Lo schema si colloca su un piano prevalentemente organizzativo, procedurale e di coordinamentointerno e stabilisce le disposizioni necessarie a garantire la corretta e integrale applicazione del regolamento europeo e il raccordo con la normativa settoriale vigente.
L’autorità individuata per la vigilanza e i canali di segnalazione è l’Agenzia per la cybersicurezza nazionale accanto ai quali si collocano le autorità di settore anche in riferimento all’applicazione del Reg. Eu.1689/2024. La normativa italiana sull’AI individua, infatti, singole autorità di settore per i singoli ambiti disciplinati quali Banca d’Italia, della CONSOB, dell’IVASS e del Garante per la protezione dei dati personali.
La compresenza di più autorità rende centrale il tema del coordinamento istituzionale, rispetto al quale lo schema prevede la possibilità di adottare accordi diretti a disciplinare meccanismi di cooperazione, scambio informativo e coordinamento operativo tra le autorità di vigilanza del mercato, le autorità incaricate dei controlli sui prodotti in ingresso nel mercato dell’Unione.
Nella medesima prospettiva, il testo contempla specifiche forme di collaborazione tra l’Agenzia, le autorità del settore finanziario e il Garante per la protezione dei dati personali. Lo scopo è quello di garantire una tempestiva e completa condivisione delle informazioni al fine dell’esercizio delle rispettive funzioni. L’impostazione risulta necessaria soprattutto nei casi in cui la conformità di un prodotto con elementi digitali involva diversi interessi oggetto di specifica tutela.
L’esercizio dei poteri di vigilanza potrà inoltre avvalersi della collaborazione del Corpo della Guardia di finanza, mentre le modalità e i termini relativi all’esercizio delle attribuzioni dell’Agenzia formeranno oggetto di un successivo regolamento adottato con decreto del Presidente del Consiglio dei ministri, di concerto con il Ministro dell’economia e delle finanze. Il rinvio nello schema di decreto presuppone che le modalità del controllo troverà definizione in una fase attuativa successiva rispetto all’adozione del decreto legislativo.
Un ulteriore asse della disciplina riguarda gli organismi di valutazione della conformità e le relative procedure di designazione e notifica. L’Agenzia è individuata quale autorità di notifica, mentre i compiti di valutazione e controllo sono affidati all’organismo nazionale di accreditamento, individuato in Accredia, nell’ambito di un rapporto regolato da apposita convenzione con l’ACN.
L’organismo di valutazione della conformità interessato alla notifica dovrà presentare domanda all’Agenzia, corredata dalla documentazione prevista dal regolamento e dal certificato di accreditamento, mentre le procedure operative di designazione e notifica saranno definite con provvedimento del direttore generale dell’ACN e pubblicate sul sito istituzionale dell’Agenzia. Lo schema contempla, inoltre, un sistema tariffario posto a carico degli organismi interessati, con determinazione delle tariffe sulla base del costo effettivo del servizio.
Un altro profilo di rilievo concerne la gestione delle segnalazioni e delle notifiche previste dal regolamento. Lo schema stabilisce che l’Agenzia provveda ad adeguare il proprio Portale Segnalazioni agli adempimenti richiesti dall’articolo 16 del Cyber Resilience Act e al collegamento con la piattaforma di segnalazione dell’ENISA, con la conseguente integrazione delle procedure nazionali all’interno del sistema europeo di gestione delle informazioni relative alla cybersicurezza dei prodotti.
Importanza specifica viene dedicata alla tutela dei consumatori, che alla luce del CRA, godono di uno specifico potere di reclamo. In questo caso, il decreto prevede che le autorità di vigilanza del mercato ricevano i reclami secondo le rispettive competenze e che le procedure relative alle segnalazioni dirette al CSIRT Italia siano disciplinate con decreto del direttore generale dell’Agenzia.
Dal punto di vista dell’organizzazione aziendale, la previsione di canali istituzionali dedicati alle notifiche e alle segnalazioni rende opportuno che le imprese interessate dispongano di assetti interni idonei a garantire la tempestiva individuazione delle informazioni rilevanti e la loro corretta trasmissione ai soggetti competenti, con particolare attenzione alla definizione delle responsabilità interne, ai flussi di escalation e alla disponibilità della documentazione tecnica necessaria a supportare le eventuali interlocuzioni con le autorità.
Sul versante sanzionatorio, lo schema attribuisce alle autorità di vigilanza del mercato il potere di applicare le sanzioni previste dall’articolo 64 del regolamento, secondo le rispettive competenze, con la precisazione che, ai fini delle sanzioni parametrate al fatturato, rileva il fatturato totale annuo della società o dell’ente risultante dall’ultimo bilancio disponibile approvato dall’organo competente, secondo le eventuali specificazioni derivanti dalla disciplina settoriale applicabile.
La posizione delle microimprese, delle piccole e medie imprese e delle start-up riceve una considerazione autonoma nell’ambito del decreto, attraverso la previsione di iniziative finalizzate al miglioramento delle competenze in materia di cybersicurezza, cyberresilienza e sicurezza dei prodotti digitali, affidate all’Agenzia quale Centro nazionale di coordinamento.
Il legislatore prevede inoltre che gli organismi di valutazione della conformità tengano conto delle esigenze delle imprese di minori dimensioni nella definizione delle tariffe, secondo criteri di proporzionalità e sulla base di un approccio fondato sul rischio, con l’obiettivo di modulare l’onere economico e procedurale in relazione alle caratteristiche dei soggetti coinvolti.
In tale quadro si inserisce l’istituzione della Sandbox-CRA, configurata come spazio di sperimentazione normativa sottoposto alla supervisione, all’orientamento e al sostegno diretto dell’Agenzia e destinato a consentire, in ambienti di prova controllati, lo sviluppo, la progettazione, la convalida e le prove dei prodotti innovativi con elementi digitali ai fini della conformità al regolamento in un periodo precedente alla loro immissione sul mercato.
La procedura di valutazione delle domande di partecipazione dovrà concludersi entro novanta giorni dalla relativa presentazione, mentre la durata della partecipazione sarà determinata in rapporto alla complessità e alla portata del progetto, con possibilità di proroga secondo i criteri che saranno successivamente definiti.
Lo schema prevede inoltre che la Sandbox-CRA possa operare in coordinamento con infrastrutture e spazi di sperimentazione appartenenti ad altri settori, compresi impianti di prova e sperimentazione, poli europei dell’innovazione digitale, laboratori universitari, centri di eccellenza, iniziative di cooperazione transfrontaliera e ulteriori sandbox settoriali.
La fase di adeguamento aziendale richiede, di conseguenza, un’attività preliminare di ricognizione del perimetro applicativo del Cyber Resilience Act rispetto ai prodotti presenti nel portafoglio dell’impresa, accompagnata dall’individuazione delle responsabilità interne e dalla verifica dei processi rilevanti ai fini della conformità, della gestione delle segnalazioni, della valutazione dei prodotti e dei rapporti con le autorità competenti.
La governance interna dell’impresa dovrà quindi essere strutturata in modo da consentire una gestione coordinata dei profili di cybersicurezza, conformità tecnica, documentazione, vigilanza del mercato e interlocuzione con le autorità. Non solo, ma la disciplina delle notifiche e delle segnalazioni richiede, inoltre, un presidio organizzativo specifico, poiché l’adeguamento del Portale Segnalazioni dell’Agenzia e il collegamento con la piattaforma ENISA delineano un sistema nel quale le comunicazioni istituzionali costituiranno una componente strutturale del quadro di conformità, mentre le procedure relative a vulnerabilità, incidenti e minacce informatiche troveranno ulteriore specificazione nei provvedimenti attuativi dell’Agenzia.
La verifica del percorso di valutazione della conformità rappresenta un ulteriore passaggio essenziale, soprattutto nei casi in cui il prodotto richieda l’intervento di organismi notificati, poiché il nuovo assetto nazionale prevede procedure di accreditamento, notifica, controllo e gestione delle eventuali modifiche dello status degli organismi interessati.
Riferimenti normativi:
Regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio
Copyright © – Riproduzione riservata
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
