Direttiva (UE) 2024/2853 e Vulnerability Assessment: obblighi e responsabilità per i fabbricanti

La Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi introduce obblighi di controllo continuativo che riguardano direttamente chi sviluppa o distribuisce software e servizi connessi. Per i fabbricanti, dimostrare che il prodotto è monitorato e aggiornato nel tempo non è più una buona pratica: è un requisito con conseguenze legali. Il vulnerability assessment è uno degli strumenti più efficaci per costruire e documentare questa evidenza.

Questo articolo fa parte della miniguida sulla Direttiva (UE) 2024/2853. Per il quadro generale consulta l’hub dedicato alla direttiva sulla responsabilità dei prodotti e l’approfondimento sui prodotti digitali e software connessi.

Controllo post-vendita: cosa chiede la direttiva al fabbricante

La Direttiva 2024/2853 stabilisce che il fabbricante è tenuto a monitorare il prodotto per tutto il periodo in cui è in grado di fornire aggiornamenti. Se un difetto dipende dalla mancanza di aggiornamenti o migliorie software necessari alla sicurezza, la responsabilità resta a carico del fabbricante anche dopo la vendita. L’omissione di aggiornamenti per correggere vulnerabilità di cibersicurezza non esonera il produttore da responsabilità civile.

In questo contesto, il vulnerability assessment svolge una funzione concreta: consente di identificare le vulnerabilità presenti nel prodotto, di classificarle per priorità e di avviare un processo strutturato di remediation. La periodicità delle scansioni e la gestione del backlog di correzioni diventano elementi documentabili, utili a dimostrare che il controllo continuativo è stato effettivamente esercitato.

Backlog di remediation e gestione degli aggiornamenti

Uno degli aspetti più rilevanti per i fabbricanti di software è la gestione del backlog di vulnerabilità identificate. Non è sufficiente rilevare i problemi: occorre tracciare le decisioni prese su ciascuna vulnerabilità, i tempi di intervento e le motivazioni di eventuali rinvii. Un processo di vulnerability assessment ben documentato produce report periodici che possono essere utilizzati come evidenza in caso di contestazione o disclosure.

La direttiva non prescrive strumenti specifici, ma il collegamento con il Cyber Resilience Act — richiamato anche dalla Legge di delegazione europea 2025 (Legge 36/2026) — introduce requisiti tecnici precisi per i prodotti con elementi digitali. Il mancato rispetto di tali norme determina, in sede civile, la presunzione automatica di difettosità del prodotto. Avere un processo di vulnerability assessment tracciabile è quindi rilevante anche ai fini della difesa in giudizio.

Danni risarcibili e impatto sui dati

La Direttiva 2024/2853 amplia i danni risarcibili includendo, per la prima volta, la distruzione o corruzione di dati non utilizzati a fini professionali. Un vulnerability assessment efficace riduce il rischio di incidenti che compromettano dati o database degli utenti finali. La prevenzione di tali eventi abbassa la probabilità di dover sostenere sia i costi materiali di ripristino, sia le conseguenze legali derivanti dalla difettosità del prodotto.

Per approfondire le implicazioni specifiche per il software, consulta l’articolo sulla responsabilità del software nella direttiva UE. Per capire come il penetration test si integra con il vulnerability assessment nella gestione delle evidenze, leggi l’approfondimento su penetration test e responsabilità del fabbricante.

FAQ: Direttiva (UE) 2024/2853 e vulnerability assessment

• Il vulnerability assessment è obbligatorio per legge ai sensi della Direttiva 2024/2853?
• La direttiva non nomina esplicitamente il vulnerability assessment, ma impone al fabbricante di monitorare il prodotto e rilasciare aggiornamenti di sicurezza. Il vulnerability assessment è uno degli strumenti più adatti a soddisfare questo obbligo in modo documentabile e verificabile.
• Quando entra in vigore l’obbligo di controllo continuativo?
• La Direttiva 2024/2853 sarà pienamente applicabile dal 9 dicembre 2026. I fabbricanti che operano nel mercato UE hanno interesse ad avviare i processi di conformità con anticipo sufficiente.
• Cosa succede se una vulnerabilità viene identificata ma non corretta in tempi ragionevoli?
• Se il danno è riconducibile a una vulnerabilità nota e non corretta, il fabbricante può essere ritenuto responsabile. La documentazione del backlog di remediation — con le decisioni prese e le motivazioni dei rinvii — è un elemento rilevante per la difesa in caso di contestazione.
• Il Cyber Resilience Act si applica alle stesse aziende?
• Il Cyber Resilience Act si applica ai prodotti con elementi digitali immessi sul mercato UE e introduce requisiti tecnici specifici, inclusi quelli relativi alla gestione delle vulnerabilità. La Legge 36/2026 collega i due strumenti normativi nell’ordinamento italiano.