Dopo NIS2 e Cyber Resilience Act (o CRA), il quadro normativo europeo sulla sicurezza informatica sta per aggiungere un ulteriore tassello fondamentale con la nuova Direttiva UE 2024/2853, che dovrà essere recepita dagli Stati membri entro il 9 dicembre 2026. Se la NIS2 ha fatto uscire la cybersecurity dai dipartimenti IT, facendone un tema cruciale di governance chiamando in causa la responsabilità organizzativa degli organi direttivi, il CRA ha contribuito a definire e stabilire i requisiti tecnici di sicurezza informatica che devono caratterizzare i prodotti con elementi digitali, tra cui è incluso anche il software. La nuova direttiva aggiunge quindi il tassello mancante della responsabilità civile, introducendo di diritto la sicurezza informatica nel concetto di prodotto difettoso.
Per comprendere la portata dell’evoluzione introdotta nel panorama della cybersecurity è utile richiamare i principali elementi del Cyber Resilience Act (CRA). La normativa rende infatti obbligatoria l’adozione dei principi di Security by Design e Security by Default, integrando la sicurezza informatica fin dalle fasi di progettazione e sviluppo dei prodotti con elementi digitali, incluso il software.
Il CRA va tuttavia oltre questo approccio, imponendo ai produttori di garantire la sicurezza dei propri prodotti lungo l’intero ciclo di vita. Ciò comporta l’obbligo di implementare efficaci processi di gestione delle vulnerabilità, di rilascio degli aggiornamenti di sicurezza e di manutenzione continua, rafforzando pratiche quali il Secure Software Development Lifecycle (SSDLC). La normativa supera inoltre la tradizionale distinzione tra componente fisica e componente digitale, riconoscendo il software come parte integrante del prodotto e includendo in tale concetto anche aggiornamenti, modifiche e, ove necessari al corretto funzionamento, i servizi digitali ad esso associati.
La Direttiva inaugura quindi la nuova prospettiva della responsabilità civile legata alla dimensione della sicurezza informatica di un prodotto: la norma introduce infatti il concetto di “Prodotto difettoso” esteso agli elementi digitali. Un prodotto difettoso può essere quel prodotto che mostra una carenza sotto il profilo della sicurezza informatica, anche ad esempio per una cattiva gestione degli aggiornamenti e delle vulnerabilità sorte nel corso del suo ciclo di vita. La nuova direttiva colma quindi una lacuna, stabilendo cosa accade quando la sicurezza di un prodotto risulta insufficiente e contribuisce a provocare uno dei danni riconosciuti dalla disciplina. Il danno da prodotti digitali difettosi può essere di vario genere: pensiamo a un software che gestisce un impianto industriale. Una vulnerabilità critica che consenta di gestirne e modificarne i parametri da remoto può essere sfruttata dagli hacker per provocare un danno ai macchinari, distruggere beni o portare alla perdita di dati. La natura del danno si estende anche oltre, se pensiamo a un dispositivo medico connesso, la cui compromissione dovuta a una falla di sicurezza può causare una lesione a un paziente.
In questa prospettiva, le vulnerabilità non rappresentano più esclusivamente un rischio di natura operativa, ossia in quanto possono favorire attacchi informatici con conseguenti fermi impianto, interruzioni di servizio, perdita di dati ed eventuali sanzioni regolatorie. Il nuovo quadro normativo estende infatti il tema della cybersecurity anche all’ambito della responsabilità civile, collegandolo al concetto di difettosità del prodotto.
La sicurezza informatica diventa così uno degli elementi utilizzati per valutare la conformità e la sicurezza di un prodotto. Un prodotto che non garantisca un livello di protezione ragionevolmente atteso può infatti essere considerato difettoso, qualora tale carenza abbia contribuito al verificarsi di un danno.
Naturalmente, la sola presenza di una vulnerabilità non determina in automatico la responsabilità civile a carico del produttore o dello sviluppatore di un prodotto digitale. Diventa però essenziale il poter dimostrare in sede giudiziaria che sono state adottate tutte le misure ragionevolmente esigibili, rendendo rilevanti aspetti come il Secure Development Cycle, la gestione delle vulnerabilità e la tracciabilità degli aggiornamenti, la documentazione tecnica e il processo decisionale seguito durante l’intero ciclo di vita del prodotto. La capacità di documentare diventa necessaria per dimostrare di fronte a un giudice civile che è stato fatto tutto quanto era ragionevolmente fattibile per rendere il prodotto sicuro.
Lo sviluppo di un prodotto digitale conforme ai principi di Security by Design, così come la corretta gestione degli aggiornamenti e delle patch di sicurezza, non saranno più valutati esclusivamente ai fini della conformità ai requisiti del CRA. Tali aspetti assumono infatti rilevanza anche sotto il profilo della possibile difettosità del prodotto, rientrando nell’ambito della nuova disciplina sulla responsabilità civile. La cybersecurity non costituisce quindi soltanto un requisito di compliance tecnica, ma diventa un elemento che può incidere direttamente sulla responsabilità patrimoniale del produttore, qualora una carenza nella sicurezza del prodotto contribuisca al verificarsi di un danno e possa dar luogo a richieste di risarcimento. Il produttore dovrà quindi essere in grado di dimostrare, grazie a una dettagliata documentazione, di avere progettato, sviluppato e mantenuto il prodotto secondo lo stato dell’arte e applicando le migliori misure di sicurezza necessarie per prevenire e affrontare un attacco informatico. La nuova Direttiva segna così un vero cambio di paradigma nella responsabilità delle imprese, facendo entrare la cybersecurity a pieno titolo nella gestione del rischio legale e patrimoniale delle organizzazioni.