Sicurezza dei prodotti con elementi digitali: scatta oggi l’obbligo di segnalare vulnerabilità e incidenti per i produttori

Dall’11 settembre 2026 i produttori di prodotti con elementi digitali devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi. Il CRA introduce nuove responsabilità lungo l’intero ciclo di vita di hardware e software

Non è ancora il momento della piena applicazione del Cyber Resilience Act, ma per le aziende che sviluppano e commercializzano prodotti digitali nell’Unione europea oggi rappresenta comunque una data importante. Da venerdì 11 settembre 2026 entrano infatti in applicazione gli obblighi di reporting previsti dall’Articolo 14 del Cyber Resilience Act (CRA), la normativa europea che introduce requisiti comuni di cybersecurity per i prodotti con elementi digitali.

La piena applicazione del regolamento è prevista per l’11 dicembre 2027, mentre alcune disposizioni sono già entrate in vigore. L’obbligo di segnalazione rappresenta però il primo passaggio sostanziale che chiama direttamente in causa i produttori nella gestione e nella comunicazione degli eventi di sicurezza.

Cosa cambia da oggi

Il CRA stabilisce che i produttori devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che hanno un impatto sulla sicurezza dei prodotti con elementi digitali.

Il meccanismo prevede tempi particolarmente stringenti. Dal momento in cui vengono a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave, i produttori devono effettuare un early warning entro 24 ore. Entro 72 ore deve poi essere trasmessa la notifica completa. Per le vulnerabilità attivamente sfruttate è previsto inoltre un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione; per gli incidenti gravi il rapporto finale deve arrivare entro un mese dalla notifica delle 72 ore.

Non si tratta quindi soltanto di introdurre un nuovo adempimento burocratico. Il regolamento spinge i produttori verso un modello nel quale la gestione della vulnerabilità diventa parte integrante del ciclo di vita del prodotto, dalla progettazione allo sviluppo, fino alla manutenzione e al supporto.

Una responsabilità che parte dal produttore

Il Cyber Resilience Act nasce dall’esigenza di affrontare un problema ormai strutturale: software e dispositivi connessi sono diventati una componente essenziale delle attività quotidiane e dei processi aziendali, ma non sempre la sicurezza viene considerata allo stesso livello delle altre caratteristiche del prodotto.

Il CRA introduce quindi requisiti obbligatori di cybersecurity che riguardano la progettazione, lo sviluppo, la produzione e la manutenzione dei prodotti con elementi digitali. I produttori devono inoltre gestire le vulnerabilità durante il periodo di supporto e garantire che gli utenti dispongano delle informazioni necessarie per utilizzare i prodotti in sicurezza. Il perimetro è ampio: il regolamento riguarda infatti prodotti hardware e software messi a disposizione sul mercato europeo, dai dispositivi connessi alle applicazioni e ai programmi informatici.

La nuova piattaforma europea per le segnalazioni

Per rendere operativo il nuovo sistema, ENISA ha sviluppato la CRA Single Reporting Platform, il punto unico attraverso il quale devono essere trasmesse le notifiche.

Il produttore effettua una sola segnalazione attraverso la piattaforma, indirizzata al CSIRT dello Stato membro in cui ha il proprio stabilimento principale. Salvo circostanze eccezionali, le informazioni vengono rese contemporaneamente disponibili anche a ENISA. Il CSIRT che riceve inizialmente la notifica provvede quindi a condividerla con gli altri CSIRT degli Stati membri nei cui territori il prodotto è stato reso disponibile.

Il modello punta così a superare una gestione frammentata delle informazioni sulle vulnerabilità, creando un processo coordinato a livello europeo.

Non solo reporting: la cybersecurity entra nel ciclo di vita

L’appuntamento di oggi deve quindi essere letto all’interno di un cambiamento più ampio. Il Cyber Resilience Act non si limita a chiedere alle aziende di reagire quando emerge una vulnerabilità ma introduce un approccio security by design e security by default, con requisiti che accompagnano il prodotto lungo il suo intero ciclo di vita.

La normativa prevede infatti requisiti essenziali di cybersecurity sia per le caratteristiche del prodotto sia per la gestione delle vulnerabilità. In questo modo la sicurezza diventa una responsabilità del produttore e non soltanto un elemento che l’utente deve gestire dopo l’acquisto o l’installazione.

continua ………..

Tratto da www.lineaedp.it

Autore: Redazione LineaEDP

L’articolo completo è consultabile qui

Infostealer, la minaccia invisibile che apre la strada agli attacchi cyber. Primo report Acn

Tratto da www.acn.gov.it – 11 febbraio 2026

Negli ultimi anni, gli infostealer si sono affermati come uno dei principali strumenti utilizzati dalla criminalità informatica per la sottrazione di credenziali digitali e altre informazioni sensibili. Famiglie come LummaC2, RedLine Stealer e DcRat figurano tra le più attive nell’esfiltrazione di dati riconducibili a soggetti italiani e rappresentano spesso il vettore di compromissione iniziale di attacchi informatici più articolati. Tali strumenti si inseriscono in un ecosistema criminale strutturato e altamente specializzato, nel quale diversi attori operano su specifiche fasi della catena di attacco – dalla diffusione del malware alla monetizzazione dei dati sottratti – con l’obiettivo di massimizzare l’efficienza e la scalabilità delle operazioni malevole. Nei fatti, la sottrazione di una singola credenziale può rappresentare il primo passo di una catena di eventi che conduce a compromissioni su larga scala.

L’ACN presenta il primo report dedicato esclusivamente a questa tipologia di malware – PDF. Un’analisi approfondita della minaccia infostealer, software malevoli progettati per raccogliere ed esfiltrate informazioni sensibili dai dispositivi compromessi. Illustrando l’evoluzione di questa categoria di malware, il report analizza le principali strategie di attacco utilizzate dagli infostealer attraverso il modello della Cyber Kill Chain e l’ecosistema criminale che ruota attorno a questa minaccia nonché fornisce, attraverso un caso studio reale gestito dal CSIRT Italia, un esempio di come gli infostealer costituiscano spesso il punto di partenza per attacchi più complessi, inclusi ransomware.

Il report si conclude con raccomandazioni strutturate per diversi livelli di maturità cibernetica, rivolte sia a individui che a organizzazioni, fornendo misure preventive concrete per innalzare la resilienza contro questa minaccia in continua evoluzione.

Analisi sullo stato della minaccia

Sanità nel mirino: in forte aumento gli incidenti informatici nelle strutture italiane

Tratto da www.acn.gov.it – 09/05/2025

L’Agenzia per la cybersicurezza nazionale propone misure urgenti per proteggere il settore

Il settore sanitario italiano sta registrando un sensibile aumento di attacchi informatici. Dal gennaio 2023, si contano in media 3,5 attacchi informatici al mese contro strutture sanitarie, metà dei quali sfociano in incidenti gravi che compromettono la disponibilità e la riservatezza dei servizi, mettendo a rischio la privacy dei pazienti.

Secondo l’Agenzia per la Cybersicurezza Nazionale, le cause di questi attacchi sono spesso pratiche di sicurezza inadeguate o ignorate, derivanti da scarsa formazione del personale e dalla gestione decentralizzata dei sistemi informatici, senza politiche di sicurezza centralizzate. L’agenzia europea ENISA conferma che il settore sanitario è particolarmente vulnerabile a causa della sensibilità dei dati trattati e dell’interesse crescente dei cybercriminali.

Nel periodo 2023-2024, il numero di eventi cyber nel settore sanitario è aumentato drasticamente, con un incremento del 111%, passando da 27 eventi nel 2023 a 57 nel 2024. Le minacce più frequenti includono ransomware, attacchi malware e compromissioni tramite credenziali valide. Gli attacchi ransomware, in particolare, hanno avuto un impatto significativo, rappresentando il 36% degli eventi nel 2023.

A luglio 2024, un attacco alla supply chain ha colpito un fornitore di servizi IT, causando gravi danni a più enti sanitari interconnessi. Questo episodio ha messo in evidenza la vulnerabilità sistemica del settore, che è sempre più esposto a minacce sofisticate.

Per contrastare queste vulnerabilità, l’ACN suggerisce raccomandazioni mirate, tra cui la necessità di implementare pratiche di sicurezza robuste e una governance centralizzata della cybersecurity. Un approccio programmatico, basato sulla gestione del rischio e sulla separazione dei ruoli, è essenziale per rafforzare la sicurezza dei sistemi sanitari e prevenire gli incidenti informatici.

Il CSIRT Italia, il team di risposta agli incidenti cibernetici, è un punto di riferimento fondamentale nel supportare le strutture sanitarie colpite, analizzando gli eventi cyber e fornendo assistenza per il ripristino delle operazioni e per il miglioramento della sicurezza. In determinati casi anche operando direttamente presso le strutture vittime di tali attacchi.

Inoltre, l’analisi delle vulnerabilità nei dispositivi e nei servizi del settore ha evidenziato l’importanza di monitorare costantemente la “superficie di attacco esposta”, ovvero le configurazioni errate e le vulnerabilità dei dispositivi collegati a Internet. Soluzioni tempestive e mirate, come l’aggiornamento del software e la corretta configurazione dei sistemi, sono cruciali per ridurre i rischi.

Le raccomandazioni dell’ACN puntano su un miglioramento delle pratiche di sicurezza, con una particolare attenzione alla formazione del personale e all’adozione di tecnologie avanzate per contrastare le minacce informatiche che continuano ad aumentare nel settore sanitario.

Stante la speciale criticità del settore sanitario e, in particolare, delle aziende sanitarie locali alle quali afferiscono strutture ospedaliere, presidi e servizi sanitari essenziali per i territori di riferimento, sono stati organizzati un ciclo di incontri formativi – alla presenza dei Presidenti di Regione e di tutti i dirigenti delle ASL – volti a diffondere la consapevolezza del rischio cyber e ad illustrare, altresì, i contenuti del documento “La minaccia cibernetica al settore sanitario. Analisi e raccomandazioni”, redatto da questa Agenzia.

Il settore sanitario, peraltro, è stato anch’esso destinatario, ai fini del rafforzamento della postura di cybersicurezza di Regioni e Province Autonome, di risorse PNRR e nazionali per circa 150 milioni di euro, erogati da ACN sulla base di progetti di implementazione presentati dagli enti.

Scarica il report – La minaccia cibernetica al settore sanitario. Analisi e raccomandazioni – PDF

Soggetti NIS: obbligo di registrazione sul portale servizi ACN

Tratto da www.acn.gov.it

Dal 16 ottobre 2024 è in vigore la nuova normativa Network and Information Security (direttiva NIS) di derivazione europea.

Il recepimento della direttiva con il decreto legislativo del 4 settembre 2024, n. 138, mira a garantire l’aumento del livello di sicurezza informatica del tessuto produttivo e delle Pubbliche Amministrazioni del Paese, in armonia con gli altri Stati membri dell’Unione Europea.

L’Agenzia per la cybersicurezza nazionale è l’Autorità competente NIS.

Dal 1° dicembre 2024 al 28 febbraio 2025, le medie e grandi imprese, in alcuni casi anche le piccole e microimprese, e le Pubbliche amministrazioni a cui si applica la nuova normativa devono registrarsi sul portale servizi ACN.

In seguito, si avvierà, ad aprile 2025, un percorso condiviso di rafforzamento della sicurezza informatica.

Per ulteriori informazioni sul decreto NIS, sull’ambito di applicazione e sull’obbligo di registrazione sul portale servizi ACN: NIS – Network Information Security e FAQ

Cose da fare per mantenere la propria azienda sicura

Tratto da www.lineaedp.it – 28/10/2024

Autore: Redazione BITMAT

Alcuni consigli per contrastare al meglio gli attacchi informatici

La sicurezza di un’azienda è una priorità assoluta per garantire la continuità operativa, proteggere i dati sensibili e mantenere la fiducia di clienti e partner. Negli ultimi anni, in Italia, gli attacchi informatici a danni delle aziende sono aumentati, costringendole ad adottare un approccio integrato che comprenda sia la sicurezza fisica sia quella informatica.

Vediamo alcune delle migliori pratiche per mantenere la tua azienda sicura.

Implementare sistemi di sicurezza fisica

Il primo passo per garantire la sicurezza aziendale è proteggere gli spazi fisici. Questo significa dotare l’azienda di sistemi di allarme, telecamere di videosorveglianza, accessi controllati tramite badge o impronte digitali, e sistemi di illuminazione adeguati. Un sistema di sorveglianza efficace non solo scoraggia i potenziali intrusi, ma permette anche di monitorare e registrare le attività sospette. Assicurarsi che le entrate principali siano protette da dispositivi di sicurezza può ridurre significativamente i rischi di intrusioni fisiche.

Formare i dipendenti sulla sicurezza

I dipendenti sono spesso la prima linea di difesa contro molte minacce alla sicurezza, sia fisiche che informatiche. È fondamentale formare regolarmente il personale su come riconoscere e gestire i rischi. I dipendenti devono sapere come comportarsi in caso di emergenze fisiche (come incendi o evacuazioni) e comprendere l’importanza della sicurezza informatica, come la gestione corretta delle password, il riconoscimento delle email di phishing, e la protezione dei dati sensibili. Organizzare corsi di aggiornamento e simulazioni può migliorare la consapevolezza e ridurre gli errori umani che spesso sono la causa di violazioni di sicurezza.

Proteggere i dati e i sistemi informatici

La sicurezza informatica è oggi uno dei temi più critici per le aziende. Proteggere i dati aziendali sensibili (come informazioni finanziarie, dati dei clienti, e segreti commerciali) è vitale per evitare danni economici e reputazionali. Per questo, l’implementazione di misure come firewall, antivirus, e crittografia dei dati è essenziale. Inoltre, l’aggiornamento regolare dei software riduce il rischio di vulnerabilità sfruttabili dagli hacker. È buona prassi anche adottare una politica di backup periodici, così da poter ripristinare i dati in caso di attacchi o malfunzionamenti. Le aziende dovrebbero, inoltre, adottare politiche di gestione sicura delle password, richiedendo l’uso di password complesse, che combinino lettere, numeri e simboli, e imponendo la modifica periodica delle stesse. L’adozione di un sistema di autenticazione a due fattori (2FA) aggiunge un ulteriore livello di protezione, riducendo la probabilità che un malintenzionato possa accedere ai sistemi aziendali anche in caso di compromissione delle credenziali.

Monitorare costantemente le attività

Un aspetto spesso trascurato della sicurezza è il monitoraggio continuo delle attività all’interno dell’azienda. Questo include l’analisi del traffico di rete, il monitoraggio dei login e delle operazioni sui sistemi, ma anche delle spese da parte dei dipendenti per l’azienda. Avere una carta di credito virtuale per la tua impresa può aiutare a gestire meglio gli acquisti e il tuo budget, senza la paura che essa venga smarrita o rubata.

Inoltre, esistono soluzioni software che possono aiutare a rilevare comportamenti sospetti o violazioni dei protocolli di sicurezza per il traffico di rete. Un monitoraggio proattivo permette di individuare e gestire tempestivamente eventuali minacce prima che possano causare danni.

Creare un piano di risposta agli incidenti

Nonostante tutte le misure di prevenzione, le aziende devono essere preparate a fronteggiare incidenti di sicurezza. Avere un piano di risposta agli incidenti ben definito consente di agire rapidamente e in modo efficace nel caso di violazioni o emergenze. Questo piano dovrebbe includere le procedure per la segnalazione degli incidenti, l’identificazione delle cause, il ripristino delle operazioni e la comunicazione con le parti interessate, inclusi clienti e autorità.