Il panorama normativo europeo in materia di sicurezza informatica sta subendo una trasformazione radicale. Mentre il Cyber Resilience Act (CRA) è ormai noto per definire i requisiti minimi di sicurezza per i prodotti digitali connessi, un'altra direttiva si appresta a cambiare le regole del gioco per le aziende: la Direttiva UE 2024/2853 sulla responsabilità per danno da prodotti difettosi (Product Liability Directive - PLD).

Dalla Compliance al Rischio d'Impresa

Fino a poco tempo fa, la sicurezza informatica era considerata principalmente una questione di conformità tecnica. Con l'introduzione della nuova Direttiva PLD, che gli Stati membri dovranno recepire entro il 9 dicembre 2026, la cybersecurity diventa a tutti gli effetti un fattore critico di responsabilità civile e un rischio d'impresa concreto. La vera rivoluzione della Direttiva UE 2024/2853 risiede nell'inclusione esplicita del software e dei sistemi di Intelligenza Artificiale nella definizione di "prodotto".

Cosa Cambia per Produttori e Sviluppatori?

In base alla nuova normativa, i produttori, ma anche gli importatori e in alcuni casi i marketplace, potranno essere ritenuti responsabili per i danni causati da un software difettoso. Un "difetto", nel contesto digitale, non riguarda solo malfunzionamenti operativi, ma include esplicitamente le vulnerabilità di sicurezza informatica che portano alla compromissione dei dati o all'interruzione dei servizi. Se un'azienda immette sul mercato un software non sicuro e tale vulnerabilità causa un danno a un utente, l'azienda potrà essere chiamata a risarcire il danno. Questo onere probatorio agevolato per i consumatori renderà molto più facile avviare azioni legali contro i fornitori di software insicuri.

L'Interazione tra CRA e Direttiva PLD

Il Cyber Resilience Act e la Direttiva sui prodotti difettosi operano in sinergia. Il CRA stabilisce lo standard di sicurezza che un prodotto deve rispettare per essere immesso sul mercato. Se un prodotto non rispetta tali standard (o se pur rispettandoli si rivela inidoneo a prevenire danni prevedibili), la Direttiva PLD interviene per garantire che chi subisce un danno possa ottenere un risarcimento. Le aziende dovranno quindi adottare un approccio security-by-design e security-by-default non solo per evitare sanzioni amministrative (CRA), ma per proteggersi da cause civili potenzialmente devastanti.