L’Unione europea rafforza la sicurezza dei giocattoli smart: obblighi per i produttori

L’Unione europea ha introdotto nuovi obblighi per i produttori di giocattoli e dispositivi elettronici per l’infanzia, con l’obiettivo di proteggere i bambini da attacchi informatici. A partire da oggi, i produttori hanno 24 ore per comunicare eventuali falle o violazioni nei loro sistemi. La misura fa parte del Cyber Resilience Act, una normativa volta a rafforzare la sicurezza dei dispositivi digitali in circolazione. La misura si applica a tutti i prodotti connessi alla rete, tra cui smartphone, smartwatch, elettrodomestici, ma soprattutto giocattoli smart, come i baby monitor o i peluche interattivi. Chi non si adeguerà rischia sanzioni fino a 15 milioni di euro o il 2,5% del fatturato globale.

Obblighi chiari e tempi rigorosi

Il nuovo meccanismo impone tempi di reazione rigorosi. Entro 24 ore dalla scoperta di un problema o di una violazione, la società produttrice deve inviare un primo allarme con le informazioni essenziali, specificando il prodotto coinvolto, il tipo di falla e l’eventuale presenza di attacchi in corso. Nei successivi due giorni l’azienda ha il compito di integrare la segnalazione con una descrizione tecnica dettagliata e un piano di contromisure che, entro due settimane, deve trasformarsi in una soluzione definitiva. La gestione è affidata a una piattaforma europea unica che distribuisce le allerte alle agenzie di cybersicurezza dei Paesi UE in cui il prodotto è commercializzato.

Un passo verso una riforma più completa

Questi obblighi rappresentano solo il primo step di una riforma che entrerà pienamente in vigore il 11 dicembre 2027. A partire da quel momento, tutti i prodotti digitali dovranno essere progettati, fin dall’origine, secondo criteri di sicurezza estremamente stringenti. L’obiettivo è garantire una protezione completa per i dati degli utenti, in particolare per i più piccoli, che spesso utilizzano dispositivi connessi alla rete. La normativa si estende a una vasta gamma di prodotti, tra cui computer, router, elettrodomestici, ma anche oggetti destinati ai bambini, come i baby monitor o i giocattoli interattivi capaci di parlare, registrare video o geolocalizzare un bambino.

La necessità di un intervento normativo è data dalla lunga lista di criticità emersa negli ultimi anni. Nel 2017, ad esempio, fecero scalpore i CloudPets, peluche che permettevano lo scambio di messaggi vocali via Bluetooth: un database vulnerabile espose oltre due milioni di audio, usati in seguito per tentativi di riscatto informatico. In Germania fu tolta dal mercato My Friend Cayla, una bambola parlante il cui sistema audio era facilmente intercettabile da terzi. Anche il Garante della privacy italiano invita costantemente alla cautela, raccomandando ai genitori di limitare i permessi concessi alle app, disattivare la geolocalizzazione quando non necessaria, aggiornare regolarmente i software e spegnere o scollegare i dispositivi intelligenti quando non vengono utilizzati.

La normativa rappresenta un passo significativo verso una maggiore protezione dei dati e una maggiore responsabilità da parte dei produttori. La sfida non è solo tecnica, ma anche culturale: come ha sottolineato Stefania Ranzato (Deas), «Difendersi non basta. La vera sfida è comprendere la minaccia». Con il Cyber Resilience Act, l’Unione europea si pone come un modello per la protezione dei dati e la sicurezza informatica, anche a livello globale.