Verso la fase operativa del Cyber Resilience Act
Sebbene in vigore dal 10 dicembre 2024, il Cyber Resilience Act (CRA) si avvia verso la sua fase operativa nel 2026.
Le imprese che immettono sul mercato prodotti con elementi digitali devono infatti iniziare a confrontarsi con le prime scadenze applicative e con gli obblighi che entreranno progressivamente in vigore.
Il Regolamento (UE) 2024/2847 introduce requisiti comuni di sicurezza informatica per numerosi prodotti hardware e software commercializzati nell’Unione europea.
Il percorso verso la piena applicazione culminerà l’11 dicembre 2027, ma gli obblighi relativi alla segnalazione di vulnerabilità e incidenti gravi si applicheranno già dal settembre 2026.
In questa fase assumono rilievo anche le linee guida C(2026) 5252 della Commissione europea. Il documento fornisce chiarimenti utili sull’interpretazione di alcuni aspetti del Cyber Resilience Act.
La roadmap 2026-2027 richiede quindi di passare dall’esame della norma alla verifica concreta dei prodotti, dei processi di sviluppo, delle procedure di gestione delle vulnerabilità e delle responsabilità interne.
Chi deve adeguarsi e cosa rientra nel Cyber Resilience Act
Il Cyber Resilience Act si applica a chiunque immetta o renda disponibili sul mercato dell’Unione Europea prodotti con elementi digitali, ossia qualsiasi dispositivo hardware o software che preveda una connessione dati, diretta o indiretta, a una rete o a un altro dispositivo.
Dai fabbricanti ai distributori: la mappa dei soggetti
Per garantire la sicurezza lungo l’intera catena del valore, la norma distribuisce la responsabilità tra tutti gli operatori della filiera:
- fabbricanti: sono i soggetti maggiormente responsabilizzati. Chi progetta e realizza il prodotto (o lo commercializza con il proprio marchio) deve garantirne la conformità fin dalla progettazione (security by design), predisporre la documentazione tecnica, apporre il marchio CE e gestire/segnalare le vulnerabilità per l’intero ciclo di vita del prodotto (per un periodo minimo di 5 anni);
- importatori: agiscono da primo filtro per i prodotti provenienti da Paesi extra-UE. Devono verificare a monte che il fabbricante abbia adempiuto ai suoi obblighi, bloccando la distribuzione e rispondendo in solido in caso di non conformità;
- distributori: devono verificare che il prodotto sia accompagnato da marcatura CE e idonea documentazione prima di immetterlo sul mercato.
Il CRA esclude espressamente i prodotti già regolati da specifiche norme UE con requisiti di cybersecurity equivalenti, come quelli dei settori automobilistico, medico o aeronautico.
Resta escluso anche il codice open source fornito senza scopo di lucro, che rientra nell’ambito d’applicazione della norma solo se integrato in prodotti o servizi destinati ad attività commerciali.
Dal software standard ai sistemi critici: le tre classi di prodotto
Non tutti i prodotti comportano lo stesso livello di rischio. Il Cyber Resident Act adotta un approccio proporzionato: la complessità e il livello di severità delle regole aumentano con l’impatto che un’eventuale falla informatica avrebbe sulla sicurezza dei dati e delle infrastrutture.
I prodotti con elementi digitali vengono così distinti in tre macro-categorie:
- prodotti standard (o a rischio ordinario): costituiscono la maggior parte del mercato software e hardware (dai programmi di grafica ai giochi, fino ai piccoli applicativi aziendali). Non presentando un rischio sistemico evidente, consentono ai fabbricanti di seguire percorsi di valutazione della conformità più snelli, basati prevalentemente sull’autocertificazione;
- prodotti importanti (distinti in classe I e classe II): rientrano in questa fascia le soluzioni che svolgono funzioni essenziali di sicurezza o che gestiscono accessi e dati critici (es. sistemi operativi, antivirus, password manager, router e firewall). Per questi dispositivi non basta la mera autodichiarazione: occorre applicare rigorosi standard armonizzati o richiedere l’intervento di un ente di certificazione terzo;
- prodotti critici: rappresentano la categoria a più alto rischio, destinata a contesti e infrastrutture ad altissima sensibilità (es. chip di sicurezza, smart card e sistemi di controllo industriale avanzati). Il fabbricante deve obbligatoriamente ottenere un Certificato europeo di cybersicurezza rilasciato ai sensi del Cybersecurity Act (con livello di garanzia “elevato”).
L’inquadramento del prodotto nella corretta classe di rischio è il primo passo obbligato per definire la procedura di conformità.
Gli obblighi chiave per i fabbricanti e la CRA security
Il Cyber Resilience Act impone l’integrazione della sicurezza fin dalle prime fasi di progettazione del prodotto. Le responsabilità operative a carico dei fabbricanti si concentrano su due pilastri principali:
1. requisiti essenziali di cybersicurezza (security by design e by default)
- commercializzare i prodotti con configurazioni di sicurezza attive di default;
- implementare meccanismi robusti di autenticazione e cifratura dei dati;
- rilasciare aggiornamenti di sicurezza gratuiti per l’intero ciclo di vita del prodotto.
2. gestione e notifica delle vulnerabilità
- monitorare e testare continuamente i prodotti, predisponendo la Software Bill of Materials (SBOM) per tracciare ogni componente software e le relative dipendenze;
- rilasciare patch di sicurezza tempestive e gratuite;
- gestire il processo di segnalazione ad ENISA e ai CSIRT nazionali in caso di incidenti gravi o vulnerabilità sfruttate, rispettando la scansione temporale prevista: alert precoce entro 24 ore dall’evento, notifica di incidente entro 72 ore (con prime valutazioni di impatto), relazione finale entro 1 mese (o entro un mese dalla risoluzione).
Soddisfare entrambi i pilastri richiede una revisione delle metodologie di progettazione e dei flussi interni di gestione delle crisi.
Scadenze applicative e roadmap per le imprese
L’entrata nel vivo del Cyber Resilience Act si traduce concretamente in due tappe di adeguamento:
- 11 settembre 2026: scattano gli obblighi di notifica tempestiva per le vulnerabilità attivamente sfruttate e gli incidenti gravi;
- 11 dicembre 2027: piena applicabilità del Regolamento. Da questa data, ogni prodotto con elementi digitali immesso sul mercato UE dovrà soddisfare i requisiti essenziali, disporre della documentazione tecnica ed esibire la marcatura CE.
Per tradurre le scadenze normative in un piano d’azione, l’azienda deve coprire quattro direttrici prioritarie:
- mappatura e classificazione dei prodotti: censire il portafoglio software/hardware e identificare la classe di rischio di appartenenza per stabilire la corretta procedura di conformità;
- implementazione della SBOM e vulnerability management: formalizzare i processi interni di tracciamento delle componenti e i canali di notifica degli incidenti;
- revisione della supply chain e dei contratti: verificare che i fornitori di componenti di terze parti rispettino i requisiti security by design e che la durata del supporto sia garantita per iscritto;
- adeguamento dei processi di sviluppo: integrare la sicurezza nelle pipeline di progettazione e preparare il fascicolo tecnico e la documentazione per la marcatura CE in vista della scadenza del 2027.
Queste attività evitano che un’organizzazione si trovi impreparata di fronte all’obbligo di notifica delle falle o al blocco della commercializzazione dei propri beni.
