R155, NIS2 e Cyber Resilience Act: cosa cambia per la filiera automotive

In breve

Per un fornitore automotive la cybersecurity arriva oggi da tre fonti diverse: i regolamenti UNECE sull’omologazione, che passano attraverso i contratti con i costruttori; la NIS2, che si applica all’azienda; il Cyber Resilience Act, che si applica ai prodotti digitali venduti fuori dall’omologazione del veicolo. Hanno destinatari, tempi e autorità diversi, ma chiedono in gran parte le stesse capacità.

UN R155 e R156: la condizione per omologare

I regolamenti UNECE R155 (gestione della cybersecurity) e R156 (gestione degli aggiornamenti software) sono obbligatori nell’Unione per autovetture, veicoli commerciali, autobus, camion e rimorchi dotati di centraline elettroniche (categorie M, N e O): per i nuovi tipi dal luglio 2022, per tutti i veicoli nuovi dal luglio 2024. Senza un sistema di gestione della cybersecurity (CSMS) certificato, il costruttore non ottiene l’omologazione.

Il CSMS copre l’intero ciclo di vita del veicolo: analisi delle minacce e dei rischi (TARA) per ogni tipo, monitoraggio delle vulnerabilità, risposta agli incidenti e gestione dei fornitori. Con R156 gli aggiornamenti software, compresi quelli via etere, devono essere autenticati, tracciati e non devono compromettere l’omologazione.

Cosa arriva ai fornitori

R155 si rivolge ai costruttori, non ai fornitori. Ma un costruttore non può dimostrare di controllare i rischi della propria catena di fornitura senza chiedere evidenze a chi gli fornisce componenti e software. Per questo le richieste arrivano nei capitolati e nei contratti:

• processi di sviluppo conformi a ISO/SAE 21434, lo standard di ingegneria della cybersecurity dei veicoli stradali;
• accordi che stabiliscono chi fa cosa sulla sicurezza del componente lungo il suo ciclo di vita;
• comunicazione tempestiva delle vulnerabilità scoperte dopo la consegna;
• per la sicurezza delle informazioni aziendali, spesso una valutazione TISAX.

NIS2: l’azienda, non il prodotto

Il D.Lgs. 138/2024 inserisce la fabbricazione di autoveicoli, rimorchi e semirimorchi tra i settori dell’Allegato II. La voce corrisponde alla divisione NACE C29, che comprende anche la fabbricazione di parti e accessori: i fornitori di componenti rientrano, e l’elettronica può ricadere in altre voci dello stesso allegato. Chi vi opera ed è almeno una media impresa è un soggetto importante, salvo che l’ACN lo qualifichi come essenziale. Gli obblighi riguardano l’organizzazione: misure di sicurezza, notifica degli incidenti, responsabilità e formazione degli organi di amministrazione, sicurezza della catena di fornitura.

Per chi entra nell’elenco NIS nel 2026, la Determinazione ACN 127434/2026 fissa la notifica degli incidenti significativi dal 1° gennaio 2027 e le misure di sicurezza di base entro il 31 luglio 2027. Il referente CSIRT va designato entro il 31 dicembre dell’anno di inserimento (Determinazione ACN 127437/2026).

Cyber Resilience Act: quello che resta fuori dall’omologazione

Il Regolamento (UE) 2024/2847 esclude i prodotti a cui si applica il Regolamento (UE) 2019/2144 sull’omologazione: il veicolo, ma anche sistemi, componenti ed entità tecniche omologati, oltre ai ricambi identici agli originali. Restano nel suo ambito i prodotti con elementi digitali venduti fuori da quell’omologazione, come spesso accade per box telematici e di gestione flotte installati dopo l’immatricolazione, accessori connessi, strumenti diagnostici, wallbox e software venduto a parte. Il confine va valutato prodotto per prodotto.

Dall’11 settembre 2026 i fabbricanti di questi prodotti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi all’ENISA e al CSIRT nazionale, tramite la piattaforma unica di segnalazione: preallarme entro 24 ore, notifica entro 72 ore, rapporto finale entro 14 giorni dalla correzione per le vulnerabilità o entro un mese dalla notifica per gli incidenti. Gli altri obblighi, dalla progettazione sicura alla marcatura CE, si applicano da dicembre 2027.

Il quadro in una tabella

Non è teoria: tre casi

• 2022, Toyota. Un attacco al fornitore di componenti Kojima Industries fermò per un giorno 28 linee in 14 stabilimenti giapponesi, con una produzione persa stimata in circa 13.000 veicoli.
• 2025, Jaguar Land Rover. Dopo un attacco informatico del 31 agosto la produzione si fermò dal 1° settembre e ripartì gradualmente solo l’8 ottobre. Molti fornitori dovettero sospendere personale, e il governo britannico garantì un prestito da 1,5 miliardi di sterline.
• 2025, Stellantis. Il gruppo confermò il furto di dati di contatto di clienti nordamericani attraverso la piattaforma di un fornitore di servizi al cliente.

In tutti e tre i casi il punto debole non era il veicolo, ma l’azienda o un suo fornitore.

Da dove cominciare

1. Elencare clienti, contratti e richieste cyber già ricevute.
2. Verificare se l’azienda rientra nella NIS2 e con quale qualifica.
3. Elencare i prodotti con elementi digitali venduti fuori dall’omologazione: sono quelli soggetti al Cyber Resilience Act.
4. Mettere in piedi un processo unico di gestione delle vulnerabilità e degli incidenti, con i tempi di tutte le norme.
5. Fare una gap analysis rispetto a ISO/SAE 21434 sui processi di sviluppo.

Fonti

Regolamenti UNECE n. 155 e n. 156; Regolamento (UE) 2019/2144; Regolamento (UE) 2024/2847 (Cyber Resilience Act), artt. 2 e 14; D.Lgs. 138/2024, Allegato II; Determinazioni ACN n. 127434 e n. 127437 del 13/04/2026; ICT Security Magazine, “UN R155 e R156” (marzo 2026); Automotive IQ sull’esclusione dell’art. 2(2)(c) del CRA (settembre 2026); Cybersecurity360 sugli obblighi di segnalazione CRA (settembre 2026); per i casi: Autocar Pro (Toyota, 2022), Automoto.it, The National e Computing (Jaguar Land Rover, 2025), BleepingComputer (Stellantis, 2025). Fonti consultate il 3 novembre 2026. Questo articolo è informativo e non sostituisce la lettura dei testi normativi né i requisiti contrattuali dei vostri clienti.