Checklist Cyber Resilience Act per fabbricanti: 30 controlli in 6 aree
Una lista di controllo del Cyber Resilience Act (regolamento (UE) 2024/2847) pensata per chi fabbrica prodotti con elementi digitali: trenta punti divisi in sei aree, con il riferimento al testo e l'evidenza da conservare per ciascuno. I primi dieci riguardano obblighi già in vigore o decisioni da prendere adesso; gli altri preparano la piena applicazione dell'11 dicembre 2027. In fondo, la variante per importatori e distributori.
Come usare questa lista
Non è un test di conformità e non sostituisce la valutazione dei rischi del prodotto. È uno strumento di lavoro per fare il punto: per ogni controllo segna fatto, in corso o non affrontato, e annota dove sta l'evidenza. Se più di metà dei primi dieci punti è «non affrontato», il lavoro da fare prima di tutto è lì: riguarda obblighi già in vigore.
Area 1: Il perimetro (da fare adesso)
| # | Controllo | Riferimento | Evidenza |
|---|---|---|---|
| 1 | Hai un elenco dei prodotti con elementi digitali che vendi nell'UE, con le versioni in circolazione? | Art. 3; art. 2 | Registro prodotti e versioni |
| 2 | Per ogni prodotto hai stabilito il tuo ruolo: fabbricante, importatore, distributore, o fabbricante perché vendi con il tuo marchio? | Artt. 13, 19, 20, 21 | Tabella prodotti/ruoli |
| 3 | Hai verificato se qualche prodotto rientra tra quelli «importanti» o «critici»? | Artt. 7-8; Allegati III-IV | Nota di classificazione |
| 4 | Hai individuato i componenti digitali di terzi integrati (controllori, moduli, librerie, sistemi operativi) e i loro fornitori? | Art. 13, par. 5 | Elenco componenti e fornitori |
| 5 | Hai assegnato un responsabile della sicurezza di prodotto, con un sostituto? | Organizzativo | Nomina scritta |
Area 2: La segnalazione (già obbligatoria dall'11 settembre 2026)
| # | Controllo | Riferimento | Evidenza |
|---|---|---|---|
| 6 | Esiste una procedura scritta per valutare, entro poche ore, se una vulnerabilità sfruttata o un incidente grave riguarda i tuoi prodotti? | Art. 14 | Procedura datata |
| 7 | È chiaro chi decide se notificare e chi invia la notifica sulla piattaforma ENISA? | Art. 14; art. 16 | Ruoli e deleghe |
| 8 | Le persone che segnalano sono registrate sulla piattaforma e hanno le credenziali funzionanti? | Art. 16 | Conferma di registrazione |
| 9 | Tieni un registro con data e ora di informazioni ricevute, valutazioni e decisioni? | Art. 14; orientamenti | Registro |
| 10 | Hai un modo per informare gli utilizzatori interessati e indicare le misure da adottare? | Art. 14, par. 8 | Canale e modello di avviso |
Area 3: Componenti e SBOM
| # | Controllo | Riferimento | Evidenza |
|---|---|---|---|
| 11 | Per ogni prodotto e versione esiste una SBOM in formato leggibile da un sistema automatico, con almeno le dipendenze di primo livello? | All. I, Parte II, p. 1 | File SBOM per versione |
| 12 | La SBOM è generata dal processo di build (o da un'analisi del firmware) e non compilata a mano? | Buona pratica | Descrizione del processo |
| 13 | Ogni componente ha nome, versione, fornitore e un identificativo riconoscibile dalle banche dati? | Buona pratica (BSI TR-03183) | Controllo di qualità della SBOM |
| 14 | Hai chiesto ai fornitori di componenti le loro SBOM e il canale degli avvisi di sicurezza? | Art. 13, par. 5 | Richieste e risposte |
| 15 | La SBOM viene aggiornata a ogni rilascio e conservata nella documentazione tecnica? | All. VII | Storico delle SBOM |
Area 4: Gestione delle vulnerabilità
| # | Controllo | Riferimento | Evidenza |
|---|---|---|---|
| 16 | Confronti con continuità i componenti con le fonti di vulnerabilità e gli avvisi dei fornitori? | All. I, Parte II, p. 1 | Rapporti del controllo |
| 17 | Ogni vulnerabilità rilevata viene valutata (applicabile o no) con una decisione documentata? | All. I, Parte II, p. 2 | Registro delle valutazioni, VEX |
| 18 | Le correzioni arrivano agli utilizzatori come aggiornamenti di sicurezza gratuiti, distribuiti in modo sicuro e senza indebito ritardo? | All. I, Parte II, p. 7-8 | Procedura di rilascio |
| 19 | Pubblichi le informazioni sulle vulnerabilità corrette (descrizione, prodotti interessati, gravità, rimedio)? | All. I, Parte II, p. 4 | Avvisi pubblicati |
| 20 | Fai prove e riesami periodici della sicurezza del prodotto? | All. I, Parte II, p. 3 | Rapporti di prova |
Area 5: Divulgazione e contatto
| # | Controllo | Riferimento | Evidenza |
|---|---|---|---|
| 21 | Hai una politica di divulgazione coordinata delle vulnerabilità, pubblicata? | All. I, Parte II, p. 5 | Pagina della politica |
| 22 | Esiste un indirizzo di contatto pubblico per chi segnala vulnerabilità (per esempio un file security.txt)? | All. I, Parte II, p. 6 | Contatto pubblicato |
| 23 | Chi riceve una segnalazione sa che cosa fare, in quali tempi, e risponde a chi l'ha inviata? | All. I, Parte II, p. 5-6 | Procedura di gestione |
| 24 | Le informazioni di identificazione e i recapiti del fabbricante sono sul prodotto o sulla documentazione? | Art. 13, par. 15-17 | Etichette e manuali |
| 25 | Il periodo di assistenza di ogni prodotto è deciso (almeno cinque anni, salvo vita utile più breve) e comunicato al momento dell'acquisto? | Art. 13, par. 8 | Dichiarazione nel materiale di vendita |
Area 6: Progettazione, documentazione e marcatura (per l'11 dicembre 2027)
| # | Controllo | Riferimento | Evidenza |
|---|---|---|---|
| 26 | Per ogni prodotto esiste una valutazione dei rischi di cibersicurezza, aggiornata durante il ciclo di vita? | Art. 13, par. 2-3 | Documento di valutazione |
| 27 | Il prodotto rispetta i requisiti di progettazione sicura: nessuna vulnerabilità sfruttabile nota al rilascio, configurazione sicura in partenza, controllo degli accessi, protezione dei dati, aggiornabilità? | All. I, Parte I | Rapporto di verifica |
| 28 | La documentazione tecnica è completa e viene conservata per dieci anni, con gli aggiornamenti di sicurezza disponibili per almeno dieci anni? | Art. 13, par. 9 e 13; All. VII | Fascicolo tecnico |
| 29 | Le istruzioni per l'utilizzatore contengono le informazioni richieste (uso sicuro, aggiornamenti, fine assistenza, contatto)? | All. II | Manuale |
| 30 | Hai pianificato la procedura di valutazione della conformità, la dichiarazione di conformità UE e la marcatura CE per i prodotti che venderai dopo l'11 dicembre 2027? | Artt. 28-32; All. V | Piano con responsabili e date |
Variante per importatori e distributori
Se non sei fabbricante, i controlli 6-10 e 11-30 non sono tuoi, ma ne hai altri. Un importatore verifica che il fabbricante abbia svolto la valutazione della conformità e redatto la documentazione tecnica, che il prodotto porti la marcatura CE con la dichiarazione di conformità, che siano indicati nome e recapiti del fabbricante; aggiunge i propri recapiti; conserva la dichiarazione dieci anni; informa il fabbricante delle vulnerabilità di cui viene a conoscenza (articolo 19). Un distributore verifica marcatura, documenti e recapiti, non rende disponibile un prodotto che ritiene non conforme e informa il fabbricante o l'importatore delle vulnerabilità (articolo 20). Entrambi diventano fabbricanti se vendono con il proprio marchio o modificano il prodotto in modo sostanziale (articolo 21). La guida dedicata →
Le priorità, se il tempo è poco
- Area 2, perché l'obbligo è già in vigore: procedura, ruoli, registro, accesso alla piattaforma.
- Area 1 e area 3, perché senza perimetro e SBOM la segnalazione in 24 ore non è fattibile.
- Area 4 e 5, che trasformano la SBOM in un processo e aprono il canale con l'esterno.
- Area 6, con un piano per prodotto che arrivi prima dell'11 dicembre 2027: chi lancia un prodotto nel 2027 lo sta progettando adesso.
Domande frequenti
Se completo i 30 controlli sono conforme al CRA?
No: la conformità riguarda il prodotto e si dimostra con la valutazione dei rischi, la documentazione tecnica e la procedura prevista. La lista serve a capire a che punto sei e a organizzare il lavoro.
Serve un ente terzo?
Per la grande maggioranza dei prodotti no: è sufficiente l'autovalutazione del fabbricante. Serve per i prodotti «importanti» senza norme armonizzate applicate e per quelli «critici». Al 7 ottobre 2026 non risultano norme armonizzate citate né organismi notificati designati.
Quanto spesso va rifatta?
A ogni nuovo prodotto, a ogni modifica sostanziale e, come riesame generale, almeno una volta l'anno. Alcuni controlli (16, 17, 19) sono continui per natura.
Da dove cominciare
Il configuratore di Assiduo copre in pochi minuti le aree 1 e 3: perimetro, ruoli, stato delle SBOM. Restituisce una prima fotografia e il percorso consigliato, senza caricare file e senza carta di credito.
Fonti: regolamento (UE) 2024/2847, articoli 2, 3, 7, 8, 13, 14, 16, 19, 20, 21, 28-32; Allegati I, II, V e VII; orientamenti della Commissione europea del 27 luglio 2026; BSI TR-03183. Leggi anche: la guida al Cyber Resilience Act · le scadenze.