;Resize,width=767;)
Gli attacchi informatici ai sistemi di refrigerazione dei supermercati europei, che hanno coinvolto anche l'Italia, hanno riportato l'attenzione sulla sicurezza dei dispositivi connessi a Internet. Il 4 novembre 2026, l'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, ha pubblicato una comunicazione congiunta con altre istituzioni europee per invitare le organizzazioni a intervenire sui sistemi potenzialmente esposti. L'obiettivo non è soltanto reagire agli attacchi già avvenuti, ma soprattutto ridurre le vulnerabilità dei sistemi e migliorare la capacità di prevenzione, attraverso regole comuni, prodotti più sicuri e una maggiore cooperazione tra Paesi.
Il caso dei supermercati riporta al centro anche il ruolo della direttiva NIS2, che impone a determinate aziende, comprese quelle di alcuni settori della filiera alimentare, di adottare misure di cibersicurezza per prevenire gli attacchi e limitarne le conseguenze. Come ci ha spiegato Corrado Giustozzi, docente di cybersecurity all'Università Campus Bio-Medico di Roma, l'Unione europea lavora da oltre dieci anni per migliorare la protezione dei sistemi digitali, attraverso un approccio che coinvolge sia chi utilizza le tecnologie sia chi le produce. Un esempio concreto della collaborazione europea arriva dai recenti incidenti ai sistemi di refrigerazione commerciale: la risposta ha coinvolto diverse strutture europee, tra cui ENISA, Europol, la Commissione europea e le reti di risposta agli incidenti informatici degli Stati membri, impegnate nel monitoraggio della situazione e nello scambio di informazioni.
Le due strategie dell'Europa per prevenire gli attacchi informatici
L'approccio europeo alla sicurezza informatica interviene principalmente su due livelli:
- il primo riguarda le organizzazioni che utilizzano sistemi informatici, dalle aziende agli operatori di servizi essenziali. L'obiettivo è aumentare la consapevolezza dei rischi e introdurre misure di prevenzione e protezione adeguate. In questa direzione si inserisce la direttiva NIS2, che impone alle organizzazioni rientranti nel suo ambito di applicazione di adottare misure per gestire i rischi informatici e segnalare gli incidenti significativi alle autorità competenti.
- il secondo livello riguarda invece i produttori di dispositivi e software. Con il Cyber Resilience Act, entrato in vigore nel dicembre 2024, l'Unione europea ha introdotto requisiti di sicurezza per i prodotti con elementi digitali, prevedendo che siano progettati tenendo conto dei rischi informatici e che i produttori gestiscano le vulnerabilità anche dopo la commercializzazione.
Cosa prevede il regolamento Cyber Resilience Act 2024 sui dispositivi connessi
Tra le principali iniziative europee per prevenire gli attacchi informatici, come detto, c'è il Cyber Resilience Act (CRA), il Regolamento UE 2024/2847, entrato in vigore il 10 dicembre 2024. L'obiettivo è migliorare la sicurezza dei prodotti che contengono componenti digitali, come computer, dispositivi connessi a Internet, apparecchiature industriali e software, imponendo ai produttori requisiti di sicurezza informatica comuni a livello europeo. In Italia, il Consiglio dei ministri ha approvato lo scorso 2 ottobre 2026 uno schema di decreto legislativo che adegua la normativa nazionale al CRA.
Il principio alla base del regolamento è che la sicurezza informatica deve essere garantita fin dalla progettazione del prodotto e mantenuta anche dopo la sua vendita. I produttori dovranno quindi valutare i rischi informatici, progettare dispositivi con adeguate misure di protezione, evitare di commercializzare prodotti con vulnerabilità note e sfruttabili prive di rimedi disponibili e intervenire sulle falle di sicurezza che vengono scoperte successivamente, anche attraverso aggiornamenti gratuiti. Dovranno inoltre garantire un periodo di supporto generalmente non inferiore a 5 anni, salvo che la durata di utilizzo prevista del prodotto sia inferiore.
Le principali disposizioni del Cyber Resilience Act diventeranno applicabili dall'11 dicembre 2027. Già dall'11 settembre 2026, però, sono entrati in applicazione gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti informatici gravi che compromettono la sicurezza dei prodotti interessati, a cui sono già soggette le imprese italiane. È prevista una prima segnalazione entro 24 ore da quando ne vengono a conoscenza e una notifica più dettagliata entro 72 ore, attraverso una piattaforma europea gestita da ENISA. In caso di violazioni, i consumatori possono segnalare vulnerabilità e incidenti al CSIRT Italia (gruppo nazionale di intervento per la sicurezza informatica).
La normativa sancisce che la responsabilità della sicurezza informatica non ricade solo su aziende e sui cittadini che utilizzano i dispositivi, ma anche su chi li progetta, produce e commercializza, un principio particolarmente rilevante per i sistemi industriali connessi. Certo, il regolamento non garantisce che i prodotti immessi sul mercato siano completamente privi di vulnerabilità, ma impone requisiti per ridurle e correggerle. Inoltre, non tutti i sistemi industriali ricadono automaticamente nel CRA: l'applicabilità dipende dalle caratteristiche del prodotto e dalle eventuali esclusioni previste dal regolamento.
La normativa si applica anche ai produttori extra-europei ed è nata «proprio per poter dare ai cittadini europei la certezza che anche i prodotti non europei garantiscano loro gli stessi livelli di sicurezza che l’Europa si aspetta e trova irrinunciabili», spiega Giustozzi. L’altra strada, più facile, sarebbe stata quella di proibire la vendita sui mercati europei a prodotti di costruttori appartenenti a Paesi “non fidati”, come ad esempio hanno fatto gli Stati Uniti dichiarando “non desiderati” i prodotti di alcuni costruttori cinesi: «ma questo è un embargo, ossia un atto politico e l’Europa invece ha scelto di lasciare l’interlocuzione sul piano tecnico, dotandosi di normative rigorose ma trasparenti che hanno l’obiettivo di consentire a tutti di vendere i loro prodotti nell’Unione, a patto che rispettino le misure di sicurezza stabilite».
Si sarebbero potuti prevenire gli attacchi informatici ai supermercati?
L'applicazione anticipata del Cyber Resilience Act avrebbe potuto contribuire a prevenire gli attacchi informatici ai supermercati dei giorni scorsi? «In realtà la prevenzione è affidata a due norme che cooperano: una è già in vigore dal 2024, la Direttiva NIS2, e l’altra completerà la sua entrata in vigore l’anno prossimo, ossia il CRA. La Direttiva NIS2 già da un paio d’anni impone alle aziende ed organizzazioni (comprese quelle della filiera della grande distribuzione alimentare) di innalzare e verificare costantemente le misure di sicurezza tecniche e organizzative a tutela del loro business, considerando anche i rischi di una non corretta postura di sicurezza dei propri fornitori e fornitori di servizi quali le ditte di telemanutenzione».
Come spiega ancora Giustozzi, le aziende colpite «hanno mancato in tante cose già obbligatorie ai sensi della NIS2 quali: aver lasciato esposti su Internet gli accessi a componenti critici quali i frigoriferi; non aver applicato gli aggiornamenti di sicurezza dei produttori, già da tempo disponibili, che avrebbero sanato le vulnerabilità sfruttate dagli attaccanti; non aver impiegato meccanismi più sicuri per consentire la telemanutenzione dei frigoriferi da parte dei soli soggetti autorizzati, quali uso di VPN e di autenticazione a doppio fattore; oltre a carenze nel monitoraggio ed errori nel tempestivo rilevamento di situazioni anomale».
La normativa non riguarda necessariamente tutti i punti vendita della grande distribuzione, ma per Giustozzi le aziende coinvolte hanno probabilmente commesso errori nella gestione e configurazione dei sistemi che non avrebbero dovuto fare ai sensi della NIS2 già in vigore. Il CRA, invece, si applica ai produttori di dispositivi, imponendo loro tra l’altro criteri di progettazione sicura by design e by default, nonché la tempestiva correzione di eventuali vulnerabilità appena vengano scoperte. «Se fosse già stato in vigore, verosimilmente molti supermercati non si sarebbero trovati, a loro insaputa, ad avere in casa prodotti vulnerabili ad attacchi come quello avvenuto». Il CRA, dunque, potrà ridurre il rischio di commercializzare nuovi prodotti insicuri, senza però eliminare automaticamente le vulnerabilità delle apparecchiature esistenti.
Cosa manca ancora all'Europa e quali sono i rischi fino al 2027
«L’Europa è purtroppo un posto complicato, con 27 Paesi da mettere d’accordo: e quando i temi sono particolarmente critici, come nel caso della sicurezza nazionale o degli ecosistemi industriali e produttivi, le differenze di visione e le gelosie sugli aspetti di sovranità nazionale diventano un ostacolo nel trovare rapidamente soluzioni condivise che riscuotano il consenso di tutti», spiega Corrado Giustozzi.
Non è un caso, ad esempio, che il GDPR il quale tutela i trattamenti dei dati dei cittadini sia stato emanato come regolamento, ossia una norma di massimo rango che si applica tal quale in tutti gli Stati Membri senza possibilità di modifica. NIS e NIS2, che riguardano aspetti di sicurezza degli operatori e delle filiere che assicurano la tenuta dei servizi essenziali, sono invece state emanate come direttiva, ossia una norma di rango inferiore che prevede il passo del “recepimento” nelle legislazione nazionale da parte di ciascuno Stato Membro con ampie possibilità di “personalizzazione”. Il risultato è ancora un’Europa piuttosto disomogenea quanto ad attuazione di quello che dovrebbe essere un grande disegno di difesa comune.
Ciononostante, continua Giustozzi, «l’Europa ha fatto comunque uno straordinario percorso per mettere in sicurezza tutti gli ecosistemi della produzione, dei servizi, dei mercati, della sanità e dei prodotti, sia industriali che consumer, disegnando un puzzle complesso ma coerente in cui ciascuno gioca il proprio ruolo, con l’obiettivo di innalzare in modo coordinato la sicurezza dello spazio cibernetico comune e di tutti i servizi e prodotti digitali indispensabili al normale funzionamento della società civile». La cybersecurity, non è tanto un problema tecnico quanto un problema organizzativo e di cultura, e come tale va affrontato: un po’ come si è fatto per la sicurezza sui luoghi di lavoro, la protezione dell’ambiente e quella dei dati personali.
Viene spontaneo chiedersi se l'11 dicembre 2027, data entro cui si dovranno applicare i principali requisiti del CRA, non sia troppo lontano per rispondere alle minacce informatiche di questo periodo. «Considerando che la prima “cyberstrategy” dell’Unione Europea, nella quale Parlamento e Consiglio prendevano atto della nuova minaccia in arrivo e della necessità per gli Stati Membri di predisporre difese comuni, risale al lontano 2013 direi che di strada se ne è fatta tanta. E, verosimilmente, non si sarebbe riusciti ad andare più velocemente di così, perché le cose da fare sono davvero tantissime e assai impattanti sul funzionamento della società».
Dal 2013 sono state create strutture governative di prevenzione e contrasto (prima i CERT, poi il “braccio cyber” di Europol chiamato EC3, poi i punti di contatto nazionali NIS e la relativa rete transnazionale di comunicazione rapida, infine il centro di competenza cyber di Bucarest); sono state avviate esercitazioni pan-europee dove gli Stati Membri simulano attacchi a settori critici e verificano la capacità collettiva di risposta; sono state varate normative per l’innalzamento della sicurezza organizzativa e tecnica nelle aziende (NIS e NIS2, DORA); sono state varate normative per l’innalzamento della sicurezza tecnica nei prodotti e servizi digitali (CRA, DSA, Direttiva Macchine).
«Il 2027 è lontano? Non così tanto, oramai: e anzi i produttori di dispositivi si stanno addirittura lamentando che è troppo vicino, e temono di non fare in tempo ad adeguarsi!», conclude Giustozzi.
;Resize,width=767;)
;Resize,width=727;)
;Resize,width=727;)
