A chi si applica il Cyber Resilience Act: prodotti inclusi, esclusi e classi importanti e critiche
Il Cyber Resilience Act (regolamento (UE) 2024/2847) si applica a chi fabbrica, importa o distribuisce nell'Unione europea «prodotti con elementi digitali»: hardware e software che possono collegarsi, direttamente o indirettamente, a un dispositivo o a una rete. La definizione è ampia e prende dentro molte aziende che non si considerano «informatiche»: costruttori di macchine, fabbricanti di elettronica, case di software, importatori. Questa guida spiega chi rientra, chi è escluso, quali prodotti hanno obblighi rafforzati e come capire il proprio caso in pochi minuti.
La regola di base: tre condizioni
Un prodotto rientra nel regolamento se soddisfa insieme tre condizioni (articoli 2 e 3).
- È un prodotto con elementi digitali: un prodotto software o hardware, comprese le sue soluzioni di elaborazione remota, e i componenti software o hardware venduti separatamente.
- Può collegarsi a qualcosa: il suo uso previsto o ragionevolmente prevedibile comprende una connessione di dati, diretta o indiretta, con un altro dispositivo o con una rete. Basta una porta di rete, un'interfaccia Bluetooth o USB usata per scambiare dati, un modulo per l'assistenza remota.
- Viene messo a disposizione sul mercato dell'Unione nell'ambito di un'attività commerciale: venduto, dato in licenza, fornito con un servizio, a pagamento o anche gratuitamente se c'è un'attività commerciale dietro.
Non conta se il prodotto è destinato a consumatori o a imprese. Un termostato, un controllore industriale, un gestionale installato sul server del cliente, una app: tutti prodotti con elementi digitali.
Chi ha gli obblighi: i tre ruoli
| Ruolo | Chi è | Obblighi in breve |
|---|---|---|
| Fabbricante | Sviluppa o fa sviluppare il prodotto e lo vende con il proprio nome o marchio | Tutti: progettazione sicura, gestione delle vulnerabilità, SBOM, segnalazioni, documentazione, marcatura CE (artt. 13-14) |
| Importatore | Immette sul mercato UE un prodotto con il marchio di un soggetto extra-UE | Verifica che il fabbricante abbia fatto la sua parte, conserva i documenti, informa il fabbricante delle vulnerabilità (art. 19) |
| Distributore | Rivende senza modificare | Dovuta diligenza, controllo di marcatura e documenti, informazione al fabbricante (art. 20) |
Attenzione al passaggio di ruolo: importatore e distributore diventano fabbricanti se vendono il prodotto con il proprio marchio o lo modificano in modo sostanziale (articoli 21 e 22). È il caso tipico del «private label».
Chi è escluso
Sono esclusi i prodotti già coperti da regole europee di settore e alcuni casi particolari (articolo 2):
- dispositivi medici e diagnostici in vitro (regolamenti MDR e IVDR);
- veicoli a motore soggetti a omologazione, e i loro sistemi e componenti;
- aviazione civile (prodotti certificati secondo il regolamento EASA);
- equipaggiamento marittimo;
- ricambi prodotti per sostituire componenti identici, secondo le specifiche originali;
- prodotti sviluppati esclusivamente per difesa e sicurezza nazionale.
Due casi meritano una riga in più, perché generano molti dubbi.
- Software open source. È fuori se sviluppato o fornito al di fuori di un'attività commerciale. Rientra se viene monetizzato (per esempio con versioni a pagamento o servizi collegati) o integrato in un prodotto commerciale: in quel caso l'obbligo è di chi lo integra. Le fondazioni e le organizzazioni che sostengono progetti open source hanno un regime leggero di «gestore di software libero e open source» (articolo 24).
- Servizi cloud e software usato dal browser. I servizi che girano da remoto e non vengono installati presso l'utente non sono «prodotti con elementi digitali»: gli orientamenti della Commissione del 27 luglio 2026 lo chiariscono. Rientrano invece il software installabile, le app scaricabili e le parti di un servizio che vengono installate presso il cliente. Chi offre un gestionale sia in cloud sia installato sul server del cliente ha, per la seconda versione, gli obblighi del fabbricante.
Prodotti «ordinari», «importanti» e «critici»
La grande maggioranza dei prodotti è ordinaria: il fabbricante dimostra la conformità da solo (autovalutazione), con la documentazione tecnica e la dichiarazione di conformità UE. Due elenchi, negli Allegati III e IV, individuano i prodotti con obblighi rafforzati.
| Categoria | Esempi (elenco del regolamento, abbreviato) | Come si dimostra la conformità |
|---|---|---|
| Importanti, classe I | Sistemi di gestione delle identità; browser; gestori di password; antimalware; VPN; sistemi di gestione della rete; sistemi operativi; router, modem e switch; microprocessori e microcontrollori con funzioni di sicurezza; prodotti per la casa intelligente con funzioni di sicurezza (serrature, telecamere, allarmi); giocattoli connessi; indossabili per la salute o per bambini | Autovalutazione solo applicando norme armonizzate o schemi di certificazione; altrimenti ente terzo |
| Importanti, classe II | Ipervisori e sistemi per contenitori; firewall e sistemi di rilevamento o prevenzione delle intrusioni; microprocessori e microcontrollori a prova di manomissione | Ente terzo (organismo notificato) |
| Critici | Dispositivi hardware con cassette di sicurezza; gateway per contatori intelligenti e dispositivi per funzioni di sicurezza avanzate; carte intelligenti ed elementi sicuri | Ente terzo o certificazione europea |
Tre precisazioni che cambiano molte valutazioni:
- Conta la funzionalità principale del prodotto: un prodotto è «importante» se la sua funzione principale è una di quelle elencate (articolo 7). Una macchina che integra un router non diventa un router.
- Integrare un componente di classe più alta non alza la classe del prodotto che lo contiene (articolo 7).
- I controllori industriali e i sistemi di automazione, presenti nella proposta iniziale, non compaiono negli elenchi del testo finale: per la gran parte delle macchine e degli impianti vale l'autovalutazione.
Le descrizioni tecniche delle categorie sono nel regolamento di esecuzione (UE) 2025/2392. Al 7 ottobre 2026 non risultano norme armonizzate citate né organismi notificati designati: per la classe I e II è il principale rischio di calendario.
Il mio settore rientra? Una tabella di orientamento
| Chi sei | Rientri? | Il punto da guardare |
|---|---|---|
| Costruttore di macchine con controllore, pannello o assistenza remota | Sì, fabbricante di un prodotto ordinario | I componenti digitali di terzi integrati e le loro SBOM; dal 20 gennaio 2027 anche il Regolamento Macchine |
| Produttore di elettronica, dispositivi connessi, domotica, antintrusione, videosorveglianza | Sì | Parte del catalogo può essere in classe I (serrature, telecamere, allarmi con funzioni di sicurezza; router) |
| Casa di software con prodotto installabile o app | Sì, per le versioni installate presso il cliente | La sola versione cloud usata dal browser è fuori |
| Fornitore di servizi cloud puri | No, di regola | Eventuali componenti installati presso il cliente (agenti, app) sì |
| Importatore di dispositivi extra-UE | Sì, come importatore | Con il marchio proprio diventi fabbricante |
| Distributore, rivenditore, integratore che non modifica | Sì, come distributore | Verifiche prima della vendita; informazione al fabbricante |
| Produttore di dispositivi medici, componenti auto omologati, apparati aeronautici o marittimi | No | Valgono le regole di settore |
| Azienda che sviluppa software solo per uso interno | No | Il prodotto non è messo a disposizione sul mercato |
Sette domande per capire il proprio caso
- Il prodotto contiene software, anche solo un firmware?
- Può scambiare dati con un altro dispositivo o con una rete, direttamente o tramite qualcos'altro?
- Lo vendi, lo dai in licenza o lo fornisci nell'ambito di un'attività commerciale nell'UE?
- È escluso da una regola di settore (medicale, auto, aviazione, marittimo)?
- Lo vendi con il tuo marchio, anche se lo produce un altro?
- La sua funzione principale è in uno degli elenchi dei prodotti importanti o critici?
- Integra componenti digitali di altri fabbricanti?
Se rispondi sì alle prime tre e no alla quarta, il regolamento ti riguarda. La quinta dice in quale ruolo; la sesta dice quale procedura; la settima dice quanto dipendi dai tuoi fornitori.
Che cosa cambia da subito, per chi rientra
Dall'11 settembre 2026 i fabbricanti segnalano le vulnerabilità attivamente sfruttate, anche per i prodotti già sul mercato; dall'11 dicembre 2027 valgono tutti gli altri obblighi. Il perimetro va definito ora.
Domande frequenti
Il mio prodotto si collega solo via cavo a un PC per la configurazione. Rientra?
Se la connessione serve a scambiare dati, sì: la definizione comprende le connessioni dirette e indirette con un dispositivo o una rete. Un prodotto senza alcuna interfaccia dati resta fuori.
Produco su misura per un solo cliente.
Se il prodotto è fornito nell'ambito di un'attività commerciale, rientra. È escluso il software sviluppato e usato solo internamente, che non viene messo a disposizione sul mercato.
Da dove cominciare
Il configuratore di Assiduo parte proprio da queste domande: prodotti, ruoli, connettività, componenti di terzi, stato delle SBOM. In pochi minuti ti dice se il tuo perimetro rientra nel servizio, con una forchetta di prezzo, o se è meglio parlarne. Gratuito, senza caricare file, risultato visibile prima di registrarsi. Non è un parere legale: è il punto di partenza.
Fonti: regolamento (UE) 2024/2847, articoli 2, 3, 7, 8, 13, 19, 20, 21, 22, 24 e 32; Allegati III e IV; regolamento di esecuzione (UE) 2025/2392; orientamenti della Commissione europea C(2026) 5252 del 27 luglio 2026. Leggi anche: la guida al Cyber Resilience Act · importatori e distributori · costruttori di macchine.