Quando la cybersecurity diventa condizione di omologazione: cosa insegna lo UN R155 a chi fa compliance

Da luglio 2024 un'auto non può più essere immatricolata nell'Unione Europea se il suo produttore non dimostra di avere — certificato da un ente terzo — un sistema di gestione della cybersecurity attivo su tutto il ciclo di vita del veicolo. Non è una linea guida: è una condizione di omologazione, introdotta dallo UN Regulation No. 155 (UN R155) e resa vincolante nell'UE dal regolamento sull'omologazione dei veicoli. È uno dei primi casi su scala industriale in cui "gestisci il rischio cyber in modo dimostrabile" smette di essere buona pratica e diventa requisito di legge per stare sul mercato — un modello che altri regimi regolatori risk-based, a partire dall'AI Act, permettono di confrontare.

Cosa dice davvero lo UN R155

Lo UN R155 — "Uniform provisions concerning the approval of vehicles with regards to cyber security and cyber security management system" — è un regolamento adottato in sede UNECE (World Forum for Harmonization of Vehicle Regulations, WP.29) nel giugno 2020 ed entrato in vigore il 22 gennaio 2021. Il testo-base è stato messo a punto attraverso più documenti della stessa sessione di lavoro (fra cui ECE/TRANS/WP.29/2020/79, /94 e /97), un dettaglio che segnala quanto il risultato finale sia frutto di negoziazione fra più parti contraenti, non di un testo calato dall'alto.

Si applica ai veicoli delle categorie M e N (passeggeri e merci) e, se dotati di almeno una centralina elettronica, anche alla categoria O (rimorchi). Il regolamento poggia su due pilastri distinti: un certificato di Cybersecurity Management System (CSMS) a livello di organizzazione — il produttore deve dimostrare di avere processi strutturati di gestione del rischio cyber — e un type-approval cyber a livello di singolo tipo di veicolo, che verifica come quei processi si siano tradotti in requisiti di progetto concreti. Omologare un modello senza un CSMS certificato, semplicemente, non è possibile.

Il cuore della norma: gestire il rischio lungo tutto il ciclo di vita

La parte che rende lo UN R155 un caso di studio interessante anche fuori dall'automotive non è l'elenco dei requisiti tecnici, ma l'arco temporale su cui si applicano. Il CSMS non certifica un controllo puntuale al rilascio: richiede processi dimostrabili di identificazione del rischio, trattamento, test, monitoraggio e risposta agli incidenti lungo tutta la vita del veicolo— dalla progettazione alla produzione, fino alla fine del supporto post-vendita. È una logica "by design and by default" applicata alla sicurezza informatica di un prodotto fisico complesso, con un'autorità di omologazione che verifica l'organizzazione prima ancora del singolo prodotto.

Come diventa legge in Europa

Lo UN R155 nasce in sede UNECE e si applica, in linea di principio, a tutte le Parti contraenti dell'Accordo del 1958 che ne notificano l'adozione — oltre cinquanta giurisdizioni, non solo europee. Nell'Unione Europea diventa un obbligo di omologazione cogente grazie al Regolamento (UE) 2019/2144 (il cosiddetto "General Safety Regulation 2", GSR2), che abroga il precedente regime (Regolamento (CE) 661/2009 e correlati) e si innesta sulla cornice generale di omologazione e vigilanza di mercato definita dal Regolamento (UE) 2018/858. Le scadenze sono scaglionate: obbligo di conformità per i nuovi tipi di veicolo da luglio 2022, estensione a tutti i veicoli nuovi immatricolati da luglio 2024.

Vale una precisazione, perché nella discussione pubblica circola spesso un riferimento improprio: il Regolamento di esecuzione (UE) 2022/1426, che riguarda l'omologazione dei sistemi di guida automatizzata (ADS) per veicoli a guida completamente automatizzata — quello che nel linguaggio di settore si chiama comunemente guida di "livello 4", anche se non è la dizione tecnica usata dal testo UE — cita lo UN R155 e R156 solo come riferimenti procedurali di supporto (ad esempio il possesso del certificato CSMS o la conformità alle procedure di aggiornamento software). Non è questo il regolamento che introduce l'obbligo generale di CSMS: quella fonte resta il 2019/2144.

Il ruolo di ISO/SAE 21434

Lo UN R155 stabilisce un obbligo regolatorio, ma non è un manuale di ingegneria: per questo richiama, come riferimento di valutazione tecnica, lo standard ISO/SAE 21434:2021("Road vehicles — Cybersecurity engineering"), pubblicato congiuntamente da ISO e SAE International il 31 agosto 2021. Le autorità di omologazione lo usano come base per valutare se i processi descritti nel CSMS di un produttore siano effettivamente solidi dal punto di vista ingegneristico — un pattern comune a molti regimi risk-based: la legge fissa l'obbligo e il perimetro, lo standard tecnico dà sostanza misurabile al "come".

Perché riguarda anche chi non fa auto

Il motivo per cui un responsabile compliance o un product security manager fuori dall'automotive dovrebbe guardare allo UN R155 non è il contenuto tecnico, ma lo schema: un regolatore trasforma un framework di gestione del rischio in condizione di accesso al mercato, certifica l'organizzazione (non solo il prodotto), lo estende a tutto il ciclo di vita e lo fa ricadere, per via contrattuale, sulla filiera di fornitura — produttori di componenti e fornitori Tier 1/Tier 2 si trovano a dover dimostrare pratiche di gestione del rischio compatibili, pur senza essere destinatari diretti dell'obbligo normativo.

È lo stesso schema concettuale che l'AI Actapplica ai sistemi di IA ad alto rischio, dove un sistema di gestione del rischio è un requisito esplicito di legge (art. 9), non un'opzione. Va detto con chiarezza: si tratta di un'analogia tra regimi regolatori risk-based, non di un'equivalenza giuridica — i due regolamenti hanno basi legali, autorità di enforcement e meccanismi di certificazione distinti. Ma per chi deve costruire da zero un sistema di gestione del rischio "by design" imposto per legge, lo UN R155 è un precedente concreto di cosa un'autorità di omologazione finisce per chiedere in pratica, quando un principio regolatorio astratto diventa un obbligo verificabile.

Da ricordare:un framework di gestione del rischio imposto per legge si giudica da tre cose — chi deve certificarsi (l'organizzazione, non solo il prodotto), su quale arco temporale (l'intero ciclo di vita, non il rilascio) e chi altro nella catena di fornitura viene trascinato dentro l'obbligo. Lo UN R155 risponde a tutte e tre, ed è per questo un riferimento da studiare anche fuori dall'automotive.

Fonti

UN Regulation No. 155 (UNECE/WP.29, adottato giugno 2020, in vigore dal 22/01/2021); Regolamento (UE) 2019/2144; Regolamento (UE) 2018/858; ISO/SAE 21434:2021; Regolamento di esecuzione (UE) 2022/1426 (citato solo come nota di contesto sull'omologazione ADS).