ROMA -Da pochi giorni si applicano gli obblighi di reporting previsti dal Cyber Resilience Act (Cra), una norma comunitaria che mira a proteggere le comunicazioni digitali. Per comprenderne meglio la portata e l’impatto, ne abbiamo parlato con un esperto del settore, l’avvocato Giulio Coraggio, Partner di DLA Piper che coordina il dipartimento di Intellectual Property & Technology in Italia ed è il Global Co-Chair del gruppo di Gaming&Gambling dello studio.

Avvocato, il Cyber Resilience Act è il primo regolamento dell’Unione Europea che stabilisce requisiti obbligatori di cybersicurezza per i prodotti hardware e software collegabili, direttamente o indirettamente, a una rete o a un altro dispositivo. Qual è l’obiettivo del CRA?

L’obiettivo del Cyber Resilience Act è portare la cybersecurity direttamente nel ciclo di vita dei prodotti digitali. Non si tratta quindi soltanto di proteggere l’infrastruttura IT di un’azienda, ma di garantire che i prodotti dotati di componenti digitali siano progettati, sviluppati, mantenuti e aggiornati tenendo conto dei rischi di cybersecurity. Questo è particolarmente rilevante per il gambling, perché il settore utilizza un ecosistema molto ampio di prodotti con elementi digitali: applicazioni e client per poker, casinò e betting, gaming machines, slot e Videolotteries, terminali e kiosk, sistemi utilizzati nei punti vendita, terminali di pagamento e altri dispositivi connessi. Per i concessionari di gioco il Cra introduce quindi un elemento nuovo. La cybersecurity non è più soltanto una questione interna del dipartimento IT o un requisito da verificare nei confronti dei propri fornitori. Diventa anche una questione di product compliance e di gestione della supply chain. E questo può avere conseguenze importanti anche per un concessionario che non sviluppa direttamente la tecnologia.

Quando entrerà in vigore il Cra?

Il Cra è già entrato in vigore a dicembre 2024, mentre la maggior parte dei suoi obblighi si applicherà dall’11 dicembre 2027. Ma oggi siamo già in una fase diversa. Dall’11 settembre 2026 si applicano gli obblighi di reporting previsti dall’articolo 14 del Cra. Questo significa che i produttori devono già segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che compromettono la sicurezza dei prodotti dotati di componenti digitali. Il sistema prevede tempistiche molto stringenti: un “early warning” entro 24 ore dalla conoscenza dell’evento, una notifica entro 72 ore e, successivamente, una relazione finale entro i termini previsti dal regolamento. Gli obblighi di reporting si applicano anche ai prodotti già immessi sul mercato prima dell’11 dicembre 2027. Per questo, per un concessionario o un fornitore di tecnologia per il gambling, non è più corretto considerare il Cra una normativa che entrerà in vigore nel 2027. Una parte molto importante del sistema è già operativa.

Cosa deve fare ora un concessionario o un fornitore di giochi?

La prima cosa che suggerirei è una mappatura immediata dei prodotti che includono elementi digitali sviluppati, commercializzati, forniti o utilizzati. Per un concessionario significa, ad esempio, analizzare i client e le app di gioco, i software delle gaming machines, le slot e le Vlt, i terminali utilizzati nella rete retail, i kiosk, i terminali di pagamento e gli altri dispositivi che rientrano potenzialmente nel perimetro del Cra. Ma c’è un punto che considero particolarmente importante nel gambling. Il concessionario non deve dare per scontato che, se il prodotto è stato sviluppato da un fornitore terzo, ogni responsabilità Cra rimanga in capo a tale fornitore.Il Cra considera infatti come manufacturer anche il soggetto che effettua una “substantial modification” di un prodotto con elementi digitali. In questo caso, il soggetto che realizza la modifica può essere assoggettato agli obblighi del manufacturer per la parte interessata dalla modifica e, se la modifica incide sulla cybersecurity dell’intero prodotto, anche per l’intero prodotto. Questo è un tema particolarmente delicato per i concessionari. Pensiamo, ad esempio, a una piattaforma, una gaming machine o un software sviluppato da un technology provider, ma poi sostanzialmente modificato in base a specifiche, requisiti tecnici o richieste del concessionario, magari per integrarlo con la propria infrastruttura, i propri sistemi di gioco o specifiche esigenze regolamentari. In uno scenario di questo tipo, il concessionario deve verificare attentamente se il proprio intervento possa qualificarsi come una substantial modification e, quindi, se possa assumere direttamente la posizione e gli obblighi di un manufacturer ai sensi del Cra. Questo cambia completamente il livello di responsabilità. E soprattutto, questa analisi deve essere fatta ora, non nel 2027. Dal momento che gli obblighi di reporting sono già applicabili, un concessionario o un fornitore che possa qualificarsi come manufacturer deve essere oggi in grado di capire se un evento che riguarda un proprio prodotto fa scattare gli obblighi di notifica e di attivare rapidamente il processo previsto dal Cra.

Quali autorità vigilano in Italia sulla compliance con il Cra e quali sono le sanzioni previste per gli operatori?

Il Cra introduce un sistema europeo di market surveillance, da applicare tramite le autorità nazionali competenti. Per il gambling questo deve essere letto insieme al quadro regolamentare specifico del settore. In particolare, il concessionario deve considerare il Cra non come un ulteriore adempimento isolato, bensì come un livello di product cybersecurity che si aggiunge agli obblighi già esistenti per chi opera nel mercato regolamentato del gioco. La questione delle responsabilità è però, a mio avviso, ancora più importante di quella delle sanzioni. Il Cra prevede sanzioni che, per alcune delle violazioni più gravi, possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Per altre violazioni sono previste sanzioni fino a 10 milioni di euro o fino al 2% del fatturato mondiale. Ma per un concessionario il rischio non è soltanto economico. Le autorità di market surveillance possono adottare misure correttive e, nei casi previsti, limitare o vietare la messa a disposizione del prodotto sul mercato, fino al ritiro o al richiamo. Per questo il Cra deve essere considerato dal gambling business come una questione di business continuity, product compliance e supply chain governance, non soltanto come una nuova normativa sulla cybersecurity. E il punto su cui inviterei i concessionari a concentrarsi subito è proprio questo: non basta sapere chi ha sviluppato un prodotto. Bisogna capire chi lo ha modificato, chi ne determina le caratteristiche e chi, in concreto, potrebbe assumere la responsabilità di manufacturer ai sensi del Cra. Perché una modifica sostanziale richiesta dal concessionario può cambiare completamente la sua posizione giuridica rispetto al prodotto.

Agipronews è anche su Whatsapp! Iscriviti al canale per rimanere sempre aggiornato, cliccando qui: https://whatsapp.com/channel/0029VbBR2Gx23n3m47K2xS1S