Gli apparecchi connessi sono oggi contati a miliardi nel mondo. Termostati, orologi, altoparlanti, serrature, sensori di salute: questi dispositivi comunicano tra loro e con i loro utenti tramite internet o una rete locale. Il loro funzionamento si basa su componenti precisi, e la loro proliferazione nelle abitazioni solleva domande concrete di sicurezza e regolamentazione che il grande pubblico conosce ancora poco.
Cyber Resilience Act: cosa cambia la regolamentazione europea per gli apparecchi connessi
Il quadro normativo europeo è cambiato con l’entrata in vigore, il 10 dicembre 2024, del Cyber Resilience Act (CRA), Regolamento (UE) 2024/2847. Questo testo impone requisiti obbligatori di cybersicurezza a tutti i prodotti che contengono elementi digitali, coprendo quasi la totalità degli oggetti connessi venduti sul mercato europeo.
Il calendario di applicazione prevede due scadenze principali. A partire dal 11 settembre 2026, i produttori dovranno dichiarare alle autorità le vulnerabilità attivamente sfruttate e gli incidenti di cybersicurezza gravi che interessano i loro prodotti. Poi, a partire dall’11 dicembre 2027, un apparecchio connesso potrà essere commercializzato nell’Unione europea solo se conforme al CRA e dotato di un marchio CE che attesti anche la sua cybersicurezza.
In concreto, il CRA impone la sicurezza fin dalla progettazione (secure by design), la gestione delle vulnerabilità e la manutenzione della sicurezza per tutta la durata di vita prevista del prodotto. Le sanzioni previste possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato globale. Per un produttore di termostati o di lampadine connesse, ciò significa che la cybersicurezza non è più un argomento di marketing ma una condizione di accesso al mercato.
Questa regolamentazione è ancora poco conosciuta dal grande pubblico, mentre influenzerà direttamente la durata del supporto software degli apparecchi disponibili in negozio. Un utente che consulta la definizione degli apparecchi connessi su Transtec misura già l’estensione dei dispositivi interessati da questi obblighi.
Sensor, protocolli e cloud: come funziona un apparecchio connesso
Il funzionamento di un apparecchio connesso si basa su tre strati distinti che comunicano costantemente.
Lo strato fisico: sensori e attuatori
Ogni oggetto integra uno o più sensori che misurano un parametro dell’ambiente (temperatura, movimento, luminosità, battito cardiaco). Un microcontrollore elabora questi dati localmente prima di trasmetterli. Al contrario, un attuatore esegue un comando: accendere una lampada, bloccare una serratura, regolare un termostato.
Lo strato di rete: Wi-Fi, Bluetooth, Zigbee e oltre
La trasmissione dei dati si basa su protocolli wireless adatti all’uso. Il Wi-Fi è adatto per dispositivi che richiedono molta larghezza di banda (telecamere di sorveglianza). Il Bluetooth Low Energy alimenta oggetti indossabili come orologi e braccialetti per la salute. Protocolli come Zigbee o Z-Wave, meno conosciuti, servono reti domotiche dense dove decine di sensori devono coesistere senza saturare il Wi-Fi domestico.
La scelta del protocollo determina direttamente l’autonomia della batteria, la portata del segnale e la compatibilità con il resto dell’ecosistema. Un apparecchio Zigbee non comunica nativamente con una rete Bluetooth, il che spesso costringe a passare attraverso un gateway (hub) o un assistente vocale centralizzato.
Lo strato software: cloud e applicazioni
I dati raccolti vengono inviati a un server remoto (cloud) dove vengono memorizzati, analizzati e resi accessibili tramite un’applicazione mobile. È questo ciclo sensore-cloud-applicazione che consente di controllare un apparecchio a distanza, programmare automazioni o ricevere avvisi in tempo reale.
Le esperienze sul campo divergono sulla affidabilità di questa architettura. Quando il server del produttore si guasta o quando l’azienda interrompe la propria attività, l’oggetto può perdere parte delle sue funzionalità, diventando addirittura inutilizzabile. Alcuni produttori offrono un funzionamento locale parziale, ma questo approccio rimane minoritario.
Usi concreti degli apparecchi connessi in casa e nella salute
Gli usi domestici rappresentano la maggior parte del mercato al consumo degli oggetti connessi. Tre categorie concentrano l’adozione.
- La gestione dell’energia: termostati connessi che apprendono le abitudini degli occupanti, prese intelligenti che interrompono l’alimentazione degli apparecchi in standby, rilevatori di apertura delle finestre che sospendono automaticamente il riscaldamento.
- La sicurezza della casa: telecamere IP consultabili a distanza, serrature connesse a codice rotativo, rilevatori di fumo collegati allo smartphone dell’utente.
- Il monitoraggio della salute: orologi e braccialetti che misurano il battito cardiaco, la qualità del sonno o il numero di passi, misuratori di pressione connessi che trasmettono i dati direttamente al medico curante.
Nel campo della salute, la raccolta di dati personali sensibili solleva interrogativi sulla loro memorizzazione e utilizzo. I dati sulla frequenza cardiaca registrati da un orologio transitano attraverso i server del produttore prima di raggiungere l’applicazione. L’utente non ha sempre una visibilità chiara sulla durata di conservazione né sui terzi che vi accedono.
Proteggere i propri oggetti connessi: i gesti che contano davvero
La CNIL ricorda che gli oggetti connessi generano una grande quantità di dati personali memorizzati su internet, e che la loro sicurezza è anche responsabilità dell’utente. Diverse misure riducono significativamente la superficie di attacco.
- Modificare sistematicamente la password predefinita di ogni apparecchio, utilizzando una password unica e complessa.
- Aggiornare il firmware non appena è disponibile una nuova versione, poiché questi aggiornamenti correggono spesso vulnerabilità attivamente sfruttate.
- Segmentare la rete domestica creando una rete Wi-Fi dedicata agli oggetti connessi, separata da quella utilizzata per il computer o lo smartphone.
- Disattivare le funzionalità non utilizzate (microfono, geolocalizzazione) per limitare la raccolta di dati superflui.
Un apparecchio connesso il cui firmware non viene più aggiornato diventa un potenziale punto di ingresso nella rete domestica. Con l’arrivo del CRA, i produttori saranno tenuti a fornire patch per tutta la durata di vita prevista del prodotto, ma questo obbligo si applicherà pienamente solo a partire dalla fine del 2027. Fino ad allora, verificare la politica di supporto del produttore prima dell’acquisto rimane il riflesso più affidabile.
Il mercato degli apparecchi connessi evolve sotto una doppia pressione: quella degli usi, che si moltiplicano in casa e nella salute, e quella della regolamentazione europea, che alza le esigenze di sicurezza a un livello senza precedenti. La scelta di un oggetto connesso non si limita più alle sue funzionalità: la durata del supporto software e la conformità al CRA diventano criteri di acquisto a tutti gli effetti.