Verso il CRA: Nuki punta sul Security-by-Design e chiede regole uguali per tutti

Il rilevatore di fumo smart invia immediatamente una notifica push quando scatta un allarme, la macchina da caffè si avvia tramite app e la serratura elettronica consente agli addetti alle pulizie di entrare in casa. Chi si affida a questi strumenti digitali nella vita quotidiana deve poter avere la certezza che la propria privacy e la propria abitazione siano protette senza compromessi. Finora, la sicurezza informatica è stata spesso lasciata interamente alla discrezione dei produttori. Il Cyber Resilience Act (CRA) dell’Unione europea stabilisce ora regole chiare, rendendo la cybersicurezza un requisito obbligatorio lungo l’intero ciclo di vita del prodotto: dallo sviluppo alla vendita, fino alla manutenzione del software nel lungo periodo. Il regolamento riguarda molto più dei soli dispositivi IoT: si applica trasversalmente a pressoché qualsiasi prodotto con elementi digitali, dai singoli software alle infrastrutture IT fino agli hardware connessi. Sono previste eccezioni per specifiche categorie di prodotti, come i dispositivi medici, l’aviazione civile e determinate tipologie di veicoli. A partire dall’11 dicembre 2027, tutti i prodotti connessi immessi sul mercato europeo dovranno essere pienamente conformi ai requisiti del Cyber Resilience Act.

Una base solida invece di frenetiche misure ad hoc

Per Nuki, il nuovo regolamento UE conferma la strada intrapresa fin dalla fondazione dell’azienda: un rigoroso approccio Security-by-Design. Anziché considerare la sicurezza informatica come un aspetto da affrontare in un secondo momento, Nuki la integra fin dalla prima riga di codice e dalla prima bozza di progetto. Crittografia end-to-end, analisi continua delle minacce e aggiornamenti di sicurezza over-the-air senza interruzioni per Nuki sono standard adottati fin dalla prima generazione di Smart Lock. Anche sul fronte hardware, Nuki evolve continuamente i propri sistemi: dai Secure Element fisici e dalla protezione avanzata della memoria fino alle misure di protezione contro i tentativi di manomissione.

“Per noi la sicurezza informatica non è una mano di vernice da aggiungere a un prodotto quando arriva una nuova normativa: è parte integrante del DNA dei nostri prodotti. Per questo, consideriamo il Cyber Resilience Act una naturale prosecuzione del percorso che abbiamo intrapreso”, sottolinea Jürgen Pansy, cofondatore e Chief Innovation Officer di Nuki. Allo stesso tempo, Pansy offre una valutazione realistica dell’impegno richiesto: “Nessuno soddisfa i requisiti del CRA dall’oggi al domani, ma grazie al lavoro preparatorio svolto, per noi non si tratta di una frenetica revisione in corsa, bensì di un lavoro strutturato costruito su basi molto solide.”

24 ore, 72 ore: il nuovo ritmo della cybersicurezza

Il primo grande banco di prova del CRA per i produttori è ormai alle porte: l’11 settembre 2026 entreranno in vigore gli obblighi di segnalazione relativi alle vulnerabilità attivamente sfruttate e agli incidenti di sicurezza gravi. Dal momento in cui viene segnalato un incidente, il tempo inizia a scorrere. I produttori devono valutare immediatamente l’impatto tecnico dell’incidente e chiarire le responsabilità, in modo da presentare entro 24 ore una notifica ufficiale di allerta precoce. Entro 72 ore deve seguire una segnalazione più dettagliata, contenente le informazioni disponibili in quel momento e una prima valutazione. La sicurezza informatica non è quindi più un’attività documentale a valle, né un test una tantum sul prodotto finito: diventa parte integrante del controllo qualità, dall’analisi iniziale dei rischi allo sviluppo, fino agli anni di manutenzione del prodotto sul campo.

“I nuovi obblighi di segnalazione rappresentano soprattutto una vera prova sul campo per l’assetto di sicurezza di un produttore. In un arco di tempo molto breve, le aziende devono essere in grado di stabilire con certezza quali prodotti e versioni siano interessati, quanto sia grave un incidente e quali azioni siano necessarie. Questo è possibile solo se analisi dei rischi, sviluppo sicuro, test tecnici e gestione delle vulnerabilità sono già perfettamente coordinati”, sottolinea Luise Werner, esperta di cybersicurezza presso secuvera, fornitore di servizi di sicurezza informatica certificato BSI e organismo di prova riconosciuto.

I test sul campo fanno la differenza

Uno sguardo alla pratica dei test dimostra che processi impeccabili sulla carta, da soli, non garantiscono la protezione. “Un prodotto può essere sicuro sulla carta e risultare comunque vulnerabile. I test di sicurezza indipendenti offrono un’ulteriore prospettiva fondamentale”, sottolinea Eric Clausing, IoT Lead di AV-TEST. La grande maggioranza delle vulnerabilità individuate in scenari reali non deriva da difetti del concetto teorico, bensì da errori di implementazione. Le valutazioni tecniche, che spaziano dalla comunicazione online e dalle app mobili fino all’hardware, sono essenziali per colmare la distanza tra specifiche formali e sicurezza nella pratica.

Clausing considera il quadro vincolante introdotto dal CRA per i dispositivi connessi uno sviluppo decisamente positivo: “Per i produttori non significa soltanto requisiti aggiuntivi, ma anche l’opportunità di rendere la sicurezza misurabile e trasparente. I test indipendenti contribuiscono a creare fiducia nella sicurezza di un prodotto, sia per i produttori che per gli utenti finali.”

Il divario tra realtà tecnica e percezione

Una sicurezza verificabile è proprio la chiave per affrontare una delle principali sfide del settore. Sebbene le serrature smart affermate sul mercato offrano un elevato livello di sicurezza, spesso permane un divario tra la realtà tecnica e la percezione dei consumatori.

Una recente indagine condotta da Nuki tra i propri clienti mostra che il 44%1 considera i timori legati alla sicurezza tra i principali ostacoli all’acquisto di una serratura smart per la prima volta. Il dato trova ulteriore conferma in un nuovo studio di Parks Associates realizzato per conto della Connectivity Standards Alliance2, che individua analogamente le preoccupazioni relative alla privacy dei dati e alla sicurezza come un ostacolo a una più ampia adozione dei dispositivi smart home. “È proprio per questo che accogliamo esplicitamente con favore il Cyber Resilience Act. Quadri normativi come il CRA, insieme a standard di settore affidabili come Matter e ai sigilli di istituti di prova indipendenti come AV-TEST, contribuiscono a dissipare timori infondati. Creano la fiducia di cui abbiamo bisogno per rendere le serrature smart rilevanti per il grande pubblico”, spiega Martin Pansy, cofondatore e CEO di Nuki.

Quando la conformità diventa una questione di competitività

Per quanto Nuki valuti positivamente il nuovo quadro normativo, l’azienda ne evidenzia con altrettanta chiarezza le implicazioni economiche. La Commissione europea stima i costi diretti di conformità in circa 29 miliardi di euro3, pari a circa il 2% del fatturato dell’industria europea. Secondo Martin Pansy, tuttavia, questa è solo una parte della questione: “L’obbligo di fornire aggiornamenti di sicurezza per un prodotto per cinque anni o più impegna in modo permanente risorse di sviluppo. A ciò si aggiungono ulteriori costi per la selezione dei componenti e gli strumenti software.”

Si tratta di un onere che un’azienda consolidata come Nuki è in grado di gestire, ma che per le giovani startup rappresenta una significativa barriera all’ingresso e potrebbe frenare l’innovazione europea. In questo contesto, Martin Pansy chiede una rigorosa vigilanza del mercato: “Il CRA stabilisce i parametri giusti, ma un regolamento UE è forte solo quanto lo è la sua applicazione. Requisiti severi servono a poco ai consumatori se prodotti privi di standard di sicurezza comprovati continuano a entrare senza controlli nel mercato europeo. Abbiamo bisogno di condizioni di concorrenza eque, che premino la responsabilità anziché l’elusione delle regole.”

Il materiale fotografico ad alta risoluzione relativo a questo comunicato stampa è disponibile per il download a questo link.

Ulteriori informazioni su Nuki e materiale fotografico generale sono disponibili nella Press Area.

1 Nuki Brand Survey 2025: indagine condotta il 30 aprile 2025 tra 1.305 membri del Nuki Club che avevano acquistato una Nuki Smart Lock nei 6 mesi precedenti all’indagine.

2 Parks Associates: whitepaper "Smart Home Evolution: Unlocking Value" (realizzato per la Connectivity Standards Alliance), 2025. Disponibile a questo link.

3 Commissione europea: Commission Staff Working Document SWD(2022) 282 final, sezione 6.3.1, 15 settembre 2022. Disponibile a questo link.