COMMISSIONE EUROPEA Bruxelles, 15.9.2022 COM(2022) 454 final 2022/0272(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica il regolamento (UE) 2019/1020 (Testo rilevante ai fini del SEE) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta I prodotti hardware e software sono sempre più soggetti ad attacchi informatici andati a segno, e si stima che entro il 2021 il costo globale annuo della criminalità informatica ammonterà a 5 500 miliardi di EUR. Tali prodotti risentono di due problemi principali, che comportano ulteriori costi per gli utilizzatori e per la società: 1) un basso livello di cibersicurezza, testimoniato da vulnerabilità diffuse e dalla fornitura insufficiente e incoerente di aggiornamenti di sicurezza per porvi rimedio e 2) un'insufficiente comprensione delle informazioni e un accesso limitato alle stesse da parte degli utilizzatori, che impediscono loro di scegliere prodotti con proprietà di cibersicurezza adeguate o di utilizzarli in modo sicuro. In un ambiente connesso un incidente di cibersicurezza in un prodotto può pregiudicare un'intera organizzazione o un'intera catena di approvvigionamento, spesso propagandosi attraverso le frontiere del mercato interno nel giro di pochi minuti. Ciò può perturbare gravemente le attività economiche e sociali o persino diventare una minaccia letale. La cibersicurezza dei prodotti con elementi digitali ha una forte dimensione transfrontaliera, poiché i prodotti fabbricati in un paese sono spesso utilizzati in tutto il mercato interno. Inoltre gli incidenti che inizialmente interessano un singolo soggetto o un singolo Stato membro spesso si diffondono in pochi minuti nell'intero mercato interno. Sebbene la normativa vigente in materia di mercato interno si applichi ad alcuni prodotti con elementi digitali, la maggior parte dei prodotti hardware e software non è attualmente disciplinata da alcuna normativa dell'UE riguardante la loro cibersicurezza. In particolare l'attuale quadro giuridico dell'UE non affronta la questione della cibersicurezza del software non incorporato, anche se gli attacchi alla cibersicurezza prendono sempre più di mira le vulnerabilità di tali prodotti, causando costi sociali ed economici significativi. Esistono numerosi esempi di attacchi informatici di grande portata dovuti a una sicurezza non ottimale dei prodotti, come il worm ransomware WannaCry, che ha sfruttato una vulnerabilità di Windows, colpendo, nel 2017, 200 000 computer in 150 paesi e provocando danni per miliardi di dollari; l'attacco alla catena di approvvigionamento di Kaseya VSA, che ha utilizzato il software di amministrazione di rete di Kaseya per attaccare oltre 1 000 imprese, costringendo una catena di supermercati a chiudere tutti i suoi 500 negozi in Svezia; oppure i numerosi incidenti in cui sono violate le applicazioni bancarie per rubare denaro a consumatori ignari. Sono stati individuati due obiettivi principali per garantire il corretto funzionamento del mercato interno: 1) creare le condizioni per lo sviluppo di prodotti con elementi digitali sicuri, garantendo che i prodotti hardware e software siano immessi sul mercato con un minor numero di vulnerabilità, e far sì che i fabbricanti prendano la sicurezza in seria considerazione durante l'intero ciclo di vita di un prodotto e 2) creare le condizioni che consentano agli utilizzatori di tenere conto della cibersicurezza nella scelta e nell'utilizzo dei prodotti con elementi digitali. Sono stati definiti quattro obiettivi specifici: i) garantire che i fabbricanti migliorino la sicurezza dei prodotti con elementi digitali fin dalla fase di progettazione e sviluppo e durante l'intero ciclo di vita; ii) garantire un quadro coerente in materia di cibersicurezza, facilitando la conformità per i produttori di hardware e software; iii) migliorare la trasparenza delle proprietà di sicurezza dei prodotti con elementi digitali e iv) consentire alle imprese e ai consumatori di utilizzarli in modo sicuro. La forte natura transfrontaliera della cibersicurezza e i crescenti incidenti, con effetti di ricaduta a livello transfrontaliero e trasversalmente ai settori e ai prodotti, fanno sì che gli obiettivi non possano essere raggiunti efficacemente dai soli Stati membri. Data la natura globale dei mercati dei prodotti con elementi digitali, sul rispettivo territorio gli Stati membri si trovano ad affrontare gli stessi rischi per lo stesso prodotto con elementi digitali. Il formarsi di un quadro frammentato di norme nazionali potenzialmente divergenti rischia di ostacolare la creazione di un mercato unico aperto e competitivo per i prodotti con elementi digitali. È quindi necessaria un'azione comune a livello dell'UE per aumentare il grado di fiducia degli utilizzatori e l'attrattiva dei prodotti con elementi digitali dell'UE. Tale azione avrebbe anche benefici per il mercato interno, garantendo la certezza del diritto e creando condizioni di parità per i venditori di prodotti con elementi digitali, come evidenziato anche nella relazione finale della Conferenza sul futuro dell'Europa, in cui i cittadini chiedono un ruolo più incisivo dell'UE nella lotta contro le minacce alla cibersicurezza. •Interazione con le disposizioni vigenti nel settore normativo interessato Il quadro dell'UE comprende diversi atti legislativi orizzontali che trattano alcuni aspetti legati alla cibersicurezza da vari punti di vista (prodotti, servizi, gestione delle crisi e reati). Nel 2013 è entrata in vigore la direttiva relativa agli attacchi contro i sistemi di informazione, che armonizza la criminalizzazione e le sanzioni per una serie di reati diretti contro i sistemi di informazione. Nell'agosto 2016 è entrata in vigore la direttiva (UE) 2016/1148 sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS), che è il primo strumento legislativo a livello dell'UE sulla cibersicurezza. La sua revisione, concretizzatasi nella direttiva [direttiva XXX/XXXX (NIS2)], innalza il livello di ambizione comune dell'UE. Nel 2019 è entrato in vigore il regolamento sulla cibersicurezza dell'UE, che mira a migliorare la sicurezza dei prodotti TIC, dei servizi TIC e dei processi TIC, introducendo un quadro volontario europeo di certificazione della cibersicurezza. La cibersicurezza dell'intera catena di approvvigionamento è garantita solo se tutti i suoi componenti sono cibersicuri. La normativa dell'UE di cui sopra presenta tuttavia lacune sostanziali sotto questo profilo, in quanto non contempla requisiti obbligatori per la sicurezza dei prodotti con elementi digitali. Mentre la proposta di legge sulla ciberresilienza riguarda i prodotti con elementi digitali immessi sul mercato, la direttiva [direttiva XXX/XXX (NIS2)] mira a garantire un livello elevato di cibersicurezza dei servizi forniti dai soggetti essenziali e importanti. La direttiva [direttiva XXX/XXXX (NIS2)] impone agli Stati membri di garantire che i soggetti essenziali e importanti che rientrano nell'ambito di applicazione, come i prestatori di assistenza sanitaria o i fornitori di servizi cloud e gli enti della pubblica amministrazione, adottino misure di cibersicurezza adeguate e proporzionate dal punto di vista tecnico, operativo e organizzativo. Ciò include, tra l'altro, l'obbligo di garantire la sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità. La direttiva [direttiva XXX/XXXX (NIS2)] impone alla Commissione di adottare atti di esecuzione che stabiliscano i requisiti tecnici e metodologici di tali misure entro 21 mesi dalla data di entrata in vigore di tale direttiva per alcuni tipi di soggetti, come i fornitori di servizi di cloud computing. Per tutti gli altri soggetti, la Commissione può adottare un atto di esecuzione che stabilisca i requisiti tecnici e metodologici, nonché i requisiti settoriali. Tale quadro garantirà che le misure e le specifiche tecniche simili ai requisiti essenziali di cibersicurezza della legge sulla ciberresilienza siano attuate anche per la progettazione, lo sviluppo e la gestione delle vulnerabilità del software fornito come servizio (servizio a livello di software). Ad esempio ciò potrebbe essere un mezzo per garantire un livello elevato di cibersicurezza in casi come quello dei sistemi di cartelle cliniche elettroniche, anche se forniti come servizio a livello di software (Software-as-a-Service – SaaS) o sviluppati all'interno delle istituzioni sanitarie (internamente), in conformità con la proposta di [regolamento sullo spazio europeo dei dati sanitari]. •Interazione con le altre normative dell'Unione Come si legge nella comunicazione "Plasmare il futuro digitale dell'Europa", è fondamentale che l'UE colga tutti i vantaggi dell'era digitale e rafforzi la sua industria e la sua capacità di innovazione entro limiti sicuri ed etici. La strategia europea per i dati stabilisce quattro pilastri, ovvero protezione dei dati, diritti fondamentali, sicurezza e cibersicurezza, come prerequisiti essenziali per una società che, grazie all'uso dei dati, disponga di maggiori strumenti. Il quadro giuridico dell'UE attualmente applicabile ai prodotti che possono avere anche elementi digitali comprende diversi atti legislativi, tra cui atti su prodotti specifici che disciplinano aspetti legati alla sicurezza e atti di portata generale sulla responsabilità per danno da prodotti difettosi. La proposta è coerente con l'attuale quadro normativo dell'UE relativo ai prodotti e con le recenti proposte legislative, come la proposta di regolamento presentata dalla Commissione [regolamento sull'intelligenza artificiale]. Il regolamento proposto si applicherebbe a tutte le apparecchiature radio che rientrano nell'ambito di applicazione del regolamento delegato (UE) 2022/30 della Commissione. Inoltre i requisiti stabiliti dal presente regolamento comprendono tutti gli elementi dei requisiti essenziali di cui all'articolo 3, paragrafo 3, lettere d), e) e f), della direttiva 2014/53/UE, compresi gli elementi principali indicati nella [decisione di esecuzione XXX/2022 della Commissione relativa ad una richiesta di normazione rivolta alle organizzazioni europee di normazione] emessa sulla base di tale regolamento delegato. Al fine di evitare una sovrapposizione normativa, si prevede che la Commissione abroghi o modifichi il regolamento delegato con riguardo alle apparecchiature radio contemplate dalla proposta di regolamento, in modo tale che ad esse si applichi quest'ultimo regolamento, una volta applicabile. Inoltre, al fine di evitare una duplicazione delle attività, si prevede che la Commissione e le organizzazioni europee di normazione tengano conto dei lavori di normazione svolti nel contesto della decisione di esecuzione C(2022)5637 della Commissione relativa ad una richiesta di normazione per il regolamento delegato (UE) 2022/30 che integra la direttiva sulle apparecchiature radio nella preparazione e nello sviluppo di norme armonizzate per facilitare l'attuazione del regolamento. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica

La base giuridica della presente proposta è costituita dall'articolo 114 del trattato sul funzionamento dell'Unione europea (TFUE), che prevede l'adozione di misure atte a garantire l'instaurazione ed il funzionamento del mercato interno. L'obiettivo della proposta è armonizzare i requisiti di cibersicurezza per i prodotti con elementi digitali in tutti gli Stati membri e rimuovere gli ostacoli alla libera circolazione delle merci. L'articolo 114 TFUE può essere utilizzato come base giuridica per prevenire l'insorgere di tali ostacoli risultanti da legislazioni e approcci nazionali divergenti per quanto riguarda la risoluzione delle incertezze e delle lacune giuridiche dei quadri giuridici esistenti. Inoltre la Corte di giustizia ha riconosciuto che l'applicazione di requisiti tecnici eterogenei potrebbe essere un motivo valido per ricorrere all'articolo 114 TFUE. Il quadro normativo dell'UE attualmente applicabile ai prodotti con elementi digitali si basa sull'articolo 114 TFUE e comprende diversi atti legislativi, tra cui atti su prodotti specifici e aspetti legati alla sicurezza o atti di portata generale sulla responsabilità per danno da prodotti difettosi. Tuttavia esso contempla solo alcuni aspetti legati alla cibersicurezza dei prodotti digitali tangibili e, se del caso, del software incorporato in tali prodotti. A livello nazionale gli Stati membri stanno iniziando ad adottare misure nazionali che richiedono ai venditori di prodotti digitali di migliorarne la cibersicurezza. Al contempo la cibersicurezza dei prodotti digitali ha una dimensione transfrontaliera particolarmente forte, poiché i prodotti fabbricati in un paese sono spesso utilizzati da organizzazioni e consumatori in tutto il mercato interno. Gli incidenti che inizialmente riguardano un singolo soggetto o un singolo Stato membro spesso si diffondono in pochi minuti tra organizzazioni, settori e diversi Stati membri. I vari atti adottati e le diverse iniziative intraprese finora a livello nazionale e dell'UE affrontano solo parzialmente i problemi individuati e rischiano di creare un mosaico legislativo all'interno del mercato interno, aumentando l'incertezza del diritto sia per i venditori sia per gli utilizzatori di tali prodotti e imponendo alle imprese un onere aggiuntivo inutile per conformarsi a una serie di requisiti per tipi di prodotti simili. Il regolamento proposto armonizzerebbe e snellirebbe il panorama normativo dell'UE introducendo requisiti di cibersicurezza per i prodotti con elementi digitali ed eviterebbe la sovrapposizione di requisiti derivanti da diversi atti legislativi. Ciò creerebbe una maggiore certezza del diritto per gli operatori e gli utilizzatori in tutta l'Unione, nonché una migliore armonizzazione del mercato unico europeo, garantendo condizioni più agevoli agli operatori che intendono entrare nel mercato dell'UE. •Sussidiarietà (per la competenza non esclusiva) La forte natura transfrontaliera della cibersicurezza in generale e il numero crescente di rischi e incidenti, che hanno effetti di ricaduta a livello transfrontaliero e trasversalmente ai settori e ai prodotti, fanno sì che gli obiettivi del presente intervento non possano essere raggiunti efficacemente dai soli Stati membri. Gli approcci nazionali adottati per affrontare i problemi, e in particolare gli approcci che introducono requisiti obbligatori, creeranno ulteriore incertezza del diritto e ostacoli giuridici. Alle imprese potrebbe essere impedito di espandersi senza soluzione di continuità in altri Stati membri, privando gli utilizzatori della possibilità di beneficiare dei loro prodotti. È quindi necessaria un'azione comune a livello dell'UE per instaurare un livello elevato di fiducia tra gli utilizzatori, rafforzando inoltre l'attrattiva dei prodotti con elementi digitali dell'UE. Tale azione avrebbe anche benefici per il mercato unico digitale e per il mercato interno in generale, garantendo la certezza del diritto e creando condizioni di parità per i fabbricanti di prodotti con elementi digitali. Infine le conclusioni del Consiglio del 23 maggio 2022 sullo sviluppo della posizione dell'Unione europea in materia di deterrenza informatica invitano la Commissione a proporre, entro la fine del 2022, requisiti comuni in materia di cibersicurezza per i dispositivi connessi. •Proporzionalità Per quanto riguarda la proporzionalità del regolamento proposto, le misure delle opzioni strategiche considerate non andrebbero oltre quanto necessario per conseguire gli obiettivi generali e specifici e non imporrebbero costi sproporzionati. Più specificamente l'intervento preso in considerazione garantirebbe che i prodotti con elementi digitali siano protetti durante l'intero ciclo di vita e in modo proporzionale ai rischi affrontati attraverso requisiti orientati agli obiettivi e tecnologicamente neutri che rimangano ragionevoli e corrispondano generalmente agli interessi dei soggetti coinvolti. I requisiti essenziali di cibersicurezza contenuti nella proposta si basano su norme ampiamente utilizzate e il processo di normazione che ne deriverebbe terrebbe conto delle specificità tecniche dei prodotti, con la conseguenza che, ove necessario per un determinato livello di rischio, i controlli di sicurezza sarebbero adattati. Inoltre le norme orizzontali previste contemplerebbero la valutazione da parte di terzi solo dei prodotti critici, il che riguarderebbe solo una piccola parte del mercato dei prodotti con elementi digitali. L'impatto sulle PMI dipenderebbe dalla loro presenza sul mercato di tali specifiche categorie di prodotti. Per quanto riguarda la proporzionalità dei costi per la valutazione della conformità, gli organismi notificati che effettuano le valutazioni da parte di terzi terrebbero conto delle dimensioni dell'impresa nel fissare le loro tariffe. Per preparare l'attuazione sarebbe inoltre previsto un ragionevole periodo di transizione di 24 mesi, che darebbe tempo ai mercati interessati di prepararsi, fornendo al contempo una direzione chiara per gli investimenti in R&S. Gli eventuali costi di conformità per le imprese sarebbero compensati dai vantaggi derivanti da un maggiore livello di sicurezza dei prodotti con elementi digitali e, in ultima analisi, da un aumento della fiducia degli utilizzatori nei confronti di tali prodotti. •Scelta dell'atto giuridico Un intervento normativo richiederebbe l'adozione di un regolamento e non di una direttiva. La ragione è che, per questo particolare tipo di normativa sui prodotti, un regolamento sarebbe più efficace nell'affrontare i problemi individuati e nel raggiungere gli obiettivi formulati, poiché si tratta di un intervento che condiziona l'immissione sul mercato interno di una categoria di prodotti molto ampia. Il processo di recepimento nel caso di una direttiva per questo tipo di intervento potrebbe lasciare troppo spazio alla discrezionalità a livello nazionale, portando potenzialmente alla mancanza di uniformità di taluni requisiti essenziali di cibersicurezza, all'incertezza del diritto, a un'ulteriore frammentazione o addirittura a situazioni discriminatorie a livello transfrontaliero, ancor più se si considera che i prodotti disciplinati potrebbero avere molteplici scopi o usi e che i fabbricanti possono produrre varie categorie di tali prodotti. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO •Consultazioni dei portatori di interessi La Commissione ha consultato una vasta gamma di portatori di interessi. Gli Stati membri e i portatori di interessi sono stati invitati a partecipare alla consultazione pubblica aperta e alle indagini e ai seminari organizzati nel contesto di uno studio condotto da un consorzio a sostegno dei lavori preparatori della Commissione per la valutazione d'impatto: Wavestone, il Centro per gli studi politici europei (CEPS) e ICF. Tra i portatori di interessi consultati figurano le autorità nazionali di vigilanza del mercato, gli organismi dell'Unione preposti alla cibersicurezza, i fabbricanti di hardware e software, gli importatori e i distributori di hardware e software, le associazioni di categoria, le organizzazioni di consumatori e gli utilizzatori di prodotti con elementi digitali, i cittadini, i ricercatori e il mondo accademico, gli organismi notificati e gli organismi di accreditamento e i professionisti del settore della cibersicurezza. Le attività di consultazione hanno compreso: ·un primo studio condotto da un consorzio composto da ICF, Wavestone, Carsa e CEPS, pubblicato nel dicembre 2021. Lo studio ha individuato diverse carenze del mercato e valutato possibili interventi normativi;

·una consultazione pubblica aperta rivolta a cittadini, portatori di interessi ed esperti nel campo della cibersicurezza. Sono state inviate 176 risposte. Ciò ha contribuito alla raccolta di esperienze e pareri diversi da tutti i gruppi di portatori di interessi; ·i seminari organizzati dallo studio a sostegno dei lavori preparatori della Commissione per una legge sulla ciberresilienza hanno riunito circa 100 rappresentanti di tutti i 27 Stati membri, in rappresentanza di diversi portatori di interessi; ·sono state condotte interviste con esperti per comprendere più a fondo le attuali sfide in materia di cibersicurezza legate ai prodotti con elementi digitali e per discutere le opzioni strategiche per un possibile intervento normativo; ·si sono tenute discussioni bilaterali con le autorità nazionali di cibersicurezza, il settore privato e le organizzazioni di consumatori; ·è stata effettuata un'attività di sensibilizzazione mirata rivolta ai principali portatori di interessi delle PMI. •Assunzione e uso di perizie Le attività di consultazione erano volte a ottenere contributi sui cinque criteri di valutazione principali secondo gli orientamenti dell'UE per legiferare meglio (efficacia, efficienza, pertinenza, coerenza, valore aggiunto dell'UE), nonché sul potenziale impatto delle opzioni possibili per il futuro. Il contraente non solo ha contattato i portatori di interessi che sarebbero direttamente interessati dalla proposta di regolamento, ma ha anche consultato un'ampia gamma di esperti nel campo della cibersicurezza. •Valutazione d'impatto La Commissione ha condotto una valutazione d'impatto in relazione alla presente proposta, esaminata dal comitato per il controllo normativo della Commissione. Il 6 luglio 2022 si è tenuta una riunione con tale comitato, alla quale è seguito un parere positivo. La valutazione d'impatto è stata adattata per tener conto delle raccomandazioni e delle osservazioni del comitato. La Commissione ha esaminato le differenti opzioni strategiche per conseguire l'obiettivo generale della proposta: ·approccio non vincolante (soft law) e misure volontarie (opzione 1). In questa opzione non vi sarebbe alcun intervento normativo obbligatorio. La Commissione pubblicherebbe invece comunicazioni, orientamenti, raccomandazioni ed eventualmente codici di condotta per incoraggiare l'adozione di misure volontarie. Continuerebbero a essere definiti regimi nazionali, volontari od obbligatori, per compensare la mancanza di norme orizzontali dell'UE; ·intervento normativo ad hoc per la cibersicurezza dei prodotti tangibili con elementi digitali e dei relativi software incorporati (opzione 2). Questa opzione comporterebbe un intervento normativo ad hoc specifico per prodotto, che si limiterebbe ad aggiungere e/o a modificare i requisiti di cibersicurezza nella normativa già esistente o a introdurre una nuova normativa laddove emergano nuovi rischi, eventualmente anche riguardo al software non incorporato. Le opzioni 3 e 4 comportano un intervento normativo orizzontale di portata variabile, che segue in larga misura il nuovo quadro normativo. Tale quadro stabilisce requisiti essenziali come condizione per l'immissione sul mercato interno di determinati prodotti. Il nuovo quadro normativo prevede inoltre la valutazione della conformità, ossia il processo condotto dal fabbricante per dimostrare se i requisiti specifici connessi a un prodotto sono stati soddisfatti. ·Approccio misto comprendente norme obbligatorie orizzontali per la cibersicurezza dei prodotti tangibili con elementi digitali e dei relativi software incorporati e un approccio scaglionato per il software non incorporato (opzione 3): questa opzione comporterebbe un regolamento che introduca requisiti orizzontali di cibersicurezza per tutti i prodotti tangibili con elementi digitali e per il software in essi incorporato, come condizione per l'immissione sul mercato, e includerebbe due sotto-opzioni con e senza valutazione obbligatoria da parte di terzi (3i e 3ii). Il software non incorporato non sarebbe regolamentato. ·Un intervento normativo orizzontale che introduce requisiti di cibersicurezza per un'ampia gamma di prodotti tangibili e non tangibili con elementi digitali, compreso il software non incorporato (opzione 4): questa opzione assomiglia all'opzione 3, ad eccezione dell'ambito di applicazione. L'opzione 4 comprenderebbe nell'ambito di applicazione di un eventuale regolamento il software non incorporato (con due sotto-opzioni che includono rispettivamente solo i software critici (4a) o tutti i software (4b)). Per ciascuna sotto-opzione sarebbero prese in considerazione le stesse sotto-opzioni relative alla valutazione della conformità dell'opzione 3. Sulla base della valutazione dell'efficacia rispetto agli obiettivi specifici e dell'efficienza dei costi rispetto ai benefici, l'opzione prescelta è stata l'opzione 4 (con sotto-opzioni che riguardano tutti i software e che prevedono la valutazione obbligatoria da parte di terzi dei prodotti critici). Questa opzione garantirebbe la definizione di specifici requisiti orizzontali di cibersicurezza per tutti i prodotti con elementi digitali che sono immessi o messi a disposizione sul mercato interno e sarebbe l'unica opzione che considera l'intera catena di approvvigionamento digitale. Anche il software non incorporato, spesso esposto a vulnerabilità, rientrerebbe in tale intervento normativo, garantendo così un approccio coerente nei confronti di tutti i prodotti con elementi digitali, con una chiara ripartizione delle responsabilità dei vari operatori economici. Questa opzione strategica conferisce anche un valore aggiunto, in quanto comprende gli aspetti relativi al dovere di diligenza e all'intero ciclo di vita dopo l'immissione sul mercato dei prodotti con elementi digitali, per garantire, tra l'altro, informazioni adeguate sull'assistenza di sicurezza e la fornitura di aggiornamenti di sicurezza. Questa opzione strategica consentirebbe inoltre di integrare nel modo più efficace la recente revisione del quadro NIS, garantendo i prerequisiti per una maggiore sicurezza della catena di approvvigionamento. L'opzione prescelta apporterebbe benefici significativi ai vari portatori di interessi. Per le imprese, eviterebbe norme di sicurezza divergenti per i prodotti con elementi digitali, ridurrebbe i costi di conformità alla relativa normativa in materia di cibersicurezza e diminuirebbe il numero di incidenti informatici, i costi di gestione degli incidenti e i danni alla reputazione. Per l'intera UE si stima che l'iniziativa potrebbe comportare una riduzione dei costi degli incidenti che interessano le imprese di circa 180-290 miliardi di EUR all'anno. Determinerebbe inoltre un aumento del fatturato grazie alla diffusione della domanda di prodotti con elementi digitali e migliorerebbe la reputazione delle imprese a livello mondiale, portando a un aumento della domanda anche da fuori l'UE. Per gli utilizzatori l'opzione prescelta aumenterebbe la trasparenza delle proprietà di sicurezza e faciliterebbe l'uso dei prodotti con elementi digitali. I consumatori e i cittadini beneficerebbero inoltre di una migliore tutela dei loro diritti fondamentali, come la protezione della vita privata e dei dati. Alla richiesta di valutare l'efficacia degli interventi strategici, i partecipanti alla consultazione pubblica hanno concordato che l'opzione 4 sarebbe la misura più efficace (4,08 su una scala da 1 a 5). Tra questi figurano le organizzazioni di consumatori (5,00), i partecipanti che si identificano come utilizzatori (4,22), gli organismi notificati (4,17), le autorità di vigilanza del mercato (5,00) e i produttori di prodotti con elementi digitali (3,85), compresi quelli di piccole e medie dimensioni (4,05). •Efficienza normativa e semplificazione

La proposta stabilisce i requisiti da applicare ai fabbricanti di software e hardware. È necessario garantire la certezza del diritto ed evitare un'ulteriore frammentazione del mercato per quanto riguarda i requisiti di cibersicurezza relativi ai prodotti sul mercato interno, come dimostrato dall'ampio sostegno dei vari portatori di interessi a favore di un intervento orizzontale. La proposta ridurrà al minimo gli oneri normativi imposti ai fabbricanti da diversi atti in materia di sicurezza dei prodotti. L'allineamento rispetto al nuovo quadro normativo significa un funzionamento migliore dell'intervento e della sua applicazione. La proposta razionalizza il processo di procedure di salvaguardia, coinvolgendo fabbricanti e Stati membri prima che la Commissione riceva notifiche. Gran parte dei fabbricanti che rientrano nell'ambito di applicazione della proposta ha già familiarità con il funzionamento del nuovo quadro normativo, il che contribuirà alla sua comprensione e attuazione. Per i consumatori e le imprese la proposta promuoverà la fiducia nei confronti dei prodotti con elementi digitali. •Diritti fondamentali Tutte le opzioni strategiche dovrebbero migliorare in una certa misura la tutela dei diritti e delle libertà fondamentali, come la protezione della vita privata e dei dati personali, la libertà d'impresa e la protezione della proprietà o la dignità e l'integrità della persona. In particolare l'opzione prescelta 4, caratterizzata da interventi normativi orizzontali e da un'ampia portata strategica, sarebbe la più efficace sotto questo profilo, in quanto è più probabile che contribuisca a ridurre il numero e la gravità degli incidenti, comprese le violazioni dei dati personali. Inoltre aumenterebbe la certezza del diritto e creerebbe condizioni di parità per gli operatori economici, rafforzerebbe la fiducia degli utilizzatori e l'attrattiva dei prodotti con elementi digitali dell'UE nel loro complesso, proteggendo così la proprietà e migliorando le condizioni degli operatori economici nella conduzione d'impresa. I requisiti orizzontali di cibersicurezza contribuirebbero alla sicurezza dei dati personali proteggendo la riservatezza, l'integrità e la disponibilità delle informazioni nei prodotti con elementi digitali. L'osservanza di tali requisiti faciliterà il rispetto dell'obbligo di garantire la sicurezza del trattamento dei dati personali a norma del regolamento generale sulla protezione dei dati (GDPR). La proposta migliorerebbe la trasparenza e le informazioni fornite agli utilizzatori, anche a quelli che potrebbero disporre di minori competenze in materia di cibersicurezza. Gli utilizzatori sarebbero inoltre meglio informati sui rischi, sulle capacità e sui limiti dei prodotti con elementi digitali, e sarebbero dunque maggiormente in grado di adottare le necessarie misure preventive e di attenuazione per ridurre i rischi residui. 4.INCIDENZA SUL BILANCIO Al fine di espletare i compiti che le sono conferiti dal presente regolamento, l'Agenzia dell'Unione europea per la cibersicurezza (ENISA) dovrà riassegnare risorse pari a circa 4,5 ETP. La Commissione dovrebbe destinare 7 ETP all'adempimento delle sue responsabilità relative all'applicazione del presente regolamento. Una panoramica dettagliata dei costi in questione è riportata nella "scheda finanziaria" collegata alla presente proposta. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione La Commissione monitorerà l'attuazione, l'applicazione e il rispetto di queste nuove disposizioni al fine di valutarne l'efficacia. Il regolamento richiederà una valutazione e un riesame da parte della Commissione così come la presentazione di una relazione pubblica a tale riguardo al Parlamento europeo e al Consiglio entro 36 mesi dalla data di applicazione e successivamente ogni quattro anni. •Illustrazione dettagliata delle singole disposizioni della proposta Disposizioni generali (capo I) La presente proposta di regolamento stabilisce a) norme per l'immissione sul mercato di prodotti con elementi digitali per garantire la cibersicurezza di tali prodotti; b) requisiti essenziali per la progettazione, lo sviluppo e la produzione di prodotti con elementi digitali e obblighi per gli operatori economici in relazione a tali prodotti per quanto riguarda la cibersicurezza; c) requisiti essenziali per i processi di gestione delle vulnerabilità messi in atto dai fabbricanti per garantire la cibersicurezza dei prodotti con elementi digitali durante l'intero ciclo di vita e obblighi per gli operatori economici in relazione a tali processi; d) norme sulla vigilanza del mercato e sull'applicazione delle norme e dei requisiti di cui sopra. Il regolamento proposto si applicherà a tutti i prodotti con elementi digitali il cui uso previsto e ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete. Il regolamento proposto non si applicherà ai prodotti con elementi digitali che rientrano nell'ambito di applicazione del regolamento (UE) 2017/745 [dispositivi medici per uso umano e accessori per tali dispositivi] e del regolamento (UE) 2017/746 [dispositivi medico-diagnostici in vitro per uso umano e accessori per tali dispositivi], in quanto entrambi i regolamenti contengono requisiti relativi ai dispositivi, anche in merito al software, e obblighi generali per i fabbricanti, che riguardano l'intero ciclo di vita dei prodotti, nonché procedure di valutazione della conformità. Il presente regolamento non si applica ai prodotti con elementi digitali che sono stati certificati in conformità del regolamento 2018/1139 [livello elevato ed uniforme di sicurezza dell'aviazione civile], né ai prodotti a cui si applica il regolamento (UE) 2019/2144 [relativo ai requisiti di omologazione dei veicoli a motore e dei loro rimorchi, nonché di sistemi, componenti ed entità tecniche destinati a tali veicoli]. I prodotti con elementi digitali critici sono soggetti a specifiche procedure di valutazione della conformità e sono suddivisi in classi (classe I e classe II), come indicato nell'allegato III, le quali riflettono il loro livello di rischio di cibersicurezza (la classe II rappresenta un rischio maggiore). Un prodotto con elementi digitali è considerato critico, e quindi incluso nell'allegato III, tenendo conto dell'impatto delle potenziali vulnerabilità di cibersicurezza incluse nel prodotto con elementi digitali. Per la determinazione del rischio di cibersicurezza si tiene conto, tra l'altro, della funzionalità legata alla cibersicurezza del prodotto con elementi digitali e dell'uso previsto in ambienti sensibili come quelli industriali. Alla Commissione è inoltre conferito il potere di adottare atti delegati per integrare il presente regolamento, specificando le categorie di prodotti con elementi digitali altamente critici per i quali i fabbricanti sono tenuti a ottenere un certificato europeo di cibersicurezza nell'ambito di un sistema europeo di certificazione della cibersicurezza per dimostrare la conformità ai requisiti essenziali di cui all'allegato I o a loro parti. Nel determinare tali categorie di prodotti con elementi digitali altamente critici, la Commissione tiene conto del livello di rischio di cibersicurezza relativo alla categoria di prodotti con elementi digitali, alla luce di uno o più dei criteri considerati per l'inserimento nell'elenco dei prodotti con elementi digitali critici di cui all'allegato III, nonché in considerazione della valutazione se tale categoria di prodotti sia utilizzata dai soggetti essenziali del tipo di cui all'allegato [allegato I] della direttiva [direttiva XXX/XXXX (NIS2)], sia una categoria di prodotti su cui detti soggetti fanno affidamento oppure possa avere un'importanza futura per le attività di tali soggetti, o sia pertinente per la resilienza dell'intera catena di approvvigionamento dei prodotti con elementi digitali contro eventi perturbatori. Obblighi degli operatori economici (capo II) La proposta integra obblighi per i fabbricanti, gli importatori e i distributori sulla base delle disposizioni di riferimento previste dalla decisione 768/2008/CE. I requisiti e gli obblighi essenziali di cibersicurezza stabiliscono che tutti i prodotti con elementi digitali sono messi a disposizione sul mercato soltanto se, qualora siano debitamente forniti, correttamente installati, oggetto di un'adeguata manutenzione e utilizzati conformemente alla loro finalità prevista o in condizioni ragionevolmente prevedibili, soddisfano i requisiti essenziali di cibersicurezza prescritti dal presente regolamento.

I requisiti e gli obblighi essenziali imporrebbero ai fabbricanti di tenere conto della cibersicurezza nella progettazione, nello sviluppo e nella produzione di prodotti con elementi digitali, di esercitare la dovuta diligenza sugli aspetti di sicurezza durante la progettazione e lo sviluppo dei loro prodotti, di essere trasparenti sugli aspetti di cibersicurezza che devono essere resi noti ai clienti, di garantire assistenza di sicurezza (aggiornamenti) in modo proporzionato e di soddisfare i requisiti di gestione delle vulnerabilità. La proposta stabilirebbe obblighi per gli operatori economici, a partire dai fabbricanti, fino ai distributori e agli importatori, in relazione all'immissione sul mercato di prodotti con elementi digitali, in funzione del loro ruolo e delle loro responsabilità nella catena di approvvigionamento. Conformità del prodotto con elementi digitali (capo III) Il prodotto con elementi digitali conforme alle norme armonizzate o a parti di esse, i cui riferimenti sono stati pubblicati nella Gazzetta ufficiale dell'Unione europea, si presume conforme ai requisiti essenziali di cui al presente regolamento. Qualora non esistano norme armonizzate o tali norme siano insufficienti o vi siano ritardi indebiti nella procedura di normazione o la richiesta della Commissione non sia stata accolta dalle organizzazioni europee di normazione, la Commissione può, mediante atti di esecuzione, adottare specifiche comuni. Inoltre i prodotti con elementi digitali che sono stati certificati o per i quali sono stati rilasciati un certificato o una dichiarazione di conformità UE nell'ambito di un sistema europeo di certificazione della cibersicurezza a norma del regolamento (UE) 2019/881, e per il quale la Commissione ha specificato, mediante atto di esecuzione, che può conferire una presunzione di conformità al presente regolamento, si presumono conformi ai requisiti essenziali del presente regolamento, o a parti di essi, nella misura in cui detti requisiti siano contemplati dal certificato di cibersicurezza o dalla dichiarazione di conformità UE, o da loro parti. Inoltre, al fine di evitare un onere amministrativo indebito a carico dei fabbricanti, la Commissione dovrebbe specificare, ove applicabile, se un certificato di cibersicurezza rilasciato nell'ambito di un tale sistema europeo di certificazione della cibersicurezza sopprime l'obbligo per i fabbricanti di effettuare una valutazione della conformità da parte di terzi, come previsto dal presente regolamento per i requisiti corrispondenti. Il fabbricante effettua una valutazione della conformità del prodotto con elementi digitali e dei processi di gestione delle vulnerabilità che ha messo in atto per dimostrare la conformità ai requisiti essenziali di cui all'allegato I, avvalendosi di una delle procedure di cui all'allegato VI. I fabbricanti di prodotti critici di classe I e II utilizzano i rispettivi moduli necessari ai fini della conformità. I fabbricanti di prodotti critici di classe II devono coinvolgere terzi nella valutazione della conformità. Notifica degli organismi di valutazione della conformità (capo IV) Un buon funzionamento degli organismi notificati è molto importante per ottenere livelli elevati di cibersicurezza, così come per la fiducia di tutte le parti interessate nel sistema del nuovo approccio. Di conseguenza, in linea con la decisione 768/2008/CE, la proposta stabilisce requisiti per le autorità nazionali responsabili degli organismi di valutazione della conformità (organismi notificati). Lascia la responsabilità ultima per quanto riguarda la designazione e il controllo degli organismi notificati agli Stati membri. Gli Stati membri designano un'autorità di notifica responsabile dell'istituzione e dell'esecuzione delle procedure necessarie per la valutazione e la notifica degli organismi di valutazione della conformità e il controllo degli organismi notificati. Vigilanza del mercato e applicazione delle norme (capo V) Conformemente al regolamento (UE) 2019/1020, le autorità nazionali di vigilanza del mercato effettuano la vigilanza del mercato nel territorio del rispettivo Stato membro. Gli Stati membri possono scegliere di designare qualsiasi autorità già esistente o una nuova autorità che agisca come autorità di vigilanza del mercato, comprese le autorità nazionali competenti di cui all'articolo [articolo X] della direttiva [direttiva XXX/XXXX (NIS2)] o le autorità nazionali di certificazione della cibersicurezza designate di cui all'articolo 58 del regolamento (UE) 2019/881. Gli operatori economici sono invitati a collaborare pienamente con le autorità di vigilanza del mercato e con le altre autorità competenti. Delega di potere e procedura di comitato (capo VI) Al fine di garantire che il quadro normativo possa essere adattato ove necessario, alla Commissione è delegato il potere di adottare atti conformemente all'articolo 290 TFUE per aggiornare l'elenco dei prodotti critici delle classi I e II e specificare le definizioni di tali prodotti, specificare se è necessaria una limitazione o un'esclusione per i prodotti con elementi digitali disciplinati da altre norme dell'Unione che stabiliscono requisiti che conseguono lo stesso livello di protezione del presente regolamento; imporre la certificazione di determinati prodotti con elementi digitali altamente critici sulla base dei criteri stabiliti nel presente regolamento, specificare il contenuto minimo della dichiarazione di conformità UE e integrare gli elementi da includere nella documentazione tecnica. Alla Commissione è conferito inoltre il potere di adottare atti di esecuzione per: precisare il formato o gli elementi degli obblighi di segnalazione e della distinta base del software, specificare i sistemi europei di certificazione della cibersicurezza che possono essere utilizzati per dimostrare la conformità ai requisiti essenziali o a loro parti, come stabilito nel presente regolamento, adottare specifiche comuni, stabilire specifiche tecniche per l'apposizione della marcatura CE, adottare misure correttive o restrittive a livello di Unione in circostanze eccezionali che giustifichino un intervento immediato per preservare il buon funzionamento del mercato interno. Riservatezza e sanzioni (capo VII) Tutte le parti che applicano il presente regolamento rispettano la riservatezza delle informazioni e dei dati ottenuti nello svolgimento dei loro compiti e delle loro attività. Per garantire l'effettiva applicazione degli obblighi previsti dal presente regolamento, ogni autorità di vigilanza del mercato dovrebbe avere il potere di imporre o richiedere l'imposizione di sanzioni amministrative pecuniarie. Allo stesso modo il presente regolamento stabilisce i livelli massimi delle sanzioni amministrative pecuniarie che dovrebbero essere previste negli ordinamenti nazionali in caso di mancato rispetto degli obblighi stabiliti dal presente regolamento. Disposizioni transitorie e finali (capo VIII) Affinché i fabbricanti, gli organismi notificati e gli Stati membri abbiano il tempo necessario per adeguarsi ai nuovi requisiti, il regolamento proposto sarà applicabile [24 mesi] dopo la sua entrata in vigore, ad eccezione dell'obbligo di segnalazione per i fabbricanti, che si applicherebbe a decorrere da [12 mesi] dopo la data di entrata in vigore.





2022/0272 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica il regolamento (UE) 2019/1020 (Testo rilevante ai fini del SEE) IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA, visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 114, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, visto il parere del Comitato delle regioni, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)Occorre migliorare il funzionamento del mercato interno, definendo un quadro giuridico uniforme per i requisiti essenziali di cibersicurezza per l'immissione sul mercato dell'Unione di prodotti con elementi digitali. È opportuno affrontare i due problemi principali che comportano ulteriori costi per gli utilizzatori e la società: un basso livello di cibersicurezza dei prodotti con elementi digitali, testimoniato da vulnerabilità diffuse e dalla fornitura insufficiente e incoerente di aggiornamenti di sicurezza per porvi rimedio così come un'insufficiente comprensione delle informazioni e un accesso limitato alle stesse da parte degli utilizzatori, che impediscono loro di scegliere prodotti con proprietà di cibersicurezza adeguate o di utilizzarli in modo sicuro. (2)Il presente regolamento mira a stabilire le condizioni limite per lo sviluppo di prodotti con elementi digitali sicuri, garantendo che i prodotti hardware e software siano immessi sul mercato con un minor numero di vulnerabilità e che i fabbricanti prendano la sicurezza in seria considerazione durante l'intero ciclo di vita di un prodotto. Si propone inoltre di creare le condizioni che consentano agli utilizzatori di tenere conto della cibersicurezza nella scelta e nell'utilizzo dei prodotti con elementi digitali. (3)La normativa dell'Unione pertinente attualmente in vigore comprende diverse serie di norme orizzontali che affrontano taluni aspetti legati alla cibersicurezza da diversi punti di vista, comprese misure per migliorare la sicurezza della catena di approvvigionamento digitale. Tuttavia la normativa dell'Unione vigente in materia di cibersicurezza, tra cui [la direttiva XXX/XXXX (NIS2)] e il regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, non contempla direttamente requisiti obbligatori per la sicurezza dei prodotti con elementi digitali. (4)Sebbene la normativa dell'Unione vigente si applichi a determinati prodotti con elementi digitali, non esiste un quadro normativo orizzontale dell'Unione che stabilisca requisiti di cibersicurezza completi per tutti i prodotti con elementi digitali. I vari atti adottati e le diverse iniziative intraprese finora a livello nazionale e dell'Unione affrontano solo parzialmente i problemi e i rischi individuati in materia di cibersicurezza, creando un mosaico legislativo all'interno del mercato interno, aumentando l'incertezza del diritto sia per i fabbricanti sia per gli utilizzatori di tali prodotti e imponendo alle imprese un onere aggiuntivo inutile per conformarsi a una serie di requisiti per tipi di prodotti simili. La cibersicurezza di tali prodotti ha una dimensione transfrontaliera particolarmente forte, poiché i prodotti fabbricati in un paese sono spesso utilizzati da organizzazioni e consumatori in tutto il mercato interno. Ciò rende necessaria una regolamentazione del settore a livello dell'Unione. Il panorama normativo dell'Unione dovrebbe essere armonizzato introducendo requisiti di cibersicurezza per i prodotti con elementi digitali. Inoltre si dovrebbe garantire la certezza del diritto per gli operatori e gli utilizzatori in tutta l'Unione, nonché una migliore armonizzazione del mercato unico, creando condizioni più agevoli per gli operatori che intendono entrare nel mercato dell'Unione. (5)A livello dell'Unione diversi documenti programmatici e politici, come la strategia dell'UE in materia di cibersicurezza per il decennio digitale, le conclusioni del Consiglio del 2 dicembre 2020 e del 23 maggio 2022 o la risoluzione del Parlamento europeo del 10 giugno 2021, hanno chiesto l'introduzione di requisiti specifici dell'Unione in materia di cibersicurezza per i prodotti digitali o connessi e diversi paesi nel mondo hanno adottato di propria iniziativa misure volte ad affrontare la questione. Nella relazione finale della Conferenza sul futuro dell'Europa, i cittadini hanno chiesto "un ruolo più incisivo dell'UE nella lotta contro le minacce alla cibersicurezza". (6)Per aumentare il livello generale di cibersicurezza di tutti i prodotti con elementi digitali immessi sul mercato interno è necessario introdurre requisiti essenziali di cibersicurezza orientati agli obiettivi e tecnologicamente neutri per tali prodotti, applicabili orizzontalmente. (7)In determinate condizioni tutti i prodotti con elementi digitali integrati in un sistema di informazione elettronico più ampio o connessi a un tale sistema possono fungere da vettore di attacco per soggetti malintenzionati. Di conseguenza anche l'hardware e il software che sono considerati meno critici possono facilitare la compromissione iniziale di un dispositivo o di una rete, consentendo a soggetti malintenzionati di ottenere un accesso privilegiato a un sistema o di muoversi lateralmente tra sistemi. I fabbricanti dovrebbero pertanto garantire che tutti i prodotti con elementi digitali collegabili siano progettati e sviluppati conformemente ai requisiti essenziali stabiliti nel presente regolamento. Sono compresi sia i prodotti che possono essere connessi in modo fisico tramite interfacce hardware sia i prodotti che sono connessi in modo logico, ad esempio tramite socket di rete, pipe, file, interfacce per programmi applicativi o qualsiasi altro tipo di interfaccia software. Poiché le minacce alla cibersicurezza possono propagarsi attraverso vari prodotti con elementi digitali prima di raggiungere un determinato obiettivo, ad esempio concatenando più exploit di vulnerabilità, i fabbricanti dovrebbero garantire la cibersicurezza anche dei prodotti che sono connessi solo indirettamente ad altri dispositivi o reti.

(8)Stabilendo requisiti di cibersicurezza per l'immissione sul mercato di prodotti con elementi digitali, si migliorerà la cibersicurezza di questi prodotti sia per i consumatori che per le imprese. Ciò include anche requisiti per l'immissione sul mercato di prodotti di consumo con elementi digitali destinati ai consumatori vulnerabili, come giocattoli e baby monitor. (9)Il presente regolamento garantisce un livello elevato di cibersicurezza dei prodotti con elementi digitali. Esso non disciplina i servizi, come il servizio a livello di software (Software-as-a-Service – SaaS), ad eccezione delle soluzioni di elaborazione dati da remoto relative a un prodotto con elementi digitali, intese come una qualsiasi elaborazione dati a distanza per la quale il software è progettato e sviluppato dal fabbricante del prodotto in questione o sotto la sua responsabilità e la cui assenza impedirebbe a tale prodotto con elementi digitali di svolgere una delle sue funzioni. La [direttiva XXX/XXXX (NIS2)] stabilisce requisiti di cibersicurezza e di segnalazione degli incidenti per i soggetti essenziali e importanti, come le infrastrutture critiche, al fine di aumentare la resilienza dei servizi che forniscono. La [direttiva XXX/XXXX (NIS2)] si applica ai servizi di cloud computing e ai modelli di servizi cloud, come il SaaS. Tutti i soggetti che forniscono servizi di cloud computing nell'Unione e che raggiungono o superano la soglia per le medie imprese rientrano nell'ambito di applicazione di tale direttiva. (10)Al fine di non ostacolare l'innovazione o la ricerca, il presente regolamento non dovrebbe disciplinare il software libero e open source sviluppato o fornito al di fuori di un'attività commerciale. Ciò vale in particolare per il software (compresi il codice sorgente e le versioni modificate) condiviso apertamente e liberamente accessibile, utilizzabile, modificabile e ridistribuibile. Nel contesto del software, un'attività commerciale può essere caratterizzata non solo dall'applicazione di un prezzo per un prodotto, ma anche dall'applicazione di un prezzo per i servizi di assistenza tecnica, dalla fornitura di una piattaforma software attraverso la quale il fabbricante monetizza altri servizi o dall'utilizzo di dati personali per motivi diversi dal solo miglioramento della sicurezza, della compatibilità o dell'interoperabilità del software. (11)Lo sviluppo di un'internet sicura è indispensabile per il funzionamento delle infrastrutture critiche e per la società nel suo complesso. La [direttiva XXX/XXXX (NIS2)] mira a garantire un livello elevato di cibersicurezza dei servizi forniti dai soggetti essenziali e importanti, compresi i fornitori di infrastrutture digitali che sostengono le funzioni fondamentali dell'internet aperta e garantiscono i servizi internet e l'accesso a internet. È quindi importante che i prodotti con elementi digitali necessari ai fornitori di infrastrutture digitali per garantire il funzionamento di internet siano sviluppati in modo sicuro e siano conformi a norme di sicurezza internet consolidate. Il presente regolamento, che si applica a tutti i prodotti hardware e software collegabili, mira anche a facilitare il rispetto dei requisiti relativi alla catena di approvvigionamento a norma della [direttiva XXX/XXXX (NIS2)] da parte dei fornitori di infrastrutture digitali, garantendo che i prodotti con elementi digitali che essi utilizzano per la fornitura dei loro servizi siano sviluppati in modo sicuro e che abbiano accesso ad aggiornamenti di sicurezza tempestivi per tali prodotti. (12)Il regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio stabilisce norme relative ai dispositivi medici e il regolamento (UE) 2017/746 del Parlamento europeo e del Consiglio stabilisce norme relative ai dispositivi medico-diagnostici in vitro. Entrambi i regolamenti si occupano di rischi di cibersicurezza e adottano approcci specifici che sono trattati anche nel presente regolamento. Più in particolare i regolamenti (UE) 2017/745 e (UE) 2017/746 stabiliscono i requisiti essenziali per i dispositivi medici che funzionano attraverso un sistema elettronico o che sono essi stessi software. Tali regolamenti disciplinano anche alcuni software non incorporati e l'approccio dell'intero ciclo di vita. Questi requisiti impongono ai fabbricanti di sviluppare e costruire i loro prodotti applicando principi di gestione del rischio e definendo requisiti relativi alle misure di sicurezza informatica, nonché corrispondenti procedure di valutazione della conformità. Inoltre da dicembre 2019 sono in vigore orientamenti specifici sulla cibersicurezza per i dispositivi medici, che forniscono ai fabbricanti di dispositivi medici, inclusi i dispositivi diagnostici in vitro, indicazioni su come soddisfare tutti i requisiti essenziali pertinenti dell'allegato I di tali regolamenti per quanto riguarda la cibersicurezza. I prodotti con elementi digitali a cui si applica uno dei due regolamenti non dovrebbero pertanto essere soggetti al presente regolamento. (13)Il regolamento (UE) 2019/2144 del Parlamento europeo e del Consiglio stabilisce i requisiti per l'omologazione dei veicoli e dei loro sistemi e componenti, introducendo taluni requisiti di cibersicurezza riguardanti, tra l'altro, il funzionamento di un sistema certificato di gestione della cibersicurezza e gli aggiornamenti del software, disciplinando le politiche e i processi delle organizzazioni per i rischi informatici relativi all'intero ciclo di vita dei veicoli, dei dispositivi e dei servizi in conformità dei regolamenti delle Nazioni Unite applicabili in materia di specifiche tecniche e cibersicurezza e prevedendo specifiche procedure di valutazione della conformità. Nel settore dell'aviazione, il regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio ha come obiettivo principale stabilire e mantenere un livello elevato ed uniforme di sicurezza dell'aviazione civile nell'Unione. Esso istituisce un quadro di requisiti essenziali per l'aeronavigabilità di prodotti aeronautici, parti ed equipaggiamenti, compreso il software, che tengono conto degli obblighi di protezione dalle minacce alla security delle informazioni. I prodotti con elementi digitali a cui si applica il regolamento (UE) 2019/2144 e quelli certificati in conformità del regolamento (UE) 2018/1139 non sono pertanto soggetti ai requisiti essenziali e alle procedure di valutazione della conformità di cui al presente regolamento. Il processo di certificazione a norma del regolamento (UE) 2018/1139 assicura il livello di garanzia perseguito dal presente regolamento. (14)Il presente regolamento stabilisce norme orizzontali in materia di cibersicurezza che non sono specifiche per settori o per determinati prodotti con elementi digitali. Tuttavia potrebbero essere introdotte norme dell'Unione settoriali o specifiche per prodotto, volte a stabilire requisiti che affrontano tutti o alcuni rischi coperti dai requisiti essenziali stabiliti dal presente regolamento. In tali casi l'applicazione del presente regolamento ai prodotti con elementi digitali contemplati da altre norme dell'Unione, che stabiliscono requisiti che affrontano tutti o alcuni rischi coperti dai requisiti essenziali di cui all'allegato I del presente regolamento, può essere limitata o esclusa, qualora tale limitazione o esclusione sia coerente con il quadro normativo generale applicabile a tali prodotti e qualora le norme settoriali conseguano lo stesso livello di protezione previsto dal presente regolamento. Alla Commissione è conferito il potere di adottare atti delegati per modificare il presente regolamento individuando tali prodotti e norme. Per quanto riguarda la normativa dell'Unione vigente in cui dovrebbero essere applicate tali limitazioni o esclusioni, il presente regolamento contiene disposizioni specifiche per chiarire il suo rapporto con tale normativa dell'Unione. (15)Il regolamento delegato (UE) 2022/30 specifica che i requisiti essenziali di cui all'articolo 3, paragrafo 3, lettera d) (danni alla rete e abuso delle risorse della rete), lettera e) (dati personali e vita privata) e lettera f) (frodi) della direttiva 2014/53/UE si applicano a determinate apparecchiature radio. La [decisione di esecuzione XXX/2022 della Commissione relativa ad una richiesta di normazione rivolta alle organizzazioni europee di normazione] stabilisce i requisiti per l'elaborazione di norme specifiche, precisando inoltre il modo in cui dovrebbero essere trattati questi tre requisiti essenziali. I requisiti essenziali stabiliti dal presente regolamento comprendono tutti gli elementi dei requisiti essenziali di cui all'articolo 3, paragrafo 3, lettere d), e) e f), della direttiva 2014/53/UE. I requisiti essenziali stabiliti nel presente regolamento sono inoltre allineati con gli obiettivi dei requisiti delle norme specifiche incluse in tale richiesta di normazione. Pertanto, se la Commissione abroga o modifica il regolamento delegato (UE) 2022/30, con la conseguenza che esso cessa di applicarsi a determinati prodotti soggetti al presente regolamento, la Commissione e le organizzazioni europee di normazione dovrebbero tenere conto dei lavori di normazione svolti nel contesto della decisione di esecuzione C(2022)5637 della Commissione relativa ad una richiesta di normazione per il regolamento delegato (UE) 2022/30 che integra la direttiva sulle apparecchiature radio nella preparazione e nello sviluppo di norme armonizzate per facilitare l'attuazione del presente regolamento. (16)La direttiva 85/374/CEE è complementare al presente regolamento. Tale direttiva stabilisce le norme in materia di responsabilità per danno da prodotti difettosi, in modo che i danneggiati possano chiedere il risarcimento quando un danno è stato causato da prodotti difettosi. Essa stabilisce il principio secondo cui il fabbricante di un prodotto è responsabile dei danni causati da una mancanza di sicurezza nel suo prodotto indipendentemente dalla colpa ("responsabilità oggettiva"). Se tale mancanza di sicurezza consiste nell'assenza di aggiornamenti di sicurezza dopo l'immissione sul mercato del prodotto e ciò causa un danno, questo potrebbe far scattare la responsabilità del fabbricante. Gli obblighi dei fabbricanti relativi alla fornitura di tali aggiornamenti di sicurezza dovrebbero essere stabiliti nel presente regolamento. (17)Il presente regolamento dovrebbe lasciare impregiudicato il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, comprese le disposizioni per l'istituzione di meccanismi di certificazione della protezione dei dati nonché di sigilli e marchi di protezione dei dati allo scopo di dimostrare la conformità a detto regolamento dei trattamenti effettuati dai titolari del trattamento e dai responsabili del trattamento. Tali operazioni potrebbero essere integrate in un prodotto con elementi digitali. La protezione dei dati fin dalla progettazione e per impostazione predefinita e la cibersicurezza in generale sono elementi fondamentali del regolamento (UE) 2016/679. Proteggendo i consumatori e le organizzazioni dai rischi di cibersicurezza, i requisiti essenziali di cibersicurezza stabiliti nel presente regolamento dovrebbero inoltre contribuire a migliorare la protezione dei dati personali e della vita privata delle persone. Dovrebbero essere considerate le sinergie sia nell'ambito della normazione che della certificazione relativamente agli aspetti di cibersicurezza attraverso la cooperazione tra la Commissione, le organizzazioni europee di normazione, l'Agenzia dell'Unione europea per la cibersicurezza (ENISA), il comitato europeo per la protezione dei dati (EDPB) istituito dal regolamento (UE) 2016/679 e le autorità nazionali di controllo della protezione dei dati. È opportuno creare sinergie tra il presente regolamento e il diritto dell'Unione in materia di protezione dei dati anche nel settore della vigilanza del mercato e dell'applicazione della normativa. A tal fine le autorità nazionali di vigilanza del mercato nominate a norma del presente regolamento dovrebbero cooperare con le autorità preposte alla vigilanza del diritto dell'Unione in materia di protezione dei dati. Queste ultime dovrebbero inoltre avere accesso alle informazioni pertinenti per lo svolgimento dei loro compiti. (18)Nella misura in cui i loro prodotti rientrano nell'ambito di applicazione del presente regolamento, gli emittenti dei portafogli europei di identità digitale di cui all'articolo [articolo 6 bis, paragrafo 2, del regolamento (UE) n. 910/2014, modificato dalla proposta di regolamento che modifica il regolamento (UE) n. 910/2014 per quanto riguarda l'istituzione di un quadro per un'identità digitale europea] dovrebbero essere conformi sia ai requisiti essenziali orizzontali stabiliti dal presente regolamento sia ai requisiti di sicurezza specifici stabiliti dall'articolo [articolo 6 bis del regolamento (UE) n. 910/2014, modificato dalla proposta di regolamento che modifica il regolamento (UE) n. 910/2014 per quanto riguarda l'istituzione di un quadro per un'identità digitale europea]. Al fine di facilitare la conformità, gli emittenti dei portafogli dovrebbero poter dimostrare la conformità dei portafogli europei di identità digitale ai requisiti stabiliti in ciascuno dei due atti certificando i loro prodotti nell'ambito di un sistema europeo di certificazione della cibersicurezza istituito a norma del regolamento (UE) 2019/881 e per il quale la Commissione ha specificato, mediante atto di esecuzione, una presunzione di conformità al presente regolamento, nella misura in cui il certificato o sue parti contemplino tali requisiti. (19)Alcuni compiti previsti dal presente regolamento dovrebbero essere svolti dall'ENISA, conformemente all'articolo 3, paragrafo 2, del regolamento (UE) 2019/881. In particolare l'ENISA dovrebbe ricevere le notifiche dei fabbricanti relative alle vulnerabilità attivamente sfruttate contenute nei prodotti con elementi digitali, nonché agli incidenti che hanno un impatto sulla sicurezza di tali prodotti. L'ENISA dovrebbe inoltre trasmettere tali notifiche ai pertinenti gruppi di intervento per la sicurezza informatica in caso di incidente (Computer Security Incident Response Teams – CSIRT) o ai pertinenti punti di contatto unici degli Stati membri designati conformemente all'articolo [articolo X] della direttiva [direttiva XXX/XXXX (NIS2)] e informare le autorità di vigilanza del mercato competenti in merito alla vulnerabilità notificata. Sulla base delle informazioni raccolte, l'ENISA dovrebbe preparare una relazione tecnica biennale sulle tendenze emergenti relative ai rischi di cibersicurezza nei prodotti con elementi digitali e presentarla al gruppo di cooperazione di cui alla direttiva [direttiva XXX/XXXX (NIS2)]. Inoltre, considerando le sue competenze e il suo mandato, l'ENISA dovrebbe poter sostenere il processo di attuazione del presente regolamento. In particolare dovrebbe poter proporre attività congiunte che saranno svolte dalle autorità di vigilanza del mercato sulla base di indicazioni o informazioni riguardanti la potenziale non conformità al presente regolamento di prodotti con elementi digitali in diversi Stati membri o di individuare categorie di prodotti per le quali dovrebbero essere organizzate azioni di controllo coordinate e simultanee. In circostanze eccezionali, su richiesta della Commissione, l'ENISA dovrebbe poter effettuare valutazioni su specifici prodotti con elementi digitali che presentano un rischio di cibersicurezza significativo, qualora sia necessario un intervento immediato per preservare il buon funzionamento del mercato interno. (20)I prodotti con elementi digitali dovrebbero recare la marcatura CE per indicare la loro conformità al presente regolamento, in modo da poter circolare liberamente nel mercato interno. Gli Stati membri non dovrebbero ostacolare in maniera ingiustificata l'immissione sul mercato di prodotti con elementi digitali che soddisfano i requisiti stabiliti nel presente regolamento e che recano la marcatura CE. (21)Per far sì che i fabbricanti possano rilasciare software ai fini di prova prima di sottoporre i loro prodotti alla valutazione della conformità, gli Stati membri non dovrebbero impedire la messa a disposizione di software non finiti, come versioni alfa, versioni beta o release candidate, a condizione che la versione sia messa a disposizione solo per il tempo necessario a testarla e a raccogliere riscontri. I fabbricanti dovrebbero provvedere affinché il software messo a disposizione a tali condizioni sia rilasciato solo a seguito di una valutazione dei rischi e sia conforme, per quanto possibile, ai requisiti di sicurezza relativi alle proprietà dei prodotti con elementi digitali imposti dal presente regolamento. I fabbricanti dovrebbero inoltre attuare, nella misura del possibile, i requisiti di gestione delle vulnerabilità. I fabbricanti non dovrebbero costringere gli utilizzatori a passare alle versioni rilasciate solo ai fini di prova. (22)Per garantire che i prodotti con elementi digitali, quando sono immessi sul mercato, non presentino rischi di cibersicurezza per le persone e le organizzazioni, è opportuno stabilire requisiti essenziali per tali prodotti. Qualora i prodotti vengano successivamente modificati, da mezzi fisici o digitali, in un modo non previsto dal fabbricante e che potrebbe implicare il fatto che essi non rispettino più i requisiti essenziali pertinenti, la modifica dovrebbe essere considerata sostanziale. Ad esempio gli aggiornamenti o le riparazioni del software potrebbero essere assimilati a interventi di manutenzione purché non modifichino un prodotto già immesso sul mercato in maniera tale da poter influire sulla sua conformità ai requisiti applicabili o da modificare l'uso previsto per il quale il prodotto è stato valutato. Come avviene per le modifiche o le riparazioni fisiche, un prodotto con elementi digitali dovrebbe essere considerato modificato sostanzialmente da un cambiamento del software qualora l'aggiornamento del software modifichi le funzioni, il tipo o le prestazioni originari del prodotto e ciò non fosse previsto nella valutazione dei rischi iniziale, o qualora la natura del pericolo sia cambiata o il livello di rischio sia aumentato a causa dell'aggiornamento del software. (23)In linea con la nozione generalmente riconosciuta di modifica sostanziale dei prodotti disciplinati dalla normativa di armonizzazione dell'Unione, ogniqualvolta intervenga una modifica sostanziale che possa incidere sulla conformità di un prodotto al presente regolamento oppure quando venga modificata la sua finalità prevista, è opportuno verificare la conformità del prodotto con elementi digitali e sottoporlo, se del caso, a una nuova valutazione della conformità. Ove applicabile, se il fabbricante effettua una valutazione della conformità che coinvolge terzi, i cambiamenti che potrebbero comportare modifiche sostanziali dovrebbero essere notificati a questi ultimi. (24)Il ricondizionamento, la manutenzione e la riparazione di un prodotto con elementi digitali, come definiti nel regolamento [regolamento sulla progettazione ecocompatibile], non comportano necessariamente una modifica sostanziale del prodotto, ad esempio se l'uso e le funzionalità previsti non sono modificati e il livello di rischio rimane inalterato. Tuttavia il miglioramento di un prodotto da parte del fabbricante potrebbe comportare modifiche nella progettazione e nello sviluppo del prodotto stesso e quindi influire sull'uso previsto e sulla conformità del prodotto ai requisiti stabiliti nel presente regolamento. (25)I prodotti con elementi digitali dovrebbero essere considerati critici se lo sfruttamento di potenziali vulnerabilità di cibersicurezza nel prodotto può provocare un impatto negativo grave a causa, tra l'altro, della funzionalità legata alla cibersicurezza o dell'uso previsto. In particolare le vulnerabilità nei prodotti con elementi digitali dotati di una funzionalità legata alla cibersicurezza, come gli elementi sicuri, possono determinare una propagazione dei problemi di sicurezza lungo l'intera catena di approvvigionamento. La gravità dell'impatto di un incidente di cibersicurezza può anche aumentare se si tiene conto dell'uso previsto del prodotto, ad esempio in un ambiente industriale o nel contesto di un soggetto essenziale del tipo di cui all'allegato [allegato I] della direttiva [direttiva XXX/XXXX (NIS2)], o se si svolgono funzioni critiche o sensibili, come il trattamento dei dati personali. (26)I prodotti con elementi digitali critici dovrebbero essere soggetti a procedure di valutazione della conformità più rigorose, pur mantenendo un approccio proporzionato. A tal fine i prodotti con elementi digitali critici dovrebbero essere suddivisi in due classi che riflettono il livello di rischio di cibersicurezza legato a tali categorie di prodotti. Un potenziale incidente informatico che coinvolga prodotti di classe II potrebbe avere impatti negativi maggiori rispetto a un incidente che coinvolga prodotti di classe I, ad esempio a causa della natura della loro funzione legata alla cibersicurezza o dell'uso previsto in ambienti sensibili, e pertanto dovrebbero essere sottoposti a una procedura di valutazione della conformità più rigorosa. (27)Le categorie di prodotti con elementi digitali critici di cui all'allegato III del presente regolamento dovrebbero essere intese come prodotti la cui funzionalità principale è del tipo indicato al medesimo allegato. L'allegato III del presente regolamento elenca ad esempio i prodotti che, in base alla loro funzionalità principale, sono definiti microprocessori di uso generale di classe II. Di conseguenza questi ultimi sono soggetti a una valutazione della conformità obbligatoria da parte di terzi. Ciò non si applica ad altri prodotti non esplicitamente menzionati nell'allegato III del presente regolamento che possono integrare un microprocessore di uso generale. La Commissione dovrebbe adottare atti delegati [entro 12 mesi dall'entrata in vigore del presente regolamento] per precisare le definizioni delle categorie di prodotti rientranti nelle classi I e II di cui all'allegato III.

(28)Il presente regolamento affronta i rischi di cibersicurezza in modo mirato. I prodotti con elementi digitali possono tuttavia comportare altri rischi di sicurezza che non sono connessi alla cibersicurezza. Tali rischi dovrebbero continuare a essere regolamentati da altre normative dell'Unione pertinenti in materia di prodotti. Se non sono applicabili altre normative di armonizzazione dell'Unione, essi dovrebbero essere soggetti al regolamento [regolamento relativo alla sicurezza generale dei prodotti]. Pertanto, alla luce della natura mirata del presente regolamento, in deroga all'articolo 2, paragrafo 1, terzo comma, lettera b), del regolamento [regolamento relativo alla sicurezza generale dei prodotti], il capo III, sezione 1, i capi V e VII e i capi da IX a XI del regolamento [regolamento relativo alla sicurezza generale dei prodotti] dovrebbero applicarsi ai prodotti con elementi digitali per quanto riguarda i rischi di sicurezza non contemplati dal presente regolamento, qualora tali prodotti non siano soggetti a requisiti specifici imposti da altre normative di armonizzazione dell'Unione ai sensi dell'[articolo 3, punto 25, del regolamento relativo alla sicurezza generale dei prodotti]. (29)I prodotti con elementi digitali classificati come sistemi di IA ad alto rischio conformemente all'articolo 6 del regolamento [regolamento sull'IA] che rientrano nell'ambito di applicazione del presente regolamento dovrebbero essere conformi ai requisiti essenziali stabiliti da quest'ultimo. Quando soddisfano i requisiti essenziali del presente regolamento, tali sistemi di IA ad alto rischio dovrebbero presumersi conformi ai requisiti di cibersicurezza di cui all'articolo [articolo 15] del regolamento [regolamento sull'IA] nella misura in cui tali requisiti siano contemplati dalla dichiarazione di conformità UE, o da sue parti, rilasciata a norma del presente regolamento. Per quanto riguarda le procedure di valutazione della conformità relative ai requisiti essenziali di cibersicurezza di un prodotto con elementi digitali contemplato dal presente regolamento e classificato come sistema di IA ad alto rischio, è opportuno che si applichino come norma generale le disposizioni pertinenti dell'articolo 43 del regolamento [regolamento sull'IA] anziché le rispettive disposizioni del presente regolamento. Tuttavia tale norma non dovrebbe comportare una riduzione del livello di garanzia necessario per i prodotti con elementi digitali critici contemplati dal presente regolamento. Pertanto, in deroga a detta norma, i sistemi di IA ad alto rischio che rientrano nell'ambito di applicazione del regolamento [regolamento sull'IA] e che sono anche qualificati come prodotti con elementi digitali critici a norma del presente regolamento e ai quali si applica la procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI del regolamento [regolamento sull'IA] dovrebbero essere soggetti alle disposizioni in materia di valutazione della conformità del presente regolamento per quanto riguarda i requisiti essenziali dello stesso. In questo caso, per tutti gli altri aspetti contemplati dal regolamento [regolamento sull'AI], è opportuno applicare le rispettive disposizioni in materia di valutazione della conformità basata sul controllo interno di cui all'allegato VI del regolamento [regolamento sull'IA]. (30)I prodotti macchina che rientrano nell'ambito di applicazione del regolamento [proposta di regolamento sui prodotti macchina] che sono prodotti con elementi digitali ai sensi del presente regolamento e per i quali è stata rilasciata una dichiarazione di conformità sulla base di quest'ultimo dovrebbero presumersi conformi ai requisiti essenziali di sicurezza e di tutela della salute di cui all'[allegato III, sezioni 1.1.9 e 1.2.1] del regolamento [proposta di regolamento sui prodotti macchina], per quanto concerne la protezione contro la corruzione e la sicurezza e l'affidabilità dei sistemi di controllo nella misura in cui la conformità a tali requisiti sia dimostrata dalla dichiarazione di conformità UE rilasciata a norma del presente regolamento. (31)Il regolamento [proposta di regolamento sullo spazio europeo dei dati sanitari] integra i requisiti essenziali stabiliti dal presente regolamento. I sistemi di cartelle cliniche elettroniche che rientrano nell'ambito di applicazione del regolamento [proposta di regolamento sullo spazio europeo dei dati sanitari] e che sono prodotti con elementi digitali ai sensi del presente regolamento dovrebbero pertanto essere conformi ai requisiti essenziali stabiliti da quest'ultimo. I fabbricanti dovrebbero dimostrare la conformità dei loro sistemi secondo quanto disposto dal regolamento [proposta di regolamento sullo spazio europeo dei dati sanitari]. Per facilitare la conformità, i fabbricanti possono redigere un'unica documentazione tecnica contenente gli elementi richiesti da entrambi gli atti giuridici. Poiché il presente regolamento non riguarda il SaaS in quanto tale, i sistemi di cartelle cliniche elettroniche offerti attraverso il modello di licenza e fornitura SaaS non rientrano nell'ambito di applicazione del presente regolamento. Analogamente i sistemi di cartelle cliniche elettroniche sviluppati e utilizzati internamente non rientrano nell'ambito di applicazione del presente regolamento, in quanto non sono immessi sul mercato. (32)Al fine di garantire che i prodotti con elementi digitali siano sicuri sia al momento dell'immissione sul mercato sia durante l'intero ciclo di vita, è necessario stabilire requisiti essenziali per la gestione delle vulnerabilità e requisiti essenziali di cibersicurezza relativi alle proprietà dei prodotti con elementi digitali. Se da un lato i fabbricanti dovrebbero soddisfare tutti i requisiti essenziali relativi alla gestione delle vulnerabilità e garantire che tutti i loro prodotti siano consegnati senza vulnerabilità note sfruttabili, dall'altro dovrebbero determinare quali altri requisiti essenziali relativi alle proprietà del prodotto sono pertinenti per il tipo di prodotto in questione. A tal fine è opportuno che i fabbricanti effettuino una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali per identificare i rischi e i requisiti essenziali pertinenti e per applicare in modo appropriato le norme armonizzate o le specifiche comuni adeguate. (33)Per migliorare la sicurezza dei prodotti con elementi digitali immessi sul mercato interno occorre stabilire requisiti essenziali. Tali requisiti essenziali non dovrebbero pregiudicare le valutazioni dei rischi coordinate a livello dell'UE delle catene di approvvigionamento critiche stabilite dall'[articolo X] della direttiva [direttiva XXX/XXXX (NIS2)], che tengono conto sia dei fattori di rischio tecnici sia, se pertinente, di quelli non tecnici, come l'indebita influenza di un paese terzo sui fornitori. Inoltre ciò non dovrebbe pregiudicare le prerogative degli Stati membri di stabilire requisiti aggiuntivi che tengano conto di fattori non tecnici al fine di garantire un livello elevato di resilienza, compresi quelli definiti nella raccomandazione (UE) 2019/534, nella valutazione dei rischi coordinata a livello dell'UE della sicurezza delle reti 5G e nel pacchetto di strumenti dell'UE sulla cibersicurezza del 5G concordato dal gruppo di cooperazione NIS di cui alla [direttiva XXX/XXXX (NIS2)]. (34)Per garantire che i CSIRT nazionali e i punti di contatto unici designati conformemente all'articolo [articolo X] della direttiva [direttiva XX/XXXX (NIS2)] ricevano le informazioni necessarie per svolgere i loro compiti e innalzare il livello generale di cibersicurezza dei soggetti essenziali e importanti e per garantire il funzionamento efficace delle autorità di vigilanza del mercato, i fabbricanti di prodotti con elementi digitali dovrebbero notificare all'ENISA le vulnerabilità attivamente sfruttate. Poiché la maggior parte dei prodotti con elementi digitali è commercializzata sull'intero mercato interno, qualsiasi vulnerabilità sfruttata in un prodotto con elementi digitali dovrebbe essere considerata una minaccia al funzionamento del mercato interno. I fabbricanti dovrebbero inoltre considerare la possibilità di divulgare le vulnerabilità risolte alla banca dati europea delle vulnerabilità istituita a norma della direttiva [direttiva XX/XXXX (NIS2)] e gestita dall'ENISA o a qualsiasi altra banca dati delle vulnerabilità accessibile al pubblico. (35)I fabbricanti dovrebbero anche segnalare all'ENISA qualsiasi incidente che abbia un impatto sulla sicurezza del prodotto con elementi digitali. Fatti salvi gli obblighi di segnalazione degli incidenti previsti dalla direttiva [direttiva XXX/XXXX (NIS2)] per i soggetti essenziali e importanti, è fondamentale che l'ENISA, i punti di contatto unici designati dagli Stati membri conformemente all'articolo [articolo X] della direttiva [direttiva XXX/XXXX (NIS2)] e le autorità di vigilanza del mercato ricevano informazioni dai fabbricanti di prodotti con elementi digitali che consentano loro di valutare la sicurezza di tali prodotti. Per far sì che gli utilizzatori possano reagire rapidamente agli incidenti che hanno un impatto sulla sicurezza dei loro prodotti con elementi digitali, i fabbricanti dovrebbero inoltre informare gli utilizzatori di tali incidenti e, se del caso, di eventuali misure correttive che gli utilizzatori potrebbero adottare per attenuarne l'impatto, ad esempio attraverso la pubblicazione di informazioni pertinenti sui propri siti web o il contatto diretto, qualora il fabbricante sia in grado di contattare gli utilizzatori e ciò sia giustificato dai rischi. (36)I fabbricanti di prodotti con elementi digitali dovrebbero mettere in atto politiche di divulgazione coordinata delle vulnerabilità per facilitare la segnalazione delle vulnerabilità da parte di individui o soggetti. Una politica di divulgazione coordinata delle vulnerabilità dovrebbe indicare un processo strutturato attraverso il quale le vulnerabilità sono segnalate al fabbricante in modo da consentire a quest'ultimo di diagnosticarle ed eliminarle prima che informazioni dettagliate in merito siano comunicate a terzi o al pubblico. Dato che le informazioni sulle vulnerabilità sfruttabili in prodotti con elementi digitali di largo consumo possono essere vendute a prezzi elevati sul mercato nero, i fabbricanti di tali prodotti, nell'ambito delle loro politiche di divulgazione coordinata delle vulnerabilità, dovrebbero poter utilizzare programmi volti a incentivare la segnalazione delle vulnerabilità garantendo che individui o soggetti ricevano un riconoscimento e un compenso per i loro sforzi (i cosiddetti "programmi di bug bounty"). (37)Per facilitare l'analisi delle vulnerabilità, i fabbricanti dovrebbero individuare e documentare i componenti contenuti nei prodotti con elementi digitali, creando anche una distinta base del software. Tale distinta può fornire a coloro che realizzano, acquistano e utilizzano il software informazioni che migliorano la loro comprensione della catena di approvvigionamento, con molteplici vantaggi, in particolare quello di aiutare i fabbricanti e gli utilizzatori a tenere traccia delle vulnerabilità e dei rischi noti emersi di recente. È particolarmente importante che i fabbricanti garantiscano che i loro prodotti non contengono componenti vulnerabili sviluppati da terzi. (38)Al fine di facilitare la valutazione della conformità ai requisiti stabiliti dal presente regolamento, è opportuno che vi sia una presunzione di conformità per i prodotti con elementi digitali conformi alle norme armonizzate che traducono i requisiti essenziali del presente regolamento in specifiche tecniche dettagliate e che sono adottate conformemente al regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio. Il regolamento (UE) n. 1025/2012 prevede una procedura di obiezione a norme armonizzate che non soddisfano completamente i requisiti del presente regolamento. (39)Il regolamento (UE) 2019/881 istituisce un quadro volontario europeo di certificazione della cibersicurezza per i prodotti, i servizi e i processi TIC. I sistemi europei di certificazione della cibersicurezza possono applicarsi ai prodotti con elementi digitali contemplati dal presente regolamento. Il presente regolamento dovrebbe creare sinergie con il regolamento (UE) 2019/881. Al fine di facilitare la valutazione della conformità ai requisiti stabiliti nel presente regolamento, i prodotti con elementi digitali che sono certificati o per i quali è stata rilasciata una dichiarazione di conformità nell'ambito di un sistema di cibersicurezza a norma del regolamento (UE) 2019/881 e identificato dalla Commissione in un atto di esecuzione sono considerati conformi ai requisiti essenziali del presente regolamento nella misura in cui tali requisiti siano contemplati nel certificato di cibersicurezza o nella dichiarazione di conformità o in parti di essi. La necessità di nuovi sistemi europei di certificazione della cibersicurezza per i prodotti con elementi digitali dovrebbe essere valutata alla luce del presente regolamento. Tali futuri sistemi europei di certificazione della cibersicurezza relativi ai prodotti con elementi digitali dovrebbero tenere conto dei requisiti essenziali stabiliti nel presente regolamento e facilitare la conformità a quest'ultimo. Alla Commissione dovrebbe essere conferito il potere di specificare, mediante atti di esecuzione, i sistemi europei di certificazione della cibersicurezza che possono essere utilizzati per dimostrare la conformità ai requisiti essenziali stabiliti nel presente regolamento. Inoltre, al fine di evitare un onere amministrativo indebito a carico dei fabbricanti, la Commissione dovrebbe specificare, ove applicabile, se un certificato di cibersicurezza rilasciato nell'ambito di tali sistemi europei di certificazione della cibersicurezza sopprime l'obbligo per i fabbricanti di effettuare una valutazione della conformità da parte di terzi, come previsto dal presente regolamento per i requisiti corrispondenti. (40)All'entrata in vigore dell'atto di esecuzione che istituisce il [regolamento di esecuzione (UE) .../... della Commissione, del XXX, sul sistema europeo di certificazione della cibersicurezza basato sui criteri comuni], che riguarda i prodotti hardware contemplati dal presente regolamento, come i microprocessori e i moduli di sicurezza dell'hardware, la Commissione può specificare, mediante atto di esecuzione, come tale sistema conferisca una presunzione di conformità ai requisiti essenziali di cui all'allegato I del presente regolamento o a loro parti. Inoltre tale atto di esecuzione può specificare in che modo un certificato rilasciato nell'ambito del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni sopprima l'obbligo per i fabbricanti di effettuare una valutazione da parte di terzi, come previsto dal presente regolamento per i requisiti corrispondenti. (41)Se non sono adottate norme armonizzate o se le norme armonizzate non affrontano in misura sufficiente i requisiti essenziali del presente regolamento, la Commissione dovrebbe poter adottare specifiche comuni mediante atti di esecuzione. Tra le ragioni per definire tali specifiche comuni, anziché utilizzare norme armonizzate, possono figurare il rifiuto della richiesta di normazione da parte di una qualsiasi organizzazione europea di normazione, ritardi ingiustificati nell'elaborazione di norme armonizzate appropriate o la mancanza di conformità delle norme elaborate ai requisiti del presente regolamento o a una richiesta della Commissione. Per facilitare la valutazione della conformità ai requisiti essenziali stabiliti dal presente regolamento, è opportuno che vi sia una presunzione di conformità per i prodotti con elementi digitali conformi alle specifiche comuni adottate dalla Commissione a norma del presente regolamento al fine della formulazione di specifiche tecniche dettagliate in relazione a tali requisiti. (42)I fabbricanti dovrebbero redigere una dichiarazione di conformità UE che fornisca le informazioni richieste a norma del presente regolamento sulla conformità dei prodotti con elementi digitali ai requisiti essenziali stabiliti dal presente regolamento e, ove applicabile, da altri atti pertinenti della normativa di armonizzazione dell'Unione che disciplinano tale prodotto. I fabbricanti possono altresì essere tenuti a redigere una dichiarazione di conformità UE in base a un'altra normativa dell'Unione. Al fine di garantire un accesso efficace alle informazioni per fini di vigilanza del mercato, dovrebbe essere redatta un'unica dichiarazione di conformità UE per quanto riguarda la conformità a tutti gli atti pertinenti dell'Unione. Al fine di ridurre l'onere amministrativo a carico degli operatori economici, tale dichiarazione di conformità UE unica dovrebbe poter consistere in un fascicolo comprendente le dichiarazioni di conformità individuali pertinenti. (43)La marcatura CE, che indica la conformità di un prodotto, è la conseguenza visibile di un intero processo che comprende la valutazione della conformità in senso lato. I principi generali che disciplinano la marcatura CE sono indicati nel regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio. È opportuno che nel presente regolamento siano fissate le norme relative all'apposizione della marcatura CE sui prodotti con elementi digitali. La marcatura CE dovrebbe essere l'unica marcatura che garantisce la conformità dei prodotti con elementi digitali ai requisiti del presente regolamento. (44)Per consentire agli operatori economici di dimostrare la conformità ai requisiti essenziali stabiliti nel presente regolamento e alle autorità di vigilanza del mercato di garantire che i prodotti con elementi digitali messi a disposizione sul mercato siano conformi a tali requisiti, è necessario prevedere procedure di valutazione della conformità. La decisione n. 768/2008/CE del Parlamento europeo e del Consiglio stabilisce moduli per le procedure di valutazione della conformità proporzionalmente al livello di rischio effettivo e di sicurezza richiesto. Per garantire la coerenza intersettoriale ed evitare varianti ad hoc, le procedure di valutazione della conformità adeguate per verificare la conformità dei prodotti con elementi digitali ai requisiti essenziali stabiliti nel presente regolamento sono basate su tali moduli. Le procedure di valutazione della conformità dovrebbero esaminare e verificare sia i requisiti relativi al prodotto sia quelli relativi al processo riguardanti l'intero ciclo di vita dei prodotti con elementi digitali, tra cui la pianificazione, la progettazione, lo sviluppo o la produzione, il collaudo e la manutenzione del prodotto. (45)La valutazione della conformità dei prodotti con elementi digitali dovrebbe essere di norma effettuata dal fabbricante sotto la propria responsabilità, applicando la procedura basata sul modulo A della decisione n. 768/2008/CE. Il fabbricante dovrebbe mantenere la flessibilità di scegliere una procedura di valutazione della conformità più rigorosa che coinvolga terzi. Se il prodotto è classificato come prodotto critico di classe I, è necessaria una garanzia supplementare per dimostrare la conformità ai requisiti essenziali stabiliti nel presente regolamento. Se intende effettuare la valutazione della conformità sotto la propria responsabilità (modulo A), il fabbricante dovrebbe applicare le norme armonizzate, le specifiche comuni o i sistemi di certificazione della cibersicurezza a norma del regolamento (UE) 2019/881 che sono stati identificati dalla Commissione in un atto di esecuzione. Se non applica tali norme armonizzate, specifiche comuni o sistemi di certificazione della cibersicurezza, il fabbricante dovrebbe effettuare una valutazione della conformità che coinvolga terzi. Tenendo conto dell'onere amministrativo a carico dei fabbricanti e del fatto che la cibersicurezza svolge un ruolo importante nella fase di progettazione e sviluppo dei prodotti tangibili e intangibili con elementi digitali, le procedure di valutazione della conformità basate rispettivamente sui moduli B+C o sul modulo H della decisione 768/2008/CE sono state scelte come le più appropriate per valutare la conformità dei prodotti con elementi digitali critici in modo proporzionato ed efficace. Il fabbricante che effettua la valutazione della conformità da parte di terzi può scegliere la procedura che meglio si adatta al suo processo di progettazione e produzione. Dato il rischio di cibersicurezza ancora maggiore legato all'uso di prodotti classificati come prodotti critici di classe II, la valutazione della conformità dovrebbe sempre coinvolgere terzi. (46)Mentre la creazione di prodotti tangibili con elementi digitali richiede di norma un notevole impegno da parte dei fabbricanti nelle fasi di progettazione, sviluppo e produzione, la creazione di prodotti con elementi digitali sotto forma di software si concentra quasi esclusivamente sulla progettazione e sullo sviluppo, mentre la fase di produzione svolge un ruolo minore. Tuttavia in molti casi i prodotti software devono ancora essere compilati, costruiti, pacchettizzati, messi a disposizione per il download o copiati su supporti fisici prima di essere immessi sul mercato. Tali attività dovrebbero essere considerate attività assimilabili alla produzione quando si applicano i moduli di valutazione della conformità pertinenti per verificare la conformità del prodotto ai requisiti essenziali del presente regolamento nelle fasi di progettazione, sviluppo e produzione. (47)Ai fini della valutazione della conformità da parte di terzi dei prodotti con elementi digitali, le autorità nazionali di notifica dovrebbero notificare gli organismi di valutazione della conformità alla Commissione e agli altri Stati membri, a condizione che tali organismi soddisfino una serie di requisiti, in particolare in materia di indipendenza, competenza e assenza di conflitti di interesse.

(48)Per garantire un livello uniforme di qualità nello svolgimento della valutazione della conformità dei prodotti con elementi digitali, è altresì necessario stabilire requisiti da applicare alle autorità di notifica e agli altri organismi che intervengono nella valutazione, nella notifica e nel controllo degli organismi notificati. Il sistema previsto dal presente regolamento dovrebbe essere completato dal sistema di accreditamento di cui al regolamento (CE) n. 765/2008. Poiché l'accreditamento è un mezzo essenziale per la verifica della competenza degli organismi di valutazione della conformità, è opportuno impiegarlo anche ai fini della notifica. (49)L'accreditamento trasparente, quale previsto dal regolamento (CE) n. 765/2008, che garantisce il necessario livello di fiducia nei certificati di conformità, dovrebbe essere considerato dalle autorità pubbliche nazionali in tutta l'Unione lo strumento preferito per dimostrare la competenza tecnica di tali organismi. Tuttavia le autorità nazionali possono ritenere di possedere gli strumenti idonei a eseguire da sé tale valutazione. In tal caso, onde assicurare l'opportuno livello di credibilità delle valutazioni effettuate dalle altre autorità nazionali, dovrebbero fornire alla Commissione e agli altri Stati membri le necessarie prove documentali che dimostrino che gli organismi di valutazione della conformità valutati rispettano le pertinenti prescrizioni regolamentari. (50)Spesso gli organismi di valutazione della conformità subappaltano parti delle loro attività connesse alla valutazione della conformità o fanno ricorso ad un'affiliata. Al fine di salvaguardare il livello di tutela richiesto per il prodotto con elementi digitali da immettere sul mercato, è indispensabile che i subappaltatori e le affiliate di valutazione della conformità rispettino gli stessi requisiti applicati agli organismi notificati in relazione allo svolgimento di compiti di valutazione della conformità. (51)La notifica di un organismo di valutazione della conformità dovrebbe essere inviata dall'autorità di notifica alla Commissione e agli altri Stati membri tramite il sistema informativo NANDO (New Approach Notified and Designated Organisations). NANDO è lo strumento elettronico di notifica elaborato e gestito dalla Commissione in cui è possibile trovare un elenco di tutti gli organismi notificati. (52)Poiché gli organismi notificati possono offrire i propri servizi in tutta l'Unione, è opportuno conferire agli altri Stati membri e alla Commissione la possibilità di sollevare obiezioni relative a un organismo notificato. È pertanto importante prevedere un periodo durante il quale sia possibile chiarire eventuali dubbi o preoccupazioni circa la competenza degli organismi di valutazione della conformità prima che essi inizino ad operare in qualità di organismi notificati. (53)Nell'interesse della competitività, è fondamentale che gli organismi notificati applichino le procedure di valutazione della conformità senza creare un onere superfluo per gli operatori economici. Analogamente, e per garantire parità di trattamento agli operatori economici dovrebbe essere garantita un'applicazione tecnica coerente delle procedure di valutazione della conformità. Essa dovrebbe essere ottenuta più agevolmente mediante un coordinamento e una cooperazione appropriati tra organismi notificati. (54)La vigilanza del mercato è un'attività essenziale per garantire l'applicazione corretta ed uniforme della normativa dell'Unione. Di conseguenza è opportuno istituire un quadro giuridico entro il quale la vigilanza del mercato possa svolgersi in maniera adeguata. Le norme sulla vigilanza del mercato dell'Unione e sul controllo dei prodotti che entrano nel mercato dell'Unione di cui al regolamento (UE) 2019/1020 del Parlamento europeo e del Consiglio si applicano ai prodotti con elementi digitali contemplati dal presente regolamento. (55)Conformemente al regolamento (UE) 2019/1020, le autorità di vigilanza del mercato effettuano la vigilanza del mercato nel territorio del rispettivo Stato membro. Il presente regolamento non dovrebbe impedire agli Stati membri di scegliere le autorità competenti incaricate dello svolgimento di tali compiti. Ogni Stato membro dovrebbe designare una o più autorità di vigilanza del mercato nel proprio territorio. Gli Stati membri possono scegliere di designare qualsiasi autorità già esistente o una nuova autorità che agisca come autorità di vigilanza del mercato, comprese le autorità nazionali competenti di cui all'articolo [articolo X] della direttiva [direttiva XXX/XXXX (NIS2)] o le autorità nazionali di certificazione della cibersicurezza designate di cui all'articolo 58 del regolamento (UE) 2019/881. Gli operatori economici dovrebbero collaborare pienamente con le autorità di vigilanza del mercato e con le altre autorità competenti. Ogni Stato membro dovrebbe informare la Commissione e gli altri Stati membri circa le sue autorità di vigilanza del mercato e gli ambiti di competenza di ciascuna autorità e garantire le risorse e le competenze necessarie per svolgere i compiti di vigilanza relativi al presente regolamento. A norma dell'articolo 10, paragrafi 2 e 3, del regolamento (UE) 2019/1020, ogni Stato membro dovrebbe designare un ufficio unico di collegamento responsabile, tra l'altro, di rappresentare la posizione coordinata delle autorità di vigilanza del mercato e di fornire sostegno alla cooperazione tra le autorità di vigilanza del mercato di diversi Stati membri. (56)È opportuno istituire un apposito gruppo di cooperazione amministrativa (ADCO) per l'applicazione uniforme del presente regolamento, a norma dell'articolo 30, paragrafo 2, del regolamento (UE) 2019/1020. Tale