BSI e DAkkS preparano le competenze di verifica per il Cyber Resilience Act

L'Ufficio federale per la sicurezza informatica (BSI) e l'Ente tedesco di accreditamento (DAkkS) hanno aggiornato il loro accordo amministrativo. Lo hanno annunciato il 25 settembre 2026. L'intesa copre ora nuovi ambiti in cui il BSI agisce come autorità competente per il rilascio delle autorizzazioni.

Che cosa prevede l'accordo

Al centro c'è la collaborazione per l'accreditamento degli organismi di valutazione della conformità (KBS), che eseguono le verifiche di sicurezza informatica. L'accordo stabilisce in particolare che il BSI metterà a disposizione esperti per le procedure di accreditamento della DAkkS nel campo della sicurezza delle informazioni.

La presidente del BSI Claudia Plattner ha spiegato la decisione: è necessario semplificare per produttori e fornitori di servizi l'immissione sul mercato di prodotti con un elevato livello di sicurezza informatica. Con questa cooperazione si intende dare al processo una base solida.

Cosa cambia dalla fine del 2027

Dalla fine del 2027 i prodotti con elementi digitali dovranno rispettare i requisiti di sicurezza informatica del Cyber Resilience Act (CRA). In caso contrario, non potranno più essere immessi sul mercato europeo. Per alcuni gruppi di prodotti elencati nel CRA, i produttori devono dimostrare la conformità tramite una valutazione di terza parte effettuata da un KBS. In Germania, questi organismi necessitano di un accreditamento DAkkS valido e, in un secondo passaggio, di una notifica da parte del BSI.

Secondo il BSI, la procedura di notifica per il CRA è iniziata l'11 giugno 2026, prima ancora della pubblicazione della legge di attuazione del CRA, che si trova tuttora in fase legislativa. La DAkkS consente già agli organismi KBS di presentare domanda per l'ambito CRA.

Il secondo pilastro: la sicurezza dell'IA

In parallelo, il BSI si posiziona come autorità di verifica per l'intelligenza artificiale. Nella sua pagina tematica, l'ufficio descrive tre punti di contatto tra IA e sicurezza informatica: la sicurezza dei sistemi di IA stessi, l'utilità dell'IA per la difesa e i nuovi attacchi resi possibili dai metodi di IA. Per questo, il BSI conduce ricerca di base e sviluppa requisiti, criteri e metodologie di verifica. Il lavoro spazia da un catalogo di criteri per l'integrazione di modelli di IA generativa forniti dall'esterno a una guida sugli assistenti di programmazione basati su IA e su "SBOM for AI", fino a criteri di qualità per i dati di addestramento (QUAIDAL) e a una checklist sugli Evasion Attacks contro gli LLM.

Per i produttori e i laboratori di prova nasce una doppia pressione sui tempi: gli organismi notificati vanno istituiti, mentre i criteri di verifica per i prodotti basati su IA maturano in parallelo in diversi documenti.

Chi può attestare la conformità decide anche quanto velocemente i prodotti conformi al CRA arrivano davvero sul mercato.