Cyber Resilience Act
Il regolamento UE che trasforma la cybersicurezza in un requisito di prodotto, come la sicurezza elettrica: senza conformità, niente marcatura CE.
Il Regolamento (UE) 2024/2847 è stato adottato nell'autunno 2024 e riguarda tutti i «prodotti con elementi digitali», dalle lampadine smart al software per desktop. I fabbricanti devono gestire le vulnerabilità per tutta la vita del prodotto, fornire aggiornamenti di sicurezza e tenere una SBOM nella documentazione tecnica. Da settembre 2026 le vulnerabilità sfruttate attivamente vanno notificate all'ENISA entro 24 ore; gli altri obblighi si applicano da dicembre 2027.
La bozza del 2022 avrebbe reso fabbricante chiunque pubblicasse codice su GitHub, e la Python Software Foundation, Eclipse e altri protestarono con vigore. Il testo finale esclude l'open source non commerciale e introduce un ruolo più leggero, l'«open source steward», per le fondazioni che sostengono progetti su cui altri costruiscono prodotti. La responsabilità ricade dove sta il denaro: su chi vende il dispositivo IoT, non su chi ha scritto gratis la libreria.