Cyber Resilience Act: obblighi, date e che cosa fare
Il Cyber Resilience Act (CRA) è il regolamento (UE) 2024/2847: fissa requisiti di sicurezza informatica per i prodotti con elementi digitali, cioè hardware e software che possono collegarsi a un dispositivo o a una rete, e li impone a chi li fabbrica, li importa o li distribuisce nell'Unione europea. È in vigore dal 10 dicembre 2024; una parte degli obblighi si applica già, il resto dall'11 dicembre 2027.
Aggiornato al 14 ottobre 2026 · Riferimenti al testo ufficiale italiano del regolamento · Questa pagina ha scopo informativo e non costituisce consulenza legale.
A chi si applica
Il regolamento distingue tre ruoli. Importatori e distributori hanno obblighi propri, e diventano fabbricanti a tutti gli effetti se vendono il prodotto con il proprio marchio o lo modificano in modo sostanziale (articoli 21 e 22).
Fabbricante
Chi sviluppa o fa sviluppare il prodotto e lo vende con il proprio nome o marchio.
Obblighi principali: sicurezza del prodotto, gestione delle vulnerabilità, SBOM, segnalazioni, documentazione tecnica, marcatura CE (articoli 13 e 14).
Importatore
Chi immette sul mercato europeo un prodotto con il marchio di un soggetto extra-UE.
Obblighi principali: verificare che il fabbricante abbia fatto la sua parte, informarlo delle vulnerabilità di cui viene a conoscenza, conservare i documenti per dieci anni (articolo 19).
Distributore
Chi rivende il prodotto senza modificarlo.
Obblighi principali: dovuta diligenza, controllo di marcatura CE e documenti, informazione al fabbricante sulle vulnerabilità (articolo 20).
Che cosa è incluso, che cosa no
Rientrano: macchine con software di bordo, dispositivi connessi, sensori, apparati di rete, software installabile, app scaricabili, componenti venduti separatamente (articoli 2 e 3).
Sono esclusi (articolo 2): dispositivi medici e diagnostici in vitro, veicoli a motore omologati, aviazione civile, equipaggiamento marittimo, ricambi identici all'originale, prodotti per difesa e sicurezza nazionale. Sono fuori anche il software open source non commerciale e i servizi cloud «puri», usati solo dal browser (Orientamenti della Commissione del 27 luglio 2026).
Le date
Fonte: regolamento (UE) 2024/2847, articoli 14, 69 e 71. Al 6 ottobre 2026 non risulta alcun rinvio.
Entrata in vigore del regolamento.
Si applicano le regole sugli organismi che valutano la conformità (capo IV).
Obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi (articolo 14). Vale anche per i prodotti già sul mercato.
Termine per recepire la nuova direttiva sulla responsabilità da prodotto difettoso: il fabbricante risponde anche dei difetti dovuti a un mancato aggiornamento di sicurezza.
Si applica il Regolamento Macchine (UE) 2023/1230. Una macchina con software deve rispettare entrambi i regolamenti.
Piena applicazione del CRA: tutti gli obblighi, compresi SBOM, documentazione tecnica, dichiarazione di conformità e marcatura CE.
Che cosa è già obbligatorio oggi
Dall'11 settembre 2026 il fabbricante deve notificare ogni vulnerabilità attivamente sfruttata contenuta nel suo prodotto e ogni incidente grave che ne tocca la sicurezza. La notifica si fa sulla piattaforma unica di segnalazione gestita da ENISA, l'agenzia europea per la cibersicurezza, e arriva anche al CSIRT nazionale: per l'Italia, CSIRT Italia presso l'Agenzia per la Cybersicurezza Nazionale.
- Vale anche per i prodotti venduti prima dell'11 dicembre 2027 (articolo 69, paragrafo 3).
- Non si notifica ogni vulnerabilità pubblicata: solo quella attivamente sfruttata nel proprio prodotto. Serve una valutazione caso per caso.
- Gli utilizzatori interessati vanno informati (articolo 14, paragrafo 8).
- Importatori e distributori non notificano a ENISA: informano il fabbricante senza indebito ritardo.
I tre termini
| Passo | Vulnerabilità sfruttata | Incidente grave |
|---|---|---|
| Preallarme | Entro 24 ore | Entro 24 ore |
| Notifica completa | Entro 72 ore | Entro 72 ore |
| Relazione finale | Entro 14 giorni dalla correzione disponibile | Entro un mese dalla notifica |
Articolo 14, paragrafi 2 e 4. Le micro e piccole imprese non sono sanzionate per il solo mancato rispetto delle 24 ore (articolo 64, paragrafo 10); restano gli altri termini.
Che cosa chiede il regolamento, nei fatti
Gli obblighi completi scattano l'11 dicembre 2027, ma riguardano il modo in cui i prodotti vengono progettati e seguiti: chi lancia un prodotto nel 2027 lo sta progettando adesso.
Progettare prodotti sicuri
Messi sul mercato «senza vulnerabilità sfruttabili note», con configurazione sicura in partenza, protezione degli accessi, cifratura dove serve, possibilità di aggiornamento. Valutazione dei rischi documentata.
Allegato I, Parte I; articolo 13.
Gestire le vulnerabilità nel tempo
Identificare e documentare componenti e vulnerabilità; correggerle con aggiornamenti di sicurezza gratuiti; fare prove periodiche; pubblicare le informazioni sulle falle corrette; avere una politica di divulgazione coordinata e un contatto per chi segnala problemi.
Allegato I, Parte II.
Tenere la SBOM
La distinta base del software: l'elenco dei componenti contenuti nel prodotto, «in un formato di uso comune e leggibile da un dispositivo automatico», con almeno le dipendenze di primo livello. Fa parte della documentazione tecnica; non va resa pubblica.
Allegato I, Parte II, punto 1; Allegato VII; considerando 77. La guida alla SBOM →
Assistere, documentare, marcare CE
Periodo di assistenza di almeno cinque anni, dichiarato al momento dell'acquisto; ogni aggiornamento di sicurezza disponibile per almeno dieci anni; documentazione tecnica e dichiarazione di conformità UE conservate dieci anni; marcatura CE.
Articolo 13, paragrafi 8, 9 e 13.
Classi di prodotto e valutazione della conformità
La gran parte dei prodotti è «ordinaria»: il fabbricante dichiara da solo la conformità. I prodotti «importanti» (per esempio sistemi operativi, router, gestori di password, prodotti per la casa intelligente con funzioni di sicurezza; firewall e ipervisori in classe II) e quelli «critici» richiedono norme armonizzate o un ente terzo.
A chi si applica, nel dettaglio → Articoli 7, 8 e 32; Allegati III e IV. I controllori industriali e i sistemi di automazione non compaiono negli elenchi dei prodotti importanti del testo finale. Al 6 ottobre 2026 nessuna norma armonizzata CRA risulta citata in Gazzetta ufficiale UE: oggi non esiste una «certificazione CRA».
Le sanzioni
Fino a 15 milioni di euro o al 2,5% del fatturato mondiale per la violazione dei requisiti essenziali e degli obblighi del fabbricante; fino a 10 milioni o al 2% per gli altri obblighi, compresi quelli di importatori e distributori; fino a 5 milioni o all'1% per informazioni false o incomplete alle autorità.
Articolo 64. Gli importi effettivi li fissa ogni Stato membro.
La situazione in Italia
La legge 17 marzo 2026, n. 36 (legge di delegazione europea 2025), all'articolo 15, delega il Governo ad adeguare la normativa nazionale al CRA e indica l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di notifica e di vigilanza del mercato. Il decreto legislativo di adeguamento è in corso di adozione.
In pratica: l'obbligo di segnalazione vale già anche in Italia, perché il regolamento europeo si applica direttamente; sanzioni e procedure nazionali saranno definite dal decreto. Il CSIRT di riferimento è CSIRT Italia, presso l'ACN.
Le norme collegate
NIS2
Regola l'organizzazione di chi opera in settori critici, non il prodotto. I soggetti NIS2 devono curare la sicurezza della loro catena di fornitura e chiederanno evidenze ai fornitori di prodotti: il CRA obbliga i fabbricanti a produrle. NIS2 e fornitori di prodotti →
Regolamento Macchine (UE) 2023/1230
Dal 20 gennaio 2027. Tratta i rischi informatici che incidono sulla sicurezza fisica. Una macchina con software è insieme «macchina» e «prodotto con elementi digitali»: deve rispettare entrambi.
Direttiva RED (apparecchiature radio)
I suoi requisiti di cibersicurezza valgono dal 1° agosto 2025 e cessano l'11 dicembre 2027, quando subentra il CRA. La segnalazione dell'articolo 14 vale già ora anche per questi prodotti.
Responsabilità da prodotto (direttiva (UE) 2024/2853)
Da recepire entro il 9 dicembre 2026: anche il software è un prodotto, e il fabbricante risponde dei difetti dovuti a un mancato aggiornamento di sicurezza.
Che cosa fa Assiduo, e che cosa no
Assiduo è il presidio continuo per la sicurezza dei prodotti digitali: ti aiuta a sapere che cosa c'è nei tuoi prodotti, a seguirne le vulnerabilità con una valutazione fatta da persone e a conservare le evidenze. Non è una scorciatoia per la conformità.
AAssiduo fa
- Censisce prodotti, versioni, componenti e fornitori, anche se parti senza una SBOM
- Confronta ogni giorno i componenti con le fonti di vulnerabilità e gli avvisi dei fornitori
- Valuta con persone quali vulnerabilità toccano davvero i tuoi prodotti
- Prepara tempi, contenuti ed evidenze per le segnalazioni dell'articolo 14
- Conserva decisioni e storico per i dieci anni richiesti
TuA te resta
- La responsabilità del prodotto nel ruolo che ricopri
- La decisione se un evento va notificato e l'invio sulla piattaforma ENISA
- La correzione del prodotto e il rilascio degli aggiornamenti
- La valutazione dei rischi, la documentazione tecnica, la dichiarazione di conformità e la marcatura CE
- Il parere legale sui tuoi obblighi specifici
Domande frequenti sul Cyber Resilience Act
Il CRA «parte» nel 2027?
No. È in vigore dal 10 dicembre 2024 e l'obbligo di segnalazione si applica dall'11 settembre 2026, anche ai prodotti già venduti. L'11 dicembre 2027 scattano tutti gli altri obblighi.
Il mio software è un servizio cloud: sono dentro o fuori?
I servizi usati solo da remoto, dal browser, non sono «prodotti con elementi digitali» secondo gli Orientamenti della Commissione. Lo sono invece il software installabile, le app scaricabili e i componenti installati presso il cliente. Nei casi di confine serve una valutazione specifica.
Esiste una certificazione CRA?
Al 6 ottobre 2026 nessuna norma armonizzata CRA è citata in Gazzetta ufficiale UE e non risultano organismi notificati designati. Chi oggi promette una «certificazione CRA» promette troppo.
La SBOM deve essere pubblica?
No. Fa parte della documentazione tecnica e si consegna all'autorità di vigilanza su richiesta motivata (considerando 77; Allegato VII).
Che cosa succede ai prodotti già sul mercato dopo il 2027?
Restano soggetti all'obbligo di segnalazione. Se subiscono una modifica sostanziale, rientrano per intero nel regolamento; ogni nuova unità venduta dopo l'11 dicembre 2027 deve essere conforme.
Vuoi sapere a che punto sei?
Poche domande sul tuo contesto, nessun file da caricare, risultato subito. Senza carta di credito.
Configura il tuo presidio