Cyber Resilience Act, dall’11 settembre vulnerabilità da segnalare entro 24 ore. Coraggio: “Per i concessionari il nodo è la responsabilità lungo la filiera”

Il Cyber Resilience Act, CRA, il regolamento europeo sulla sicurezza dei prodotti digitali, è entrato nella fase operativa. Chi realizza o distribuisce client scaricabili di casino, poker e scommesse, app, cabinet, VLT o terminali connessi è obbligato a notificare a ENISA e al CSIRT nazionale le falle di sicurezza che qualcuno sta già usando per attaccare. L’allarme rapido va inviato entro 24 ore dal momento in cui si viene a conoscere il problema.
Un esempio concreto: se ci si accorge che qualcuno sta sfruttando una vulnerabilità in un software di gioco scaricabile, il produttore deve avvisare le autorità entro un giorno. Non si tratta più di un obbligo futuro, ma di una regola già in vigore.

Le linee guida della Commissione europea, pubblicate a fine luglio, non sono vincolanti come una legge, ma rappresentano l’interpretazione ufficiale che le autorità useranno per far rispettare il regolamento. Per il settore del gambling la portata è ampia: rientrano i prodotti installabili e l’hardware connesso, mentre restano fuori i soli giochi via browser.
L’applicazione completa del CRA, con marcatura CE e obblighi di conformità, scatterà a dicembre 2027. Nel frattempo le aziende devono già avere processi pronti per rilevare e segnalare le falle in tempi strettissimi.

Un aspetto particolarmente rilevante per il gambling riguarda però la distribuzione delle responsabilità lungo la filiera. Su questo punto interviene  l’avvocato Giulio Coraggio, che sottolinea a PressGiochi come il ruolo del concessionario non possa essere escluso a priori anche quando il prodotto digitale è stato sviluppato da un fornitore terzo.

“Un concessionario di gioco – dichiara Coraggio – potrebbe trovarsi nella posizione di manufacturer anche quando il prodotto è stato originariamente sviluppato da un fornitore terzo. Il CRA considera infatti rilevante la situazione in cui un soggetto effettua una substantial modification di un prodotto con elementi digitali. Se un concessionario richiede e determina modifiche sostanziali a un software, a una piattaforma, a una gaming machine o ad altro prodotto, deve verificare attentamente se si ritrova con gli stessi obblighi previsti per il manufacturer.

Questo è un punto che, secondo me, nel settore del gambling merita molta attenzione.

Non basta quindi inserire nel contratto una clausola secondo cui ‘il fornitore è responsabile della compliance CRA’. Bisogna prima capire chi è effettivamente il manufacturer secondo il regolamento, anche considerando come il prodotto è stato sviluppato e successivamente modificato”.

Per Coraggio, quindi, la prima attività per i concessionari non è soltanto tecnica, ma riguarda la corretta individuazione dei ruoli e delle responsabilità all’interno della propria catena di fornitura.

L’intervista integrale all’avvocato Giulio Coraggio, con l’approfondimento sugli effetti del Cyber Resilience Act per concessionari e fornitori del settore, è pubblicata su PressGiochi MAG.

Giampiero Moncada – PressGiochi MAG