Decreto italiano sul Cyber Resilience Act: che cosa prevede lo schema
Lo schema di decreto legislativo che adegua l'Italia al Cyber Resilience Act (CRA) è all'esame del Parlamento dal 9 ottobre 2026. Non cambia le scadenze né gli obblighi del regolamento, che valgono già: dice chi controlla, chi sanziona e con quale procedura, e che cosa è previsto per le piccole imprese. Questo articolo spiega che cosa contiene e che cosa resta da definire.
In sintesi
- il regolamento (UE) 2024/2847 si applica direttamente: l'obbligo di segnalazione vale dall'11 settembre 2026 e il resto dall'11 dicembre 2027, con o senza decreto;
- l'Agenzia per la Cybersicurezza Nazionale (ACN) diventa l'interlocutore unico: autorità di vigilanza del mercato e autorità di notifica degli organismi, con il CSIRT Italia come coordinatore delle segnalazioni;
- le sanzioni sono quelle dell'articolo 64 del regolamento, fino a 15 milioni di euro o al 2,5% del fatturato mondiale: il decreto non aggiunge importi propri né sconti nazionali;
- per micro e piccole imprese sono previsti un canale di sostegno, tariffe proporzionate degli organismi di valutazione e un ambiente di prova con accesso prioritario, ma le regole operative arriveranno con atti successivi.
Lo stato del percorso parlamentare
Il Consiglio dei ministri ha approvato lo schema in esame preliminare il 2 ottobre 2026, sulla base della delega contenuta nell'articolo 15 della legge 36/2026. Il testo è stato trasmesso alle Camere il 9 ottobre come Atto del Governo n. 447: 27 articoli in otto capi e un allegato. Alla Camera lo esaminano le Commissioni riunite Affari costituzionali e Trasporti, con parere atteso entro il 18 novembre 2026; al Senato le Commissioni Affari costituzionali e Ambiente. ACN e Garante per la protezione dei dati personali hanno già espresso parere favorevole, il Garante con due condizioni.
Dopo i pareri il testo torna al Consiglio dei ministri per l'approvazione definitiva e viene pubblicato nella Gazzetta Ufficiale. Non c'è una data annunciata e il testo definitivo può cambiare in alcuni punti.
Le autorità e i loro compiti
Il decreto dà un volto italiano alle funzioni che il regolamento affida agli Stati membri.
- ACN come autorità di vigilanza del mercato (articolo 9 dello schema): controlla che i prodotti con elementi digitali rispettino i requisiti del regolamento, con i poteri previsti dal CRA e dal regolamento (UE) 2019/1020 sulla vigilanza del mercato. Può avvalersi della Guardia di finanza.
- ACN come autorità di notifica (articolo 4): riceve le domande degli organismi che vogliono certificare i prodotti «importanti» di classe II e i prodotti «critici». La valutazione tecnica degli organismi è affidata ad Accredia.
- CSIRT Italia come coordinatore (articolo 2): è il destinatario delle segnalazioni dei fabbricanti italiani, come già avviene dall'11 settembre 2026 sulla piattaforma unica di ENISA. Il Portale segnalazioni dell'ACN sarà collegato a quella piattaforma (articolo 17).
- Altre autorità solo per i prodotti che sono anche sistemi di intelligenza artificiale ad alto rischio: Banca d'Italia, CONSOB e IVASS in ambito finanziario, il Garante per la protezione dei dati personali per i casi di sua competenza.
Per un fabbricante ordinario l'esito è semplice: un solo interlocutore per i controlli, lo stesso già previsto per le segnalazioni.
Le sanzioni
Lo schema non fissa importi nazionali. L'articolo 15 rinvia all'articolo 64 del regolamento, che prevede tre livelli.
| Violazione | Massimo |
|---|---|
| Requisiti essenziali dell'Allegato I, obblighi dei fabbricanti (art. 13) e di segnalazione (art. 14) | 15 milioni di euro o 2,5% del fatturato mondiale annuo, se superiore |
| Altri obblighi del regolamento, compresi quelli di importatori e distributori | 10 milioni di euro o 2% |
| Informazioni inesatte o incomplete a organismi notificati e autorità | 5 milioni di euro o 1% |
Le sanzioni le irroga l'ACN e i proventi restano all'Agenzia. Il procedimento sarà quello di un regolamento dell'ACN previsto dalla legge 90/2024 e non ancora adottato; nel frattempo valgono le regole generali della legge 689/1981. L'unica attenuazione per le imprese più piccole è già nel regolamento: le micro e piccole imprese non sono sanzionate per il mancato rispetto del termine delle 24 ore del preallarme. Il decreto non ne aggiunge altre.
Le misure per le piccole imprese
Il Capo V dello schema attua l'articolo 33 del regolamento. ACN e Ministero delle imprese e del made in Italy definiranno un canale di sostegno e consulenza per le PMI. Gli organismi di valutazione dovranno fissare tariffe proporzionate alle dimensioni dell'impresa e limitare le prove ai casi in cui servono. L'articolo 19 istituisce la «Sandbox-CRA», un ambiente controllato in cui provare un prodotto innovativo prima di immetterlo sul mercato, con accesso prioritario per micro e piccole imprese e una risposta alla domanda entro 90 giorni.
Sono misure annunciate, non ancora operative: modalità e tariffe arriveranno con atti successivi dell'ACN e del Governo. Non sono previsti incentivi fiscali.
Che cosa cambia per un fabbricante
| Resta nel regolamento | Arriva con il decreto | Ancora da definire |
|---|---|---|
| Scadenze: 11 settembre 2026 e 11 dicembre 2027 | Chi controlla: ACN, con la Guardia di finanza | Regolamento sul procedimento sanzionatorio dell'ACN |
| Requisiti essenziali, SBOM, periodo di assistenza, aggiornamenti | Chi sanziona e dove vanno i proventi | Modalità dei controlli (decreto del Presidente del Consiglio) |
| Obbligo e termini di segnalazione, piattaforma ENISA | CSIRT Italia coordinatore, Portale ACN collegato a ENISA | Canale PMI, tariffe degli organismi, regole della Sandbox-CRA |
| Importi delle sanzioni (articolo 64) | Organismi notificati italiani: domanda ad ACN, accreditamento Accredia | Convenzione ACN-Accredia e tariffe di notifica |
Una conseguenza meno visibile: il decreto inserisce il CRA tra le norme per cui le associazioni dei consumatori possono promuovere azioni rappresentative (articolo 23).
Un caso concreto
I dati sono di fantasia. Un fabbricante marchigiano di centraline per impianti di irrigazione, con 18 addetti e tre prodotti collegati in rete, si chiede che cosa fare in attesa del decreto. La risposta è che per lui non cambia il calendario. Dall'11 settembre 2026 deve già segnalare al CSIRT Italia le vulnerabilità attivamente sfruttate; entro l'11 dicembre 2027 i suoi prodotti devono rispettare i requisiti essenziali e avere una SBOM (Software Bill of Materials), la distinta base del software, nel fascicolo tecnico.
Il decreto gli dice tre cose in più: che il controllo verrà dall'ACN, la stessa agenzia che riceve le sue segnalazioni; che la sanzione massima è quella del regolamento e non sarà ridotta da una norma italiana; che potrà accedere a un canale di sostegno per imprese della sua dimensione, quando sarà attivo. Nessuna delle tre è un motivo per aspettare: le prime due consigliano di arrivare al 2027 con la documentazione in ordine, la terza è un aiuto in più.
Gli atti con cui non va confuso
Nelle stesse settimane sono usciti decreti con nomi simili. Il decreto legislativo 191/2026, nella Gazzetta Ufficiale del 22 ottobre 2026, attua il Cybersecurity Act, il sistema europeo di certificazione volontaria: non riguarda il CRA. Il decreto legislativo 179/2026 adegua l'Italia al regolamento sull'intelligenza artificiale. Nello stesso Consiglio dei ministri del 2 ottobre è stato approvato in via preliminare anche lo schema di decreto sul Regolamento Macchine (UE) 2023/1230: una macchina con elementi digitali risponde a entrambi i regolamenti.
Domande frequenti
Finché il decreto non è pubblicato, gli obblighi del CRA valgono in Italia?
Sì. Il regolamento europeo si applica direttamente in ogni Stato membro. L'obbligo di segnalazione è in vigore dall'11 settembre 2026 e la piattaforma ENISA accetta già le notifiche dei fabbricanti italiani. Il decreto organizza controlli e sanzioni, non fa partire gli obblighi.
Le sanzioni in Italia saranno più basse per le piccole imprese?
Lo schema non lo prevede. Gli importi massimi sono quelli dell'articolo 64 del regolamento, che già tiene conto della dimensione dell'impresa nella commisurazione. Nel percorso parlamentare non risultano proposte in questo senso.
Devo aspettare il decreto per scegliere l'organismo notificato?
Se i tuoi prodotti sono «importanti» di classe II o «critici», gli organismi italiani potranno chiedere la notifica all'ACN solo dopo l'entrata in vigore del decreto; un organismo notificato di un altro Stato membro è utilizzabile fin da ora. Per i prodotti ordinari, la grande maggioranza, vale l'autovalutazione.
Da dove cominciare
Il decreto chiarisce chi controllerà, non che cosa controllerà: quello è scritto nel regolamento da due anni. Sapere quali prodotti hai in catalogo, quale software contengono e a che punto sei con la documentazione è il primo passo, qualunque sia la forma finale del decreto. Il configuratore di Assiduo serve a questo: è gratuito, non chiede di caricare file e mostra il risultato prima della registrazione.
Fonti: Camera dei deputati, Atto del Governo n. 447, testo trasmesso il 9 ottobre 2026, relazione illustrativa, pareri dell'ACN (14 ottobre 2026) e del Garante per la protezione dei dati personali (23 ottobre 2026), dossier dei Servizi Studi di Camera e Senato del 26 ottobre 2026, bollettini delle Commissioni riunite I e IX del 27 e 28 ottobre 2026; Governo, comunicato del Consiglio dei ministri n. 191 del 2 ottobre 2026; legge 17 marzo 2026, n. 36, articolo 15; regolamento (UE) 2024/2847, articoli 14, 33, 36, 52 e 64; Gazzetta Ufficiale n. 246 del 22 ottobre 2026 (decreto legislativo 191/2026). Consultate il 30 ottobre 2026. Leggi anche: le scadenze del regolamento, la piattaforma unica ENISA, a chi si applica il CRA.