di segnalazione dei fabbricanti (articolo 14) | I fabbricanti notificano le vulnerabilità attivamente sfruttate e gli incidenti gravi al CSIRT coordinatore e all'ENISA tramite la piattaforma unica di segnalazione. Per una vulnerabilità sfruttata: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni da quando è disponibile una correzione o una misura di attenuazione. | Regolamento (UE) 2024/2847, articoli 14 e 71 (EUR-Lex) | |
| In arrivo tra 412 giorni | Unione europea | Regolamento sulla ciberresilienza: piena applicazione | I prodotti con elementi digitali immessi sul mercato dell'UE devono rispettare i requisiti essenziali di cibersicurezza dell'allegato I, passare la valutazione della conformità e recare la marcatura CE. I fabbricanti gestiscono le vulnerabilità per un periodo di assistenza di almeno cinque anni, a meno che si preveda un uso del prodotto più breve. | Regolamento (UE) 2024/2847, articolo 13, paragrafo 8, e articolo 71 (EUR-Lex) | |
| In arrivo tra 412 giorni | Unione europea | Regolamento delegato (UE) 2022/30 abrogato dal regolamento delegato (UE) 2026/339 | Le regole di cybersicurezza per le apparecchiature radio cessano quando il regolamento sulla ciberresilienza si applica per intero, così i prodotti non sono soggetti a due discipline. Le apparecchiature immesse sul mercato tra il 1° agosto 2025 e il 10 dicembre 2027 restano soggette alla vigilanza del mercato secondo le vecchie regole. | Regolamento delegato (UE) 2026/339, articolo 1 (EUR-Lex) |
Cosa non c'è nella tabella
Compaiono solo le date che abbiamo potuto confermare su una fonte ufficiale. La serie IEC 62443 per i componenti industriali e la direttiva NIS2 dell'UE, che impone obblighi agli operatori e non ai prodotti, sono trattate nella guida alla normativa. Altre regole nazionali e statali saranno aggiunte dopo la verifica sui testi ufficiali.
Altri strumenti: tutti gli strumenti IoT. Sviluppi un prodotto per la smart home? Guarda la tabella sul supporto a Matter.