Scadenze del Cyber Resilience Act: che cosa fare a ogni data
Il calendario completo del Cyber Resilience Act e delle norme che lo accompagnano, con l'obbligo che scatta a ogni data e il lavoro da fare prima. Questa pagina viene aggiornata quando cambia qualcosa: la data in alto dice quanto è fresca.
Aggiornato al 14 ottobre 2026 · Al momento dell'aggiornamento non risulta alcun rinvio delle date del regolamento · Non costituisce consulenza legale.
| Data | Che cosa scatta | Per chi | Stato |
|---|---|---|---|
| 10 dicembre 2024 | Entra in vigore il regolamento (UE) 2024/2847 | Tutti | FATTO |
| 1° agosto 2025 | Requisiti di cibersicurezza della direttiva RED per le apparecchiature radio connesse | Fabbricanti di apparecchiature radio | IN VIGORE |
| 11 giugno 2026 | Regole sugli organismi che valutano la conformità (capo IV) | Organismi, autorità | IN VIGORE |
| 11 settembre 2026 | Segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi: 24 ore, 72 ore, relazione finale (articolo 14) | Fabbricanti, anche per i prodotti già sul mercato | IN VIGORE |
| 31 ottobre 2026 | NIS2: misure di base per i soggetti italiani in elenco dal 2025 | Soggetti NIS2; di riflesso, i loro fornitori | IN ARRIVO |
| 9 dicembre 2026 | Termine di recepimento della nuova direttiva sulla responsabilità da prodotto difettoso: anche il software è un prodotto | Fabbricanti, importatori | IN ARRIVO |
| 20 gennaio 2027 | Si applica il Regolamento Macchine (UE) 2023/1230, con i requisiti sui rischi informatici che toccano la sicurezza | Costruttori di macchine | IN ARRIVO |
| 11 dicembre 2027 | Piena applicazione del CRA: requisiti essenziali, SBOM, gestione delle vulnerabilità, documentazione, dichiarazione di conformità, marcatura CE; cessano i requisiti RED | Fabbricanti, importatori, distributori | OBIETTIVO |
Il piano a ritroso, dall'11 dicembre 2027
Un prodotto che sarà venduto dopo quella data deve essere conforme. Partendo da oggi, l'ordine ragionevole delle cose da fare.
Adesso: il perimetro
Quali prodotti rientrano, in quale ruolo, con quali componenti di terzi. È ciò che il configuratore gratuito aiuta a fotografare.
Subito dopo: la segnalazione
L'obbligo è già in vigore. Chi decide, chi invia, dove si annota: una procedura e un registro datato, anche semplici.
Entro primavera 2027: SBOM e vulnerabilità
SBOM per i prodotti in catalogo, richieste ai fornitori, controllo continuo delle vulnerabilità con decisioni documentate.
Entro autunno 2027: la documentazione
Valutazione dei rischi, documentazione tecnica, periodo di assistenza dichiarato, politica di divulgazione e contatto pubblico, dichiarazione di conformità.
Per i costruttori di macchine
Dal 20 gennaio 2027 il Regolamento Macchine: conviene trattare insieme i due fascicoli per non fare il lavoro due volte.
Dopo: la continuità
Gli obblighi non finiscono con la marcatura CE: vulnerabilità, aggiornamenti e segnalazioni durano per tutto il periodo di assistenza.
Domande frequenti sulle date
Le date possono slittare?
Al 6 ottobre 2026 non risulta alcun rinvio, né adottato né proposto. Questa pagina viene aggiornata se la situazione cambia.
I prodotti venduti prima dell'11 dicembre 2027 sono esenti?
Non del tutto: l'obbligo di segnalazione vale già anche per loro. E se subiscono una modifica sostanziale dopo quella data, rientrano per intero nel regolamento.
In Italia che cosa manca?
Il decreto legislativo di adeguamento, che fisserà sanzioni e procedure nazionali e darà piena operatività all'ACN come autorità di vigilanza. L'obbligo europeo vale comunque già.
Inizia dal perimetro
Poche domande, nessun file da caricare, risultato subito.
Configura il tuo presidio