Il regolamento sulla ciberresilienza si applica al software come servizio?

In genere non a un servizio online puro, ma può riguardare la parte cloud di un prodotto. Il CRA si applica ai prodotti con elementi digitali messi a disposizione sul mercato. Il software fornito solo come servizio via internet, senza un prodotto installato dal cliente, ne è in linea di principio escluso; la sicurezza di questi servizi riguarda soprattutto NIS2NIS2: seconda direttiva europea sulla sicurezza delle reti e dell'informazione. La legge europea sulla cibersicurezza (direttiva (UE) 2022/2555), che impone obblighi di sicurezza e di notifica degli incidenti a molte aziende., se il fornitore vi rientra. Il CRA copre però anche il trattamento dei dati da remoto che un fabbricante progetta come parte di un prodotto, quando senza di esso il prodotto non potrebbe svolgere una delle sue funzioni: il back-end cloud di una telecamera intelligente o di un sensore di rete fornito con un agente ne sono esempi tipici. Una società che vende sia un componente installabile sia un servizio cloud può quindi avere obblighi CRA per l’insieme. Distingua le parti della Sua offerta installate dai clienti da quelle che girano solo presso di Lei, e legga con attenzione le definizioni del regolamento. NetSenX, che fornisce agenti insieme a un servizio cloud, si pone la stessa domanda.

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

← Tutte le 20 domande su Diritto UE: GDPR, DORA, CRA e AI ActTutti i temi