Le parole del Cyber Resilience Act, spiegate

L'autorità italiana per la sicurezza informatica. La legge 36/2026 la indica come autorità di notifica e di vigilanza del mercato per il Cyber Resilience Act; ospita anche CSIRT Italia.

La prima tappa, gratuita: poche domande sul tuo contesto, senza caricare file. Il risultato, visibile prima di registrarti, è una forchetta di prezzo dell'abbonamento e il costo dell'Inquadramento, oppure un invito a contattarci.

Il centro nazionale di risposta agli incidenti informatici, presso l'ACN. Riceve, insieme a ENISA, le segnalazioni previste dal Cyber Resilience Act per le aziende italiane.

Il numero di catalogo di una vulnerabilità pubblica (per esempio CVE-2026-12345). Permette a tutti di riferirsi alla stessa falla.

I due formati aperti più diffusi per scrivere una SBOM in modo leggibile da un sistema automatico. Il Cyber Resilience Act non ne impone nessuno: chiede un formato «di uso comune».

Il documento con cui il fabbricante dichiara, sotto la propria responsabilità, che il prodotto rispetta i requisiti del regolamento. Accompagna la marcatura CE e va conservata dieci anni.

I componenti software che il prodotto usa direttamente. Quelli che a loro volta ne usano altri generano i livelli successivi. Il regolamento chiede nella SBOM «almeno» il primo livello.

Chi rende disponibile sul mercato un prodotto senza modificarlo, dopo il fabbricante o l'importatore. Ha obblighi di diligenza e di informazione (articolo 20).

La politica con cui un fabbricante dichiara come ricevere segnalazioni di vulnerabilità da ricercatori e clienti, e come le gestisce. Il regolamento la richiede, insieme a un contatto pubblico.

L'agenzia dell'Unione europea per la cibersicurezza. Gestisce la piattaforma unica su cui i fabbricanti inviano le segnalazioni previste dall'articolo 14.

Chi sviluppa o fa sviluppare un prodotto con elementi digitali e lo vende con il proprio nome o marchio. Ha tutti gli obblighi del regolamento. Lo diventa anche chi marchia o modifica in modo sostanziale un prodotto altrui.

Chi immette sul mercato dell'Unione un prodotto con il marchio di un soggetto stabilito fuori dall'UE. Verifica, conserva i documenti, informa il fabbricante (articolo 19).

La seconda tappa, a pagamento una tantum all'attivazione: ti registri, carichi le SBOM e ricevi un rapporto puntuale sulla tua situazione rispetto al CRA e l'offerta precisa del Presidio Continuo. Il rapporto resta tuo anche se non prosegui.

Un incidente che ha un impatto sulla sicurezza del prodotto: per esempio ne compromette la capacità di proteggere dati o funzioni. Va segnalato con gli stessi termini delle vulnerabilità sfruttate (articolo 14).

Il marchio che indica che il prodotto rispetta la normativa europea applicabile. Dall'11 dicembre 2027 comprende anche i requisiti del Cyber Resilience Act.

Una modifica, fisica o del software, che cambia la conformità del prodotto o il suo uso previsto. Chi la fa e rimette il prodotto sul mercato è trattato come fabbricante (articolo 22).

Una norma tecnica europea citata nella Gazzetta ufficiale UE: chi la applica si presume conforme ai requisiti che copre. Al 6 ottobre 2026 non ne risulta citata alcuna per il Cyber Resilience Act.

Un ente terzo autorizzato a valutare la conformità dei prodotti delle classi più alte. Per i prodotti «ordinari» non serve: è sufficiente l'autovalutazione del fabbricante.

Il periodo in cui il fabbricante garantisce la gestione delle vulnerabilità e gli aggiornamenti di sicurezza. Almeno cinque anni, salvo che il prodotto abbia una vita utile più breve; va dichiarato al momento dell'acquisto.

Il sistema gestito da ENISA, operativo dall'11 settembre 2026, su cui i fabbricanti inviano preallarmi, notifiche e relazioni finali. La segnalazione arriva anche al CSIRT nazionale.

La terza tappa del percorso Assiduo: controllo quotidiano di componenti, vulnerabilità e avvisi, valutazione fatta da persone, gestione dei casi, evidenze e rapporti, in abbonamento.

Qualsiasi prodotto hardware o software che può collegarsi, anche indirettamente, a un dispositivo o a una rete, venduto nell'UE nell'ambito di un'attività commerciale. È l'oggetto del Cyber Resilience Act (articolo 3).

Le categorie elencate negli Allegati III e IV del regolamento (per esempio router, sistemi operativi, firewall, carte intelligenti), soggette a procedure di valutazione più severe. La grande maggioranza dei prodotti non vi rientra.

Il gruppo che, in un'azienda, riceve le segnalazioni sui prodotti, le valuta e coordina le correzioni. Può essere piccolo e appoggiarsi a un servizio esterno.

La distinta base del software: l'elenco dei componenti contenuti in un prodotto, con versione e fornitore. Obbligatoria nella documentazione tecnica dalla piena applicazione del regolamento; non va resa pubblica. La guida →

La procedura con cui si dimostra che il prodotto rispetta i requisiti: autovalutazione del fabbricante per i prodotti ordinari, intervento di un organismo notificato o certificazione europea per le classi più alte (articolo 32).

La dichiarazione con cui un fabbricante dice se una vulnerabilità nota in un componente riguarda effettivamente il suo prodotto («non applicabile», «in analisi», «corretta»…). Evita allarmi inutili e documenta la valutazione.

Una vulnerabilità per cui esistono prove attendibili che qualcuno l'ha usata contro un sistema senza autorizzazione (articolo 3, punto 42). È quella che fa scattare l'obbligo di segnalazione in 24 ore.