Telecamere intelligenti: prodotti importanti per il CRA?

Mentre un tostapane connesso può seguire il percorso di conformità CRA standard, alle telecamere di sicurezza intelligenti non è concesso questo lusso. L'UE le ha esplicitamente inserite nell'Allegato III come Prodotti Importanti, Classe I, un gradino sopra la maggior parte dell'IoT consumer, con requisiti di conformità più stringenti per chiunque produca, importi o distribuisca questi dispositivi.

Una convinzione diffusa è che le telecamere siano "Prodotti Critici". Non è così. Ma Classe I Importante rappresenta già un salto significativo.

Cosa dice effettivamente il CRA sulle telecamere

Esiste molta confusione sulle categorie di prodotti del CRA, quindi è opportuno essere precisi. Il regolamento definisce tre livelli:

Il testo giuridico esatto

Allegato III, Classe I, Punto 17 del Regolamento (UE) 2024/2847:

"Prodotti per la casa intelligente con funzionalità di sicurezza, compresi serrature intelligenti per porte, telecamere di sicurezza, sistemi di monitoraggio dei bambini e sistemi di allarme"

Il Regolamento di esecuzione (UE) 2025/2392 della Commissione chiarisce ulteriormente l'ambito tecnico, utilizzando l'espressione "sistemi di telecamere", leggermente più ampia rispetto a "telecamere di sicurezza" del regolamento principale.

Un qualificatore importante: il prodotto deve avere "funzionalità di sicurezza" in un contesto di casa intelligente. Una semplice webcam per videochiamate non rientra automaticamente nella Classe I. Una telecamera di sorveglianza connessa che monitora un'abitazione o un'attività commerciale, invece, sì.

Perché l'UE ha puntato i riflettori sulle telecamere

Non si tratta di una scelta arbitraria. Le telecamere IP si sono guadagnate la reputazione di anello debole della sicurezza di rete, e i dati lo confermano:

• La botnet Mirai (dal 2016 in poi) ha costruito eserciti di oltre 150.000 telecamere e DVR compromessi per lanciare massicci attacchi DDoS (ENISA Threat Landscape 2020: Botnet Report)
• Gli attacchi DDoS hanno rappresentato il 77% di tutti gli incidenti informatici segnalati nel 2024-2025, molti dei quali alimentati da dispositivi IoT compromessi (ENISA Threat Landscape 2025)
• Le varianti di Mirai sono ancora attive e sono state individuate mentre sfruttavano telecamere GeoVision già nell'aprile 2025
• Ogni giorno circa 7,7 milioni di nuovi dispositivi IoT si connettono a Internet, e solo 1 su 20 è protetto da un firewall

Il pattern è evidente: le telecamere sono sempre accese, sempre connesse, spesso scarsamente protette e custodiscono dati sensibili (i flussi video). È esattamente il profilo di rischio che il CRA intende affrontare.

Cosa significa la Classe I per la valutazione di conformità

Ai sensi dell'articolo 32(2), i fabbricanti di Classe I dispongono di due percorsi, e quale sia percorribile dipende da un elemento ancora in evoluzione.

Percorso 1: Autovalutazione (Modulo A)

È possibile procedere con l'autovalutazione interna, ma solo se si applicano standard armonizzati che coprono tutti i requisiti essenziali di cybersicurezza. Una copertura parziale non è sufficiente. Basta che manchi un requisito per dover ricorrere al Percorso 2.

Il problema: a febbraio 2026, gli standard armonizzati nell'ambito del CRA sono ancora in fase di definizione da parte di CEN/CENELEC. Finché non saranno pubblicati nella Gazzetta Ufficiale, la maggior parte dei fabbricanti non potrà percorrere questa strada.

Percorso 2: Valutazione di terzi

In assenza di una copertura completa degli standard armonizzati, è necessario ricorrere a:

• Modulo B + C: esame UE del tipo da parte di un organismo notificato, seguita da conformità al tipo
• Modulo H: sistema di garanzia della qualità completo certificato da un organismo notificato

Entrambe le opzioni comportano costi maggiori e tempi più lunghi rispetto all'autovalutazione. La capacità degli organismi notificati si ridurrà man mano che ci avvicineremo a dicembre 2027. Tutti si affolleranno all'ultimo momento.

Requisiti essenziali per le telecamere intelligenti

Ogni telecamera connessa deve soddisfare i requisiti essenziali di cybersicurezza del CRA (Allegato I), indipendentemente dal percorso di conformità scelto. Quelli che impattano maggiormente i fabbricanti di telecamere:

1. Nessuna password predefinita

L'articolo 13 e l'Allegato I, Parte I impongono una configurazione "sicura per impostazione predefinita". In termini concreti:

• Niente più admin/admin o admin/password preimpostati su ogni unità
• Ogni dispositivo deve avere una password univoca, o deve imporre la configurazione di credenziali sicure al primo utilizzo
• Autenticazione a più fattori laddove tecnicamente fattibile

Questo requisito da solo costringerà a riprogettare un numero elevatissimo di linee di prodotti di telecamere.

2. Gestione delle vulnerabilità (minimo 5 anni)

L'Allegato I, Parte II impone ai fabbricanti di:

• Definire una politica di divulgazione coordinata delle vulnerabilità (CVD)
• Fornire ai ricercatori di sicurezza un canale chiaro per segnalare i problemi
• Correggere le vulnerabilità senza ritardo per l'intera durata del periodo di supporto
• Supportare il prodotto per almeno 5 anni dall'immissione sul mercato
• Segnalare le vulnerabilità attivamente sfruttate entro 24 ore dalla presa di conoscenza, simultaneamente al CSIRT designato come coordinatore e a ENISA tramite la Piattaforma di segnalazione unica (obbligo operativo dall'11 settembre 2026)

Cinque anni di aggiornamenti obbligatori rappresentano una svolta radicale per i fabbricanti di telecamere abituati al modello "distribuisci e dimentica".

3. Software Bill of Materials (SBOM)

Ogni componente software del firmware della telecamera deve essere documentato: il kernel Linux, le librerie di streaming RTSP, il framework dell'interfaccia web, lo stack TLS, tutto. Lo SBOM deve:

• Utilizzare un formato leggibile automaticamente (CycloneDX o SPDX)
• Coprire almeno le dipendenze di primo livello
• Far parte della documentazione tecnica
• Essere aggiornato per tutta la durata del periodo di supporto

4. Meccanismo di aggiornamento sicuro

Le telecamere devono supportare aggiornamenti firmware sicuri e autenticati:

• Distribuiti su canali cifrati
• Con verifica dell'integrità del firmware prima dell'installazione
• Aggiornamenti di sicurezza automatici abilitati per impostazione predefinita (con possibilità di disattivazione da parte dell'utente)
• Capacità di rollback raccomandata

5. Minimizzazione dei dati e privacy

Le telecamere che raccolgono dati video devono:

• Trattare solo i dati necessari per la funzione del prodotto
• Cifrare i dati archiviati e trasmessi
• Consentire agli utenti di eliminare i propri dati in modo sicuro
• Proteggere i dati a riposo contro accessi fisici non autorizzati

Il ruolo di importatori e distributori

Importatori: il presidio d'ingresso al mercato UE

Se si importano telecamere dall'esterno dell'UE (e la realtà è che la maggior parte delle telecamere intelligenti viene prodotta in Asia), l'articolo 19 rende l'importatore direttamente responsabile. Si è personalmente responsabili di verificare che il fabbricante abbia svolto il proprio lavoro di conformità prima che il prodotto entri nel mercato UE.

Lista di controllo prima di immettere una telecamera sul mercato UE:

• [ ] Il fabbricante ha completato la valutazione di conformità appropriata (Classe I)
• [ ] Esiste una Dichiarazione di Conformità UE (DoC) che fa riferimento al CRA
• [ ] La marcatura CE è applicata correttamente
• [ ] La documentazione tecnica è disponibile e adeguata
• [ ] Le informazioni di contatto del fabbricante sono riportate sul prodotto o sull'imballaggio
• [ ] Lo SBOM è disponibile come parte della documentazione tecnica

Se anche una sola verifica fallisce, non è possibile vendere legalmente il prodotto. Punto. Occorre informare il fabbricante e, in presenza di un rischio di cybersicurezza, notificare le autorità di vigilanza del mercato.

Sanzioni per gli importatori: fino a 10 milioni di EUR o il 2% del fatturato annuo mondiale (articolo 64).

Distributori: obblighi più leggeri, conseguenze reali

I distributori hanno meno verifiche da effettuare ai sensi dell'articolo 20, ma gli obblighi sono comunque vincolanti:

• La marcatura CE è presente sul prodotto
• Il nome e i recapiti del fabbricante e dell'importatore sono visibili
• Le condizioni di stoccaggio e trasporto non compromettono la conformità
• Non si vendono prodotti che si ha motivo di ritenere non conformi

Sanzioni per i distributori: fino a 10 milioni di EUR o il 2% del fatturato annuo mondiale (articolo 64(3), gli obblighi dei distributori di cui all'articolo 20 rientrano nell'intervallo degli articoli 18-23).

La trappola del rebranding

Attenzione: se si importa una telecamera e la si commercializza con il proprio marchio, o se si apportano modifiche sostanziali al firmware o agli elementi digitali, il CRA considera l'operatore a tutti gli effetti il fabbricante. Questo significa l'intero set di obblighi del fabbricante: valutazione di conformità, SBOM, gestione delle vulnerabilità per 5 anni, tutto quanto.

Calendario di conformità

CALENDARIO CRA PER LE TELECAMERE INTELLIGENTI

11 set 2026 --- Entrano in vigore gli obblighi di segnalazione delle vulnerabilità
                (segnalazione simultanea al CSIRT coordinatore e a ENISA tramite la Piattaforma di segnalazione unica entro 24h dalla presa di conoscenza)

11 dic 2027 --- Piena conformità CRA obbligatoria
                (tutti i requisiti essenziali, valutazione di conformità,
                 marcatura CE, SBOM, documentazione tecnica)

Se si producono o si importano telecamere intelligenti e non si è ancora avviato il percorso di conformità, si è già in ritardo. Gli standard armonizzati sono ancora in fase di sviluppo, i posti presso gli organismi notificati si stanno esaurendo e il dicembre 2027 è più vicino di quanto sembri.

Fonti ufficiali

• Regolamento (UE) 2024/2847: Regolamento sulla ciberresilienza (testo integrale)
• Regolamento di esecuzione della Commissione (UE) 2025/2392: descrizioni tecniche delle categorie degli Allegati III/IV
• Valutazione di conformità CRA: Strategia digitale UE
• ENISA Threat Landscape 2020: Botnet Report
• ENISA Threat Landscape 2025