Relazione sulla cibersicurezza dei dispositivi connessi in rete alla luce della direttiva RED
Molti dispositivi connessi non soddisfano le nuove norme di sicurezza e, dal mese di agosto 2025, rischiano di essere messi al bando dal mercato.
Il 1° agosto 2025 entreranno in vigore requisiti più severi previsti dalla direttiva RED (Radio Equipment Directive), che saranno vincolanti anche in Svizzera. Questi nuovi requisiti stabiliscono standard elevati di cibersicurezza per i dispositivi connessi in rete dotati di interfaccia radio, come smartwatch, router WLAN e baby monitor. Secondo un recente rapporto dell'Istituto nazionale di test per la cibersicurezza NTC, una percentuale significativa dei prodotti testati non soddisfa attualmente i nuovi requisiti. L'NTC ritiene quindi urgente intervenire lungo l'intera catena di fornitura.
Sono stati esaminati dispositivi ampiamente diffusi sul mercato svizzero, tra cui smartwatch per bambini, telecamere per neonati, sistemi di allarme, router WLAN e adattatori intelligenti per prese elettriche. Nell'ambito dell'indagine, i dispositivi sono stati testati in base a requisiti specifici della RED. L'attenzione si è concentrata su aspetti particolarmente rilevanti per la sicurezza e la resilienza dei dispositivi: autenticazione e controllo degli accessi, comunicazione protetta dei dati, aggiornamenti software sicuri e protezione da manipolazioni e accessi non autorizzati. L'obiettivo era determinare se i prodotti testati soddisfano i requisiti di cibersicurezza che entreranno in vigore nell'agosto 2025.
Risultati del campione
L'analisi tecnica ha evidenziato vulnerabilità diffuse, quali password standard non sicure, crittografia assente o insufficiente durante la trasmissione dei dati e meccanismi di aggiornamento software carenti o assenti. Queste carenze non sono state riscontrate solo in prodotti a basso costo importati, ma anche in dispositivi di marchi affermati. Le vulnerabilità individuate mostrano un aumento significativo della superficie di attacco e, cosa particolarmente preoccupante, alcune di queste lacune di sicurezza possono essere sfruttate anche senza conoscenze tecniche approfondite. In futuro, i dispositivi che presentano tali carenze non saranno conformi alla direttiva RED e non potranno più essere immessi sul mercato a partire da agosto 2025.
Le nuove norme porteranno a prodotti più sicuri nel lungo termine. Tuttavia, i risultati dell'indagine sollevano dubbi circa il rispetto capillare e tempestivo della direttiva.
Linee guida destinate per gli operatori di mercato
L'NTC raccomanda ai produttori di attuare in modo coerente e tempestivo i requisiti di cibersicurezza previsti dalla RED. La cibersicurezza deve essere integrata come parte integrante del processo di sviluppo secondo il principio «Security by Design». Si raccomanda agli importatori e ai distributori di richiedere attivamente ai propri fornitori le prove di conformità e di selezionare con cura i prodotti da mettere in commercio. Anche i consumatori possono contribuire alla propria sicurezza acquistando presso rivenditori affermati in Svizzera, prestando attenzione agli importi diretti, modificando immediatamente le password standard e installando regolarmente gli aggiornamenti software.
La relazione riassuntiva è disponibile in tedesco e inglese. Il management summary esecutivo è disponibile in tutte le lingue nazionali e in inglese.
Contatto per i media:
Andreas W. Kaelin, Direttore Esecutivo
+41 41 210 11 03, office@ntc.swiss