Normativa britannica
PSTI: le regole britanniche sulla sicurezza dei prodotti connessi
Il PSTI è il regime britannico di sicurezza dei prodotti per i prodotti connettibili destinati ai consumatori, stabilito dal Product Security and Telecommunications Infrastructure Act 2022 e dai relativi Regulations, in vigore dal 29 aprile 2024. I fabbricanti non possono usare password predefinite universali, devono pubblicare come segnalare i problemi di sicurezza e devono pubblicare un periodo minimo di aggiornamenti di sicurezza.
Piano Free, nessuna carta richiesta.
Cos’è il PSTI?
PSTI sta per Product Security and Telecommunications Infrastructure Act 2022. La Parte 1 della legge dà al governo britannico il potere di stabilire requisiti di sicurezza per i prodotti connettibili, e i Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023 ne fissano i primi tre. I Regulations sono entrati in vigore il 29 aprile 2024 e si estendono a Inghilterra e Galles, Scozia e Irlanda del Nord.
La Parte 2 della legge riguarda le infrastrutture di telecomunicazione, per esempio i diritti degli operatori di rete di installare apparecchiature. Questa guida tratta la Parte 1, il regime di sicurezza dei prodotti, ovvero ciò che i produttori intendono quando parlano di conformità al PSTI.
Quali prodotti sono coperti?
Il regime si applica ai relevant connectable products messi a disposizione dei clienti nel Regno Unito, in primo luogo i consumatori. La legge copre due tipi di prodotto: i prodotti connettibili a internet, che si collegano usando la suite di protocolli Internet, e i prodotti connettibili a una rete, che non raggiungono internet da soli ma si collegano a un prodotto che lo fa. Una telecamera smart, un altoparlante connesso e un sensore che usa un hub possono rientrare nell’ambito di applicazione.
I fabbricanti con sede fuori dal Regno Unito sono coperti quando i loro prodotti sono venduti a clienti britannici. L’allegato 3 (Schedule 3) dei Regulations esclude alcune categorie perché sono già disciplinate da altre norme:
- Computer desktop e portatili, e tablet che non possono collegarsi a una rete cellulare, a meno che non siano progettati esclusivamente per bambini di età inferiore a 14 anni.
- Dispositivi medici disciplinati dai Medical Devices Regulations 2002.
- Prodotti per contatori intelligenti (smart meter) installati da fornitori di energia con licenza e garantiti da uno schema approvato.
- Punti di ricarica per veicoli elettrici disciplinati dagli Electric Vehicles (Smart Charge Points) Regulations 2021.
- Alcuni prodotti messi a disposizione in Irlanda del Nord ai sensi di norme UE idonee elencate nel Windsor Framework.
I tre requisiti di sicurezza del PSTI
L’allegato 1 (Schedule 1) dei Regulations 2023 stabilisce tre requisiti per i fabbricanti. Ciascuno riguarda una debolezza comune e ben documentata dei dispositivi di consumo. L’allegato 2 (Schedule 2) aggiunge una via per la conformità presunta (deemed compliance) attraverso disposizioni indicate della ETSI EN 303 645 e della ISO/IEC 29147.
| Requisito | Cosa richiede | Conformità presunta |
|---|---|---|
| Niente password predefinite universali | Le password devono essere uniche per ogni prodotto oppure impostate dall’utente. Le password uniche non devono seguire contatori incrementali, essere ricavate da informazioni pubbliche o da numeri di serie senza crittografia accettata, né essere facili da indovinare. | ETSI EN 303 645, disposizione 5.1-1 e, dove pertinente, 5.1-2 |
| Informazioni su come segnalare i problemi di sicurezza | Pubblicare almeno un punto di contatto per segnalare problemi di sicurezza e indicare quando chi segnala riceverà una conferma di ricezione e aggiornamenti sullo stato, fino alla risoluzione del problema. | ETSI EN 303 645, disposizione 5.2-1, oppure ISO/IEC 29147, paragrafi 6.2.2, 6.2.5 e 6.5 |
| Informazioni sui periodi minimi di aggiornamento della sicurezza | Pubblicare il periodo di supporto definito con un linguaggio chiaro, comprensibile a un lettore non tecnico, con pari evidenza quando il fabbricante vende il prodotto sul proprio sito web. Può essere esteso ma non ridotto. | ETSI EN 303 645, disposizione 5.3-13 |
Chi deve fare cosa
I fabbricanti devono rispettare i requisiti di sicurezza, indagare su possibili casi di non conformità e conservare le registrazioni. Il prodotto deve essere accompagnato da una dichiarazione di conformità (statement of compliance). Importatori e distributori hanno obblighi propri: verificare che la dichiarazione di conformità ci sia, non fornire prodotti con una non conformità e intervenire quando ne individuano una.
L’allegato 4 (Schedule 4) dei Regulations stabilisce il contenuto minimo della dichiarazione di conformità:
- Il tipo di prodotto e il lotto.
- Il nome e l’indirizzo di ciascun fabbricante e di eventuali rappresentanti autorizzati.
- Una dichiarazione che attesti che è stata redatta dal fabbricante o per suo conto e che, a parere del fabbricante, i requisiti di sicurezza, o le condizioni di conformità presunta, sono stati soddisfatti.
- Il periodo di supporto definito al momento in cui il prodotto è stato fornito per la prima volta.
- Il nome, la funzione e la firma del firmatario, e il luogo e la data di emissione.
Applicazione e sanzioni
L’Office for Product Safety and Standards (OPSS) fa rispettare il regime per conto del Secretary of State. La legge prevede avvisi di conformità (compliance notice), avvisi di sospensione (stop notice) e avvisi di richiamo (recall notice), oltre alla confisca dei prodotti non conformi.
Una sanzione pecuniaria può arrivare al maggiore tra 10 milioni di sterline e il 4% del fatturato mondiale qualificante dell’azienda, e si può aggiungere una sanzione giornaliera fino a 20.000 sterline per ogni giorno in cui la violazione continua.
PSTI e Cyber Resilience Act dell’UE
I prodotti venduti nel Regno Unito e nell’UE devono rispettare entrambi i regimi. Il Cyber Resilience Act è più ampio: copre in generale i prodotti con elementi digitali, stabilisce requisiti essenziali per progettazione, sviluppo e gestione delle vulnerabilità, richiede una SBOM e impone dall’11 settembre 2026 la segnalazione delle vulnerabilità attivamente sfruttate. Il PSTI è più circoscritto e si applica ai prodotti connettibili destinati ai consumatori nel Regno Unito dall’aprile 2024.
I tre requisiti del PSTI corrispondono a pratiche che anche il CRA si aspetta: nessuna password predefinita, un contatto per le segnalazioni di vulnerabilità e un periodo di supporto dichiarato. Il lavoro svolto per un regime è riutilizzabile per l’altro, ma rispettare il PSTI non dimostra la conformità al CRA.
Disponibile oggi in KROMSE
KROMSE non valuta né certifica la conformità al PSTI e non prepara dichiarazioni di conformità; fornisce le evidenze sulle vulnerabilità da cui dipendono il tuo processo di segnalazione e il tuo periodo di supporto.
- Vulnerabilità note nel software e nel firmware basato su Linux di un prodotto connesso, con evidenze e limiti di copertura.
- Errori di configurazione e segreti incorporati nel file system root estratto di un’immagine firmware; i valori dei segreti non vengono mai memorizzati.
- SBOM CycloneDX e SPDX per ogni scansione.
- Contesto di CISA KEV, FIRST EPSS, NVD ed ENISA EUVD sui risultati, con le vulnerabilità note come sfruttate segnalate.
Domande frequenti
Cosa significa PSTI?
Product Security and Telecommunications Infrastructure, dal Product Security and Telecommunications Infrastructure Act 2022. Il suo regime di sicurezza dei prodotti della Parte 1 si applica attraverso i Regulations 2023, in vigore dal 29 aprile 2024.
Quando è entrato in vigore il PSTI?
I requisiti di sicurezza si applicano dal 29 aprile 2024, ai sensi dei Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023, SI 2023/1007.
Il PSTI si applica ai prodotti fabbricati fuori dal Regno Unito?
Sì. Conta che il prodotto sia messo a disposizione dei clienti nel Regno Unito. I fabbricanti stranieri sono coperti, e gli importatori e i distributori britannici hanno obblighi propri, tra cui verificare la presenza della dichiarazione di conformità.
La ETSI EN 303 645 è obbligatoria ai sensi del PSTI?
No. I requisiti di legge sono nell’allegato 1 dei Regulations. Rispettare le disposizioni della ETSI EN 303 645 elencate nell’allegato 2, o la ISO/IEC 29147 per la segnalazione delle vulnerabilità, è una via per la conformità presunta, ed è per questo che molti fabbricanti la usano.
KROMSE rende il mio prodotto conforme al PSTI?
No. KROMSE non certifica la conformità e non prepara dichiarazioni di conformità. Trova le vulnerabilità note nel software e nel firmware basato su Linux, produce SBOM e registra le decisioni, e questo supporta la gestione delle vulnerabilità alla base del tuo contatto per le segnalazioni e del tuo periodo di supporto.
Guide correlate
Fonti
- Product Security and Telecommunications Infrastructure Act 2022, legislation.gov.uk
- The PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023, legislation.gov.uk
- DSIT: il regime britannico di sicurezza dei prodotti PSTI, GOV.UK
- Regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza), EUR-Lex