SubmittedText

Fin 2022, l’Union européenne a adopté la loi sur la « cyberrésilience » (Cyber Resilience Act), qui renforce les règles en matière de cybersécurité pour garantir une plus grande sécurité des produits matériels et logiciels. Il se dit que le projet devrait entrer en force au premier trimestre 2026.

Comme on le sait, la Suisse n’est pas imperméable aux évolutions législatives européennes. Par exemple, l’OMAC (Organisation for Machine Automation and Control) dont font partie plusieurs grandes entreprises suisses, a mis en place un groupe de travail chargé d'élaborer un guide pratique pour aider les chefs d'entreprise, les informaticiens et les ingénieurs à comprendre les mesures qu'ils doivent prendre pour se conformer au « Cyber Resilience Act ». Ces règles déploieront probablement leurs effets sur l’industrie des machines suisses, industrie exportatrice s’il en est.

Dès lors que de nombreuses industries exportatrices sont concernées par la législation européenne, le Conseil fédéral anticipe-t-il les effets de l’adoption du « Cyber Resilience Act » ? Le Conseil fédéral estime-t-il que les filières de formation sont suffisamment préparées pour répondre aux enjeux de cette législation européenne afin d’offrir au marché les spécialistes nécessaires ?

FederalCouncilResponseText

Il Consiglio federale ha riconosciuto l’importanza del «Regolamento relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali», noto come «Cyber Resilience Act» («legge sulla ciberresilienza»), e ne sta monitorando attentamente lo sviluppo. Un gruppo di coordinamento interdipartimentale monitora regolarmente la politica digitale dell’UE e indaga il suo potenziale impatto sulla Svizzera. L’ultimo rapporto del gruppo di lavoro, datato 15 marzo, riguarda anche la legge sulla ciberresilienza. Il regolamento proposto dalla Commissione europea ha superato la prima lettura del Consiglio dell’UE e verrà sottoposto per la prima lettura al Parlamento europeo. Tale legge richiede ai produttori di articoli con componenti digitali di garantire la cibersicurezza già durante il processo di produzione e per l’intero ciclo di vita del prodotto. Il documento chiarisce che la Commissione europea è disposta a trasferire i principi della responsabilità del prodotto all’ambito riguardante la cibersicurezza.

L’atto giuridico distingue tra prodotti critici e non critici. La grande maggioranza dei prodotti appartenenti al settore dei beni di consumo è considerata non critica. Al fine di valutarne la sicurezza è pertanto sufficiente un’autovalutazione da parte del produttore. Per i prodotti critici è necessaria una valutazione da parte di terzi. I produttori di tali articoli devono inoltre monitorare la situazione di minaccia, segnalare eventuali vulnerabilità e fornire aggiornamenti di sicurezza se necessario. Ad esempio browser, password manager, firewall per uso industriale, router, carte chip e relativi lettori sono indicati come prodotti critici.

Poiché l’UE è il mercato più importante per le esportazioni di molte industrie svizzere, tale atto giuridico avrà un impatto sul nostro Paese. In futuro, gli esportatori di prodotti classificati come critici dovranno essere in grado di dimostrare che i componenti digitali utilizzati soddisfano gli standard di sicurezza e fornire valutazioni di conformità.

L’attuazione della legge sulla ciberresilienza, se approvata dal Parlamento europeo e dal Consiglio dell’UE, comporterà quindi un notevole sforzo da parte delle aziende. Tuttavia, molte di queste imprese sono già attive in settori altamente regolamentati e hanno esperienza nell’affrontare i requisiti legali dei diversi mercati.

Inoltre, poiché la legge sulla ciberresilienza adotterà come base l’atto delegato della direttiva 2014/53/UE riguardante le apparecchiature radio, l’industria ha già familiarità con il sistema, almeno per quanto riguarda gli impianti di radiocomunicazione (ad es. WiFi, dispositivi IoT e radio).

Il Consiglio federale è consapevole della carenza di lavoratori specializzati nel settore della cibersicurezza. Poiché la legge sulla ciberresilienza non è ancora stata approvata e le norme applicabili non sono ancora note, è necessario seguire lo sviluppo di tale atto per individuare le conoscenze necessarie alla sua attuazione. Nel complesso, tuttavia, il Consiglio federale ritiene che il sistema educativo svizzero sia sufficientemente flessibile per poter rispondere a ulteriori esigenze formative.