La protezione dei protocolli di comunicazione nei mezzi mobili è diventato un requisito fondamentale per evitare intrusioni, manipolazioni e accessi non autorizzati che potrebbero compromettere il funzionamento dei sistemi elettronici o la sicurezza degli utenti. 

Nuova normativa UE sulla cybersecurity: cosa cambia con NIS2 e Cyber Resilience Act (CRA)

La cybersecurity diventa ufficialmente un requisito di legge in tutta l’Unione Europea. Due testi fondamentali, la Direttiva NIS2 e il Regolamento Cyber Resilience Act (CRA), ridefiniscono obblighi, responsabilità e tempistiche per aziende, prodotti digitali e supply chain. Di seguito una panoramica per capire chi è coinvolto, quali prodotti rientrano nel perimetro e come prepararsi. 

NIS2: più settori, più aziende, più responsabilità 

Che cos'è

La Direttiva (UE) 2022/2555, nota come NIS2, innalza gli standard minimi di sicurezza delle reti e dei sistemi informativi in Europa. Recepita in Italia con il D.Lgs. 138/2024, operativo dal 16 ottobre 2024. Da questa data le autorità italiane hanno poteri di vigilanza e applicazione. 

Chi rientra 
Sono inclusi gli enti “essenziali” e “importanti” indicati negli Allegati I e II: energia, trasporti, sanità, acqua, pubblica amministrazione, infrastrutture digitali e servizi online, gestione rifiuti, chimica e manifattura di prodotti critici (veicoli, macchine, apparecchiature elettriche, computer, elettronica). La classificazione dipende da settore, attività e dimensione (di norma dalla media impresa in su). Entro il 17 aprile 2025 ogni Stato membro dovrà finalizzare l’elenco degli enti coinvolti. 

Obblighi principali 

• Gestione del rischio e misure tecniche/organizzative (art. 21) 

• Governance e responsabilità del management 

• Sicurezza della supply chain 

• Notifica degli incidenti significativi 

Sanzioni 

• Fino a 10 milioni € o al 2% del fatturato globale per gli enti “essenziali” (settori critici come energia, trasporti, banche, salute, acqua, alcune infrastrutture digitali)

• Fino a 7 milioni € o all’1,4% per gli enti “importanti” (settori meno critici ma comunque rilevanti)

Cyber Resilience Act (CRA): requisiti “by design” per i prodotti digitali 

Che cos’è 
Il Cyber Resilience Act (CRA), Regolamento (UE) 2024/2847, impone requisiti di sicurezza trasversali a tutti i prodotti con elementi digitali (hardware e software). I requisiti puntano ad avere prodotti sicuri “by design”, quindi progettati con la sicurezza integrata dall’inizio della realizzazione. È in vigore da dicembre 2024 e diventerà pienamente applicabile dall’11 dicembre 2027, con scadenze intermedie già fissate. 

Scadenze chiave 

• 11/06/2026 → conformità e marcatura CE 

• 11/09/2026 → obbligo di segnalazione vulnerabilità e incidenti a ENISA (Agenzia dell’Unione Europea per la cybersicurezza) 

• 11/12/2027 → applicazione completa per i nuovi prodotti immessi sul mercato 

Cosa richiede ai produttori 

• Progettazione sicura (“secure by default”, quindi sicuro fin dall’installazione) 

• Gestione delle vulnerabilità e SBOM (Software Bill of Materials - inventario dettagliato di tutti i componenti, librerie e dipendenze, anche open source, che compongono un’applicazione) 

• Aggiornamenti di sicurezza regolari 

• Politiche di coordinated vulnerability disclosure (divulgazione coordinata delle vulnerabilità) 

Categorie di prodotti interessati 
Il CRA distingue: 

• Prodotti importanti (Classe I) → sistemi di gestione identità e accessi, password manager, browser, router, modem, switch, sistemi operativi 

• Prodotti importanti (Classe II) → firewall, IDS/IPS, hypervisor, container runtime, microprocessori e microcontrollori sicuri 

• Prodotti critici (Allegato IV) → dispositivi come smart meter gateways e secure elements 

La Commissione UE pubblicherà entro dicembre 2025 un atto di esecuzione con le descrizioni tecniche delle categorie incluse. Il CRA si coordina inoltre con la nuova Regolamentazione Macchine (UE) 2023/1230 per gli aspetti di sicurezza dei sistemi di controllo.

Impatti per i settori in cui opera ALMEC 

Nei settori B2B industriale, Off-Highway, Lift & Handling e mobilità industriale, l’impatto delle nuove normative sarà significativo. 

• NIS2: molte aziende manifatturiere (veicoli, macchine, elettronica) potrebbero rientrare come entità importanti se superano le soglie dimensionali. Anche distributori e noleggiatori con servizi digitali saranno soggetti a obblighi di gestione del rischio e notifica incidenti. 

• CRA: tutti i prodotti con elementi digitali — come controllori elettronici, gateway telematici, HMI, firmware/software di bordo e piattaforme IoT — dovranno rispettare i requisiti “by design”, Software Bill of Materials e aggiornamenti di sicurezza. 

Esempi pratici 

• Controller e gateway connessi → rientrano nel CRA, con obblighi più severi se integrano funzioni di rete o sicurezza. 

• Piattaforme software e app companion → dovranno garantire progettazione sicura, aggiornabilità e obbligo di notifica delle vulnerabilità a ENISA (Agenzia dell'Unione europea per la cibersicurezza) dal 2026. 

• Supply chain → la NIS2 obbliga le aziende a valutare e garantire la sicurezza dei fornitori e dei service provider (MSP/MSSP). 
   

Sicurezza nei protocolli: una difesa strategica 

Implementare protocolli sicuri significa adottare soluzioni avanzate come crittografia end-to-end, autenticazione multifattore e sistemi di rilevazione degli incidenti. Queste tecnologie garantiscono la protezione dei dati scambiati e rafforzano l’intera rete contro le minacce esterne. 

L’adozione di misure di cybersecurity comporta investimenti in ricerca, sviluppo, formazione e aggiornamenti costanti, ma rappresentano un investimento strategico per assicurare protezione, affidabilità e fiducia nel lungo periodo. 

Oggi la sicurezza non è un costo aggiuntivo: è parte integrante del valore di ogni prodotto tecnologico. 

ALMEC integra l’ingegneria “security-by-design" su centraline, gateway e piattaforme connesse (Diaboard) per cui i propri prodotti rispondono ai requisiti di legge.   

👉 Contattaci per una valutazione rapida del perimetro e delle scadenze applicabili ai tuoi prodotti e processi: info@almec.net