Cyber Resilience Act per importatori e distributori: i controlli da fare prima di vendere
Se porti sul mercato europeo prodotti con software di un fabbricante extra-UE, o li rivendi, il Cyber Resilience Act ti assegna obblighi propri. Non sei tu a dover progettare il prodotto, ma devi verificare che il fabbricante abbia fatto la sua parte, conservare i documenti e fare da ponte per le vulnerabilità. E in due casi diventi fabbricante a tutti gli effetti.
Aggiornato al 14 ottobre 2026 · Riferimenti: regolamento (UE) 2024/2847, articoli 19, 20, 21 e 22 · Non costituisce consulenza legale.
I tre ruoli del regolamento
Importatore
Immetti sul mercato UE un prodotto con il nome o il marchio di un soggetto stabilito fuori dall'Unione. Sei il primo anello europeo della catena: le autorità si rivolgono a te.
Distributore
Rendi disponibile sul mercato un prodotto senza modificarlo, dopo che è già stato immesso da un fabbricante o da un importatore. Devi agire con la dovuta diligenza.
Quando diventi fabbricante
…vendi il prodotto con il tuo nome o marchio, oppure lo modifichi in modo sostanziale (articoli 21 e 22). In quel caso hai tutti gli obblighi del fabbricante: sicurezza del prodotto, SBOM, segnalazioni, documentazione, marcatura CE.
Prima di mettere a scaffale: la lista dei controlli
Dalla piena applicazione (11 dicembre 2027) l'importatore immette sul mercato solo prodotti conformi, e il distributore li rende disponibili solo dopo aver verificato. In pratica:
- Il fabbricante ha svolto la valutazione della conformità e redatto la documentazione tecnica?
- Il prodotto porta la marcatura CE ed è accompagnato dalla dichiarazione di conformità UE?
- Sono indicati nome, marchio e recapiti del fabbricante (e, per l'importatore, i tuoi)?
- Ci sono le informazioni e istruzioni per l'utilizzatore, compreso il periodo di assistenza e il contatto per segnalare vulnerabilità?
- Il fabbricante ha un processo per gli aggiornamenti di sicurezza e per la gestione delle vulnerabilità?
- Conservi la dichiarazione di conformità e puoi fornire la documentazione tecnica all'autorità su richiesta, per dieci anni (importatore)?
Obblighi che valgono nel tempo
- Non immettere o non rendere disponibile un prodotto che ritieni non conforme, e informare fabbricante e autorità se presenta un rischio significativo.
- Informare il fabbricante «senza indebito ritardo» delle vulnerabilità di cui vieni a conoscenza. Non sei tu a notificare a ENISA, a meno che tu non sia diventato fabbricante.
- Cooperare con l'autorità di vigilanza e fornire ciò che chiede.
- Tenere traccia degli avvisi ricevuti dai fornitori e di ciò che hai fatto: è la tua evidenza di diligenza.
Articoli 19 e 20. Sanzioni per gli obblighi di importatori e distributori fino a 10 milioni di euro o al 2% del fatturato mondiale (articolo 64).
Il punto più delicato: il marchio proprio
Molti distributori ed importatori vendono prodotti di terzi con il proprio marchio («private label»). Con il Cyber Resilience Act questa scelta ha un costo preciso: si assume il ruolo di fabbricante, con l'obbligo di conoscere i componenti del prodotto, seguirne le vulnerabilità e segnalare quelle sfruttate, anche se il software lo scrive qualcun altro. Prima di continuare a marchiare, conviene verificare che cosa il fornitore è disposto a dare: SBOM, aggiornamenti, avvisi, documentazione.
Che cosa fa Assiduo per importatori e distributori
AAssiduo fa
- Ti aiuta a capire il tuo ruolo, prodotto per prodotto, già dal configuratore
- Censisce i prodotti che tratti e le informazioni ricevute dai fabbricanti
- Raccoglie in un unico posto gli avvisi dei fornitori e ti dice quali prodotti toccano
- Tiene traccia di che cosa hai verificato e comunicato, e quando
- Se hai un marchio proprio, segue i prodotti come per un fabbricante
TuA te resta
- La decisione di immettere o rendere disponibile un prodotto
- La comunicazione al fabbricante e, se serve, alle autorità
- La scelta di continuare o no con il marchio proprio
- Il parere legale sui tuoi contratti di fornitura
Domande frequenti
Compro da un fabbricante europeo e rivendo: sono importatore?
No, sei distributore. Importatore è solo chi immette sul mercato UE prodotti di un fabbricante stabilito fuori dall'Unione.
Il fabbricante extra-UE non risponde alle mie richieste. Che cosa rischio?
Dalla piena applicazione non potresti immettere il prodotto senza le verifiche previste. È un rischio commerciale da affrontare ora, nei contratti di fornitura.
Metto solo un'etichetta con il mio logo sulla confezione: divento fabbricante?
Se il prodotto viene venduto con il tuo nome o marchio, sì (articolo 21). Un'etichetta che indica il distributore accanto al marchio del fabbricante è un caso diverso: da valutare con un legale.
Importatore, distributore o fabbricante?
Il configuratore parte proprio da qui: poche domande, nessun file da caricare, risultato subito.
Configura il tuo presidio