Il Cyber Resilience Act interessa il settore del gioco d’azzardo in misura più ampia di quanto la maggior parte degli operatori ritenga. I client scaricabili per casinò e scommesse sportive, le applicazioni mobili, le macchine da gioco, i terminali di scommessa self-service, i chioschi e il software fornito con essi sono tutti considerati prodotti con elementi digitali, e le linee guida approvate dalla Commissione Europea il 27 luglio 2026 eliminano gran parte dell’incertezza riguardo ai confini di applicazione.
Una lettura generale di tali linee guida, che coprono l’ambito di applicazione, gli obblighi e le scadenze in tutti i settori, è riportata nel precedente articolo di questo blog. L’analisi che segue applica lo stesso quadro normativo agli operatori di gioco d’azzardo online e terrestri e ai loro fornitori.
Tre date sono determinanti per la pianificazione:
- Gli obblighi di segnalazione di cui all’articolo 14 si applicano a partire dall’11 settembre 2026, anche per quanto riguarda i prodotti già presenti sul mercato;
- Il regolamento CRA si applica integralmente a partire dall’11 dicembre 2027; e
- I certificati di esame CE del tipo rilasciati ai sensi di altre normative dell’Unione possono essere utilizzati fino all’11 giugno 2028.
1) Quali prodotti di gioco rientrano nell’ambito di applicazione del CRA?
Il criterio di cui all’articolo 2, paragrafo 1, riguarda qualsiasi prodotto con elementi digitali la cui destinazione d’uso o il cui utilizzo ragionevolmente prevedibile comprenda una connessione diretta o indiretta a un dispositivo o a una rete. Applicato al settore del gioco d’azzardo, il risultato è il seguente.
| Prodotto | Rientra nell’ambito di applicazione |
| Client scaricabile per casinò, poker o scommesse sportive per computer desktop | Sì |
| Applicazione mobile distribuita tramite un app store | Sì |
| Casinò con gioco istantaneo accessibile esclusivamente tramite browser | No, a meno che non supporti le funzionalità di un prodotto con elementi digitali |
| Sito web informativo o di affiliazione senza funzionalità relative ai prodotti | No |
| Cabina da gioco, VLT, AWP o gioco da tavolo elettronico collegato a una rete | Sì |
| Terminale di scommesse self-service, chiosco di cassa, unità di riscatto dei biglietti | Sì |
| Piattaforma di gestione dei conti dei giocatori concessa in licenza a un operatore come software | Sì |
| Controller per jackpot, terminale di pagamento senza contanti, lettore di carte, unità di controllo degli accessi | Sì |
| Server di gioco remoto a cui l’operatore accede tramite un’interfaccia | Valutato come componente di terze parti o come elaborazione remota dei dati, a seconda di chi lo ha sviluppato |
Pertanto, un operatore il cui prodotto viene utilizzato esclusivamente tramite un browser non immette sul mercato, solo per questo motivo, un prodotto con elementi digitali, mentre lo stesso operatore che distribuisce un’applicazione mobile nativa lo fa.
2) Il cabinet e il relativo software costituiscono un unico prodotto
Il canale attraverso il quale il software raggiunge l’utente non è determinante. Laddove il software sia necessario per far funzionare, configurare, controllare o utilizzare l’hardware secondo la sua destinazione d’uso, i due elementi insieme costituiscono un unico prodotto con elementi digitali ed entrambi vengono immessi sul mercato nello stesso momento.
Di conseguenza, un terminale, il suo firmware, il software di gioco installato su di esso e l’utilità di configurazione fornita dal produttore costituiscono un unico prodotto ai fini del regolamento, anche qualora il software di gioco venga fornito successivamente tramite un canale di download o di aggiornamento. La stessa conclusione si applica a un terminale per scommesse fornito con un’applicazione di gestione separata, nonché a un’applicazione mobile che un giocatore deve installare per poter utilizzare una carta fedeltà collegata o un portafoglio elettronico.
Per quanto riguarda il software autonomo, una volta che una versione viene fornita per la prima volta a fini di distribuzione, ogni copia di tale versione viene immessa sul mercato in quel preciso momento, indipendentemente dalla data in cui ciascun giocatore la scarica. Le build che differiscono per i componenti inclusi o per le funzionalità abilitate, come ad esempio build separate per diversi sistemi operativi o pacchetti specifici per mercato, sono trattate come prodotti distinti e richiedono una valutazione a sé stante.
3) Server di gioco remoti, piattaforme di account dei giocatori e SaaS: tre trattamenti distinti
Le soluzioni di trattamento dei dati a distanza fanno parte del prodotto e devono essere incluse nella valutazione dei rischi, nella documentazione tecnica e nella valutazione di conformità. La loro identificazione si basa su tre criteri cumulativi, ovvero se il trattamento avvenga a distanza, se l’assenza di tale trattamento impedirebbe al prodotto di svolgere una delle sue funzioni e se il software sia stato progettato e sviluppato dal fabbricante o sotto la sua responsabilità.
Se applicata a una tipica architettura di gioco d’azzardo online, la classificazione è la seguente.
| Elemento | Trattamento ai sensi della CRA |
| Back-end sviluppato dall’operatore, senza il quale l’app di gioco non può autenticare un giocatore né effettuare una scommessa | Soluzione di elaborazione dati a distanza e parte integrante del prodotto |
| Software distribuito dall’operatore su un’infrastruttura IaaS o PaaS di terze parti | Di norma si tratta di una soluzione di elaborazione dati remota, poiché il software è sviluppato sotto la responsabilità dell’operatore |
| SaaS di terze parti integrato nel prodotto, come una chat di assistenza, un fornitore di servizi KYC o uno strumento di analisi | Componente di terze parti, soggetta a due diligence e a misure di mitigazione a livello di prodotto |
| Sistemi di back-end con cui il prodotto non interagisce direttamente, come i livelli di regolamento o di rendicontazione | Dipendenza esterna da valutare e mitigare a livello di prodotto |
| Connettività di rete, router, cablaggio e segnali wireless | Fattore abilitante della connettività, al di fuori del perimetro, senza obbligo di due diligence nei confronti del fornitore |
Un server di gioco remoto gestito da un fornitore di giochi d’azzardo e raggiungibile dall’operatore tramite un’interfaccia rientra normalmente nella terza categoria sopra indicata, poiché l’operatore non lo ha né progettato né sviluppato. L’operatore rimane comunque tenuto a identificare i rischi derivanti dall’integrazione e a mitigarli all’interno del proprio prodotto, attraverso l’autenticazione dell’interfaccia, la verifica dell’integrità dei dati ricevuti e controlli che impediscano al prodotto di entrare in uno stato non sicuro quando il servizio diventa indisponibile.
4) Chi è il fabbricante, il fornitore o l’operatore?
L’attribuzione dei ruoli segue la stessa logica a cui il settore del gioco d’azzardo si è ormai abituato nell’ambito dell’AI Act, e produce sorprese analoghe.
- Un fornitore che realizza un cabinet, una piattaforma o un client e lo immette sul mercato a proprio nome è il produttore e si assume l’intera serie di obblighi.
- Un operatore che distribuisce un’applicazione con il proprio marchio e la propria licenza di gioco d’azzardo è il produttore di tale applicazione, indipendentemente dall’accordo di sviluppo che ne sta alla base.
- Un operatore o un integratore che assembla componenti in un nuovo prodotto, immette tale prodotto sul mercato e ne è il produttore a tutti gli effetti.
- Una persona che modifica in modo sostanziale un prodotto già immesso sul mercato e lo rende disponibile ne diventa il fabbricante, solo per quanto riguarda la parte modificata qualora la sicurezza informatica del prodotto nel suo complesso non ne risenta, e per l’intero prodotto in caso contrario.
Quest’ultimo punto comporta conseguenze concrete per gli operatori che adottano la piattaforma di un fornitore e la personalizzano in modo significativo, pratica comune in questo mercato. Una personalizzazione che alteri il livello di rischio per la sicurezza informatica in un modo non contemplato dalla valutazione del rischio originale comporta il trasferimento degli obblighi, e l’operatore che si riteneva un cliente diventa il produttore del prodotto modificato.
5) Valutazione di conformità: la certificazione per i giochi non sostituisce la marcatura CE
Ai fini del regime di valutazione della conformità applicabile, un prodotto può avere una sola funzionalità principale, e le funzioni accessorie non ne modificano la classificazione.
Per la maggior parte dei prodotti per il gioco d’azzardo si applica il regime predefinito, che consente un controllo interno basato sul modulo A. Un cabinet da gioco non acquisisce la funzionalità principale di un sistema operativo semplicemente perché ne integra uno, né quella di un firewall perché ne contiene uno. È tuttavia necessaria attenzione nei casi in cui la funzionalità principale di un prodotto corrisponda a una categoria elencata nell’Allegato III o nell’Allegato IV — cosa che può verificarsi con le unità di controllo degli accessi, i lettori biometrici e determinati dispositivi di pagamento o di lettura delle carte — e nei casi in cui la valutazione da parte di terzi diventi quindi obbligatoria o condizionata.
Due conseguenze meritano di essere sottolineate.
- La certificazione ottenuta in base alle norme tecniche relative al gioco d’azzardo, sia da un laboratorio di prova sia in base alle norme tecniche di un’autorità nazionale di regolamentazione, non esonera dagli obblighi previsti dal CRA. I due regimi perseguono obiettivi diversi e la marcatura CE, la dichiarazione di conformità UE e la documentazione tecnica rimangono dovute in aggiunta a qualsiasi approvazione relativa al gioco d’azzardo.
- Laddove venga applicata una norma armonizzata che copra le funzionalità principali, la presunzione di conformità si estende solo ai rischi effettivamente coperti dalla norma. Le funzionalità accessorie al di fuori del suo ambito di applicazione non beneficiano di alcuna presunzione e le misure adottate al loro riguardo richiedono una documentazione separata.
Qualora le varianti di un cabinet o di un client condividano la stessa architettura, lo stesso progetto rilevante ai fini della sicurezza e la stessa destinazione d’uso, una singola valutazione dei rischi, un unico fascicolo tecnico e un’unica dichiarazione di conformità possono coprire l’intera famiglia, a condizione che la dichiarazione identifichi le varianti in questione.
6) Periodi di assistenza e durata di vita di un cabinet
Il periodo minimo di assistenza di cinque anni funge da garanzia e non da valore predefinito, poiché il periodo di assistenza deve riflettere il periodo durante il quale si prevede che il prodotto rimanga in uso. Le cabine da gioco, i terminali e i chioschi rimangono abitualmente in funzione per un periodo compreso tra i sette e i dieci anni, e un periodo di assistenza dichiarato di cinque anni sarà difficile da giustificare per apparecchiature di quel tipo. La data di scadenza deve essere comunicata all’acquirente al momento dell’acquisto, specificando almeno il mese e l’anno.
Per il software sviluppato in modo iterativo, l’articolo 13, paragrafo 10, consente di limitare la correzione all’ultima versione immessa sul mercato, a condizione che gli utenti delle versioni precedenti possano effettuare l’aggiornamento gratuitamente e senza costi aggiuntivi. Il tempo impiegato dal personale, i test di routine e le regolazioni di configurazione rientrano nella normale attività di manutenzione. Non rientrano invece gli acquisti obbligatori di nuovo hardware e le modifiche fondamentali all’ambiente operativo, il che è rilevante per gli operatori che gestiscono parchi di cabinati più vecchi che non possono supportare l’ultima versione.
Una modifica sostanziale non azzeri automaticamente il periodo di assistenza. La questione è se la modifica influisca sui fattori che originariamente hanno determinato la durata di utilizzo prevista. Un aggiornamento software che aggiunge nuove modalità di gioco non incide sulla durata del cabinato e il periodo originario continua a decorrere, mentre la sostituzione della piattaforma informatica integrata con componenti di maggiore durata richiede il ricalcolo del periodo.
7) Protocolli legacy nelle reti di sale da gioco
I sistemi di gestione dei casinò e i protocolli di comunicazione delle macchine ampiamente utilizzati sono stati progettati decenni fa e offrono una sicurezza limitata rispetto agli standard moderni. Le linee guida affrontano questa situazione senza concedere alcuna deroga.
Laddove un requisito essenziale non possa essere soddisfatto perché la destinazione d’uso del prodotto richiede l’interoperabilità con le infrastrutture esistenti, il fabbricante è tenuto a documentare il vincolo, a valutare i rischi associati e ad attuare misure compensative. Laddove il prodotto sia tecnicamente in grado di supportare sia un protocollo sicuro che uno legacy, il protocollo sicuro deve essere implementato e abilitato per impostazione predefinita, mentre il protocollo legacy deve essere disponibile solo laddove l’interoperabilità lo richieda. Il vincolo deve essere rivalutato periodicamente e il prodotto aggiornato non appena è possibile eliminarlo.
8) Pezzi di ricambio per il parco installato
I pezzi di ricambio destinati a sostituire componenti identici e fabbricati secondo le stesse specifiche sono esenti ai sensi dell’articolo 2, paragrafo 6. L’identità viene valutata in riferimento al ruolo funzionale del componente e alle caratteristiche rilevanti per la sicurezza informatica, quali i meccanismi crittografici, i protocolli e le funzionalità di controllo degli accessi. Un validatore di banconote, una stampante o un display di ricambio che svolga la stessa funzione con le stesse caratteristiche di sicurezza rimane esente, mentre una scheda più recente con un’implementazione crittografica diversa non lo è e costituisce di per sé un prodotto con elementi digitali.
L’esenzione è soggetta a una condizione probatoria. Lo scopo di riparazione deve risultare evidente dal contesto della fornitura, attraverso l’identificazione del prodotto o della famiglia di prodotti nell’ordine o tramite la fornitura attraverso canali post-vendita, e le prove devono rimanere a disposizione delle autorità di vigilanza del mercato. Lo stesso componente offerto attraverso i canali di vendita al dettaglio generici perde tale beneficio.
9) Obbligo di segnalazione a partire dall’11 settembre 2026, parallelamente a ogni altro obbligo di notifica
Le vulnerabilità attivamente sfruttate e gli incidenti gravi che compromettono la sicurezza del prodotto devono essere notificati contemporaneamente all’ENISA e al CSIRT designato come coordinatore.
| Fase | Scadenza |
| Notifica di allerta precoce | Entro 24 ore dal momento in cui se ne viene a conoscenza |
| Notifica contenente ulteriori informazioni | Entro 72 ore dalla scoperta |
| Relazione finale su una vulnerabilità attivamente sfruttata | Entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione |
| Relazione finale su un incidente grave | Entro un mese dalla notifica entro 72 ore |
La presa di conoscenza ha luogo quando, a seguito di una valutazione iniziale condotta tempestivamente, il produttore ha un ragionevole grado di certezza che una vulnerabilità nel proprio prodotto sia attivamente sfruttata o che un incidente grave abbia compromesso la sicurezza di tale prodotto.
La difficoltà pratica per le società di gioco d’azzardo risiede nell’accumulo di obblighi paralleli. Un singolo incidente che colpisce un’applicazione rivolta ai giocatori può innescare la notifica CRA all’ENISA e al CSIRT di coordinamento, una notifica di violazione dei dati personali ai sensi del GDPR, una segnalazione dell’incidente all’autorità di regolamentazione del gioco d’azzardo in base alle condizioni della licenza nazionale e, per i soggetti che rientrano nel loro ambito di applicazione, gli obblighi previsti dalla NIS 2 o dalla DORA. Le scadenze differiscono, i destinatari differiscono e le soglie differiscono. L’unica soluzione praticabile è una procedura di risposta agli incidenti unica che li mappi tutti su un’unica linea temporale; elaborarla dopo il primo incidente risulta notevolmente più costoso.
10) Cosa occorre fare ora
- Effettuare un inventario di tutti i prodotti con elementi digitali immessi sul mercato, distinguendo tra client scaricabili, applicazioni mobili, armadietti, terminali, chioschi e software con licenza.
- Determinare, per ciascuno di essi, se l’azienda agisce in qualità di produttore, importatore, distributore o integratore, prestando particolare attenzione alle piattaforme personalizzate.
- Classificare i componenti remoti come soluzioni di elaborazione dati a distanza, componenti di terze parti o dipendenze esterne, e documentarne il ragionamento.
- Verificare se un prodotto presenta una funzionalità fondamentale che rientra nell’Allegato III o nell’Allegato IV, poiché il percorso di valutazione della conformità varia di conseguenza.
- Confrontare i periodi di assistenza dichiarati con la vita operativa realistica delle apparecchiature.
- Documentare i vincoli legati ai protocolli legacy insieme alle misure compensative adottate.
- Stabilire la procedura di segnalazione prima dell’11 settembre 2026 e allinearla agli obblighi già applicabili in materia di gioco d’azzardo, protezione dei dati e notifiche finanziarie.
Il lavoro è in gran parte di natura documentale, ed è proprio la documentazione che le autorità di vigilanza del mercato chiederanno di visionare.
Autore: Giulio Coraggio
About the Author: Giulio Coraggio
