Cyber Resilience Act: obblighi e prodotti coinvolti
Il Cyber Resilience Act (CRA), ufficialmente Regolamento (UE) 2024/2847, è la prima legislazione a livello di tutta l’Unione Europea che introduce norme comuni di cibersicurezza per i produttori e gli sviluppatori di prodotti con elementi digitali e copre sia la parte hardware, sia la parte software.
L’obiettivo del Cyber Resilience Act è affrontare il problema del basso livello di sicurezza informatica nei “prodotti con elementi digitali” e aumentare la consapevolezza degli utenti riguardo alla cyber security dei prodotti. Gli obiettivi principali sono:
- Garantire la cibersicurezza dei prodotti e prevenire lo sfruttamento delle vulnerabilità.
- Imporre obblighi specifici ai fabbricanti, importatori e distributori.
- Assicurare che i prodotti siano “sicuri fin dalla progettazione e per impostazione predefinita” (“secure by design and by default”) e che siano mantenuti sicuri durante l’intero ciclo di vita.
La legge si applica a tutti i “prodotti con elementi digitali” immessi sul mercato dell’UE, con poche eccezioni. Un prodotto con elementi digitali è definito in modo ampio come:
“qualsiasi prodotto software o hardware e le sue soluzioni di elaborazione dati a distanza, inclusi componenti software o hardware da immettere sul mercato separatamente”.
Questo significa, tra le altre cose, che quasi tutti i tipi di dispositivi IoT sono inclusi nel suo ambito. In questo articolo troverai una panoramica delle questioni e delle soluzioni principali del Cyber Resilience Act, con un’attenzione particolare alla categorizzazione dei prodotti e al quadro normativo.
Il panorama normativo europeo sulla sicurezza informatica
Il Cyber Resilience Act (CRA) si integra in un quadro normativo europeo già avanzato su dati personali e cybersicurezza, rafforzando sinergie con le principali normative:
- Cybersecurity Act (Reg. UE 2019/881): introduce un sistema europeo di certificazione volontaria della cibersicurezza con ruolo centrale per l’ENISA. I prodotti certificati secondo questo regolamento sono presunti conformi ai requisiti del CRA.
- Direttiva NIS2 (Dir. UE 2022/2555): definisce obblighi di sicurezza e segnalazione per entità essenziali e importanti. Il CRA la integra specificando requisiti per i prodotti digitali e favorendo la segnalazione volontaria di vulnerabilità a CSIRT ed ENISA.
- GDPR (Reg. UE 2016/679): privacy e cibersicurezza sono principi comuni; i requisiti del CRA rafforzano la protezione dei dati personali senza pregiudicare il GDPR.
- AI Act (Reg. UE 2024/1689): i sistemi di IA ad alto rischio devono rispettare anche i requisiti di cibersicurezza del CRA, che valgono come conformità all’AI Act.
Timeline di implementazione del Cyber Resilience Act
Di seguito si presenta la timeline di implementazione del Cyber Resilience Act
- 10 dicembre 2024: il Regolamento (UE) 2024/2847 (Cyber Resilience Act) è entrato in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea.
- 1° dicembre 2025: viene pubblicato nella Gazzetta ufficiale dell’UE il Regolamento di esecuzione (UE) 2025/2392, che definisce la descrizione tecnica delle categorie di prodotti «importanti» (Allegato III) e «critici» (Allegato IV), determinando in concreto quali prodotti sono soggetti alle procedure di valutazione della conformità più rigorose.
- 11 giugno 2026: diventano applicabili le disposizioni del Capo IV relative alla notifica degli organismi di valutazione della conformità e alla designazione delle autorità di notifica. È un passaggio abilitante: senza organismi notificati operativi, i produttori delle categorie più critiche non potrebbero completare il percorso di conformità richiesto per l’accesso al mercato.
- 11 settembre 2026: diventano applicabili gli obblighi di segnalazione dell’articolo 14 per i fabbricanti, relativi alle vulnerabilità attivamente sfruttate e agli incidenti gravi che incidono sulla sicurezza dei prodotti. Le notifiche passano dalla piattaforma unica di segnalazione gestita da ENISA e valgono anche per i prodotti già immessi sul mercato.
- 11 dicembre 2027: applicazione piena del CRA. Da questa data si applicano tutti i requisiti essenziali di cibersicurezza, la valutazione di conformità, la marcatura CE e la documentazione tecnica, concludendo il periodo triennale di adeguamento.
- 11 giugno 2028: i certificati di esame UE del tipo e le decisioni di omologazione rilasciati in materia di cibersicurezza sulla base di altre normative di armonizzazione dell’Unione restano validi fino a questa data, salvo scadenza anticipata (regime transitorio, art. 69).
- Settembre 2028: la Commissione presenterà al Parlamento europeo e al Consiglio una relazione per valutare l’efficacia della piattaforma unica di segnalazione e l’impatto dell’applicazione dei motivi legati alla cibersicurezza da parte dei CSIRT.
- Dicembre 2030 e successivamente ogni quattro anni: la Commissione trasmetterà al Parlamento europeo e al Consiglio una relazione di valutazione e riesame del presente regolamento.
Sebbene la timeline stabilita sia piuttosto precisa, i settori coinvolti hanno sollevato preoccupazioni riguardo alla chiarezza e alla tempistica, specialmente per quanto riguarda lo sviluppo degli standard tecnici. Proprio la necessità di sviluppare standard e certificazioni e il rischio che gli organismi di valutazione della conformità siano sovraccarichi sono stati evidenziati come sfide.
I prodotti coinvolti nel Cyber Resilience Act
Il CRA adotta un approccio basato sul rischio, secondo cui classifica i prodotti in tre categorie principali, che determinano il livello degli obblighi e delle procedure di valutazione della conformità.
Le descrizioni tecniche di queste categorie sono state definite dal Regolamento di esecuzione 2025/2392 della Commissione Europea (pubblicato il 1° dicembre 2025), che fornisce anche esempi illustrativi e non esaustivi dei prodotti la cui funzionalità principale rientra nelle categorie «importanti» e «critiche». È questo l’atto che, in concreto, permette a un fabbricante di stabilire se un proprio prodotto ricade in una categoria soggetta a procedure di conformità più rigorose.
Prodotti “Standard” (Non Critici)
Questa è la categoria predefinita e si stima che comprenda la vasta maggioranza (circa il 90%) dei prodotti con elementi digitali. Esempi includono:
- Software di fotoritocco
- Videogiochi
- Altoparlanti intelligenti
- Hard disk
La conformità di questi prodotti può essere valutata dal fabbricante sotto la propria responsabilità tramite una procedura di controllo interno.
Prodotti “Importanti”
Questi prodotti sono elencati nell’Allegato III del regolamento e presentano un rischio maggiore per la sicurezza informatica. La loro classificazione dipende da criteri come la funzionalità legata alla cibersicurezza, l’uso in ambienti sensibili o la capacità di causare un impatto negativo significativo.
Classe I (Allegato III)
Alcuni esempi includono:
- Sistemi di sicurezza informatica e gestione degli accessi
- Hardware e infrastruttura di rete
- Sistemi operativi e software di base
- Dispositivi intelligenti e IoT
Se il fabbricante non applica (o applica solo parzialmente) norme armonizzate, specifiche comuni o EUCC (sistema europeo di certificazione della cibersicurezza basato sui criteri comuni) con un livello di affidabilità “sostanziale”, deve ricorrere a una valutazione di conformità da parte di terzi. Se invece applica le norme armonizzate o specifiche comuni/EUCC, può fare ricorso al controllo interno.
Classe II (Allegato III)
Questi richiedono sempre una valutazione della conformità da parte di terzi.
- Hypervisor e sistemi di runtime container
- Firewall, sistemi di rilevamento e prevenzione delle intrusioni
- Microprocessori e microcontrollori a prova di manomissione
Per questi prodotti, la valutazione della conformità deve sempre coinvolgere terzi.
Prodotti “Critici”
Questi prodotti sono elencati nell’Allegato IV del regolamento. Questi sono considerati dipendenze critiche per i soggetti essenziali ai sensi della Direttiva NIS2 e il loro sfruttamento potrebbe causare gravi interruzioni delle catene di approvvigionamento critiche in tutta l’UE. Esempi includono:
- Dispositivi hardware con cassette di sicurezza
- Gateway per contatori intelligenti (smart meter gateways)
- Carte intelligenti o dispositivi analoghi (inclusi elementi sicuri)
Questi prodotti possono essere soggetti a certificazione europea obbligatoria della cibersicurezza con un livello di affidabilità almeno “sostanziale”, tramite atti delegati della Commissione. In assenza di tale certificazione obbligatoria, si applicano le procedure di valutazione da parte di terzi previste per i prodotti importanti di Classe II.
È possibile consultare l’elenco completo e le classificazioni dei prodotti a questo link (pg 71, link esterno)
I Software Liberi e Open Source (OSS)
Sono esclusi dal campo di applicazione se forniti senza intento di monetizzazione. Tuttavia, il CRA si applica ai progetti Open Source che sono “destinati in ultima istanza ad attività commerciali”, ad esempio se integrati in servizi commerciali o prodotti monetizzati, o se i fabbricanti contribuiscono regolarmente al loro sviluppo o forniscono assistenza finanziaria. I “gestori di software open source” sono comunque soggetti a un regime normativo semplificato e personalizzato.
Esclusioni Specifiche
Il CRA non si applica a:
- Prodotti già disciplinati da altre legislazioni specifiche dell’UE che raggiungono un livello di protezione equivalente o superiore.
- Prodotti sviluppati o modificati esclusivamente per scopi di sicurezza nazionale o di difesa o per il trattamento di informazioni classificate.
- Pezzi di ricambio destinati a sostituire componenti identici in prodotti preesistenti o già conformi al CRA.
- Servizi cloud la cui progettazione e sviluppo esulano dalla responsabilità del fabbricante di un prodotto con elementi digitali.
I requisiti di conformità del Cyber Resilience Act
Il Cyber Resilience Act agisce sia normando i requisiti minimi di sicurezza informatica, sia richiedendo ai principali attori economici che gestiscono il prodotto una gestione tracciata e strutturata delle vulnerabilità.
Requisiti Essenziali di Cibersicurezza
- Requisiti di sicurezza informatica relativi alle proprietà dei prodotti con elementi digitali. I prodotti devono essere progettati, sviluppati e fabbricati in modo tale da garantire un livello adeguato di cyber security commisurato ai rischi. Devono essere immessi sul mercato “senza vulnerabilità note sfruttabili”. I requisiti specifici includono, ad esempio:
- Controllo degli accessi e protezione dei dati
- Principi di privacy e trattamento dei dati
- Disponibilità, integrità e resilienza
- Sicurezza delle superfici di attacco e configurazioni del perimetro di sicurezza
- Requisiti di gestione delle vulnerabilità. Il CRA richiede ai fabbricanti una gestione strutturata delle vulnerabilità per l’intero periodo di assistenza del prodotto (almeno 5 anni o la durata d’uso prevista, se inferiore). Gli obblighi principali includono:
- Creare e mantenere una SBOM (distinta base software) con le dipendenze di primo livello.
- Adottare una politica di divulgazione coordinata delle vulnerabilità (CVD), eventualmente con bug bounty.
- Segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi a ENISA e al CSIRT nazionale secondo la tempistica dell’art. 14.
- Eseguire test e revisioni di sicurezza regolari.
- Rilasciare aggiornamenti di sicurezza tempestivi per l’intero periodo di assistenza.
- Fornire un indirizzo di contatto pubblico per le segnalazioni di vulnerabilità.
Gli obblighi di segnalazione (art. 14)
Dall’11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono notificare a ENISA e al CSIRT nazionale competente due tipi di eventi: le vulnerabilità attivamente sfruttate contenute nei propri prodotti e gli incidenti gravi che incidono sulla sicurezza del prodotto. L’obbligo si applica a tutti i prodotti già immessi sul mercato UE, anche se commercializzati prima delle altre scadenze del regolamento.
La segnalazione segue una tempistica articolata su tre livelli:
- Allerta preventiva: entro 24 ore dal momento in cui il fabbricante viene a conoscenza della vulnerabilità sfruttata o dell’incidente grave.
- Notifica dettagliata: entro 72 ore, con descrizione dell’evento, valutazione della gravità e misure correttive adottate o previste.
- Rapporto finale: entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione per le vulnerabilità attivamente sfruttate; entro 1 mese dalla notifica delle 72 ore per gli incidenti gravi.
Le notifiche vengono trasmesse attraverso la piattaforma unica di segnalazione gestita da ENISA, che le inoltra al CSIRT nazionale designato come coordinatore. Sono previste alcune agevolazioni: le microimprese e le piccole imprese non possono essere sanzionate per il mancato rispetto del termine delle 24 ore pur restando tenute a notificare, mentre i gestori di software open source hanno obblighi semplificati e non sono soggetti alle sanzioni pecuniarie. Le aziende soggette anche alla Direttiva NIS2 dovrebbero coordinare i due flussi di notifica per evitare duplicazioni.
Obblighi degli Operatori Economici
Il CRA impone obblighi specifici ai diversi operatori economici lungo la catena di approvvigionamento: fabbricanti, rappresentanti autorizzati, importatori, distributori e gestori di software open source.
- I fabbricanti hanno gli obblighi più ampi: devono progettare e produrre i prodotti in linea con i requisiti di cibersicurezza, effettuare e aggiornare valutazioni dei rischi, garantire la gestione delle vulnerabilità (anche di componenti di terze parti) e adottare misure correttive in caso di non conformità. Devono inoltre documentare la conformità, redigere la Dichiarazione UE, apporre la marcatura CE e fornire agli utenti istruzioni chiare su assistenza e aggiornamenti. La documentazione tecnica e la dichiarazione di conformità vanno conservate e rese disponibili alle autorità per almeno dieci anni o per l’intero periodo di assistenza del prodotto.
- Rappresentanti Autorizzati: agiscono per conto del fabbricante per specifici compiti come la conservazione della documentazione e la cooperazione con le autorità, ma non per gli obblighi principali di progettazione e produzione.
- Importatori: si assicurano che i prodotti da paesi terzi rispettino i requisiti essenziali di cibersicurezza e che il fabbricante abbia eseguito le procedure di valutazione della conformità, redatto la documentazione tecnica, apposto la marcatura CE e fornito le istruzioni per l’utente, prima di immetterli sul mercato UE. Devono informare il fabbricante e le autorità di vigilanza del mercato in caso di non conformità o rischi significativi.
- Distributori: verificano che il prodotto rechi la marcatura CE e che il fabbricante e l’importatore abbiano adempiuto ai loro obblighi prima di rendere il prodotto disponibile sul mercato. In caso di sospetta non conformità o rischio, devono informare il fabbricante e le autorità di vigilanza del mercato.
- Gestori di Software Open Source: sono soggetti a un regime semplificato e su misura, che include obblighi di sviluppare e pubblicare politiche di cyber security (in particolare per la coordinazione delle vulnerabilità), cooperare con le autorità di vigilanza del mercato e segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sui sistemi di sviluppo. Sono esclusi dalle sanzioni amministrative pecuniarie.
Le linee guida della Commissione (luglio 2026)
Il 27 luglio 2026 la Commissione europea ha pubblicato le prime linee guida ufficiali sull’applicazione del CRA, previste dall’articolo 26 del regolamento. Il documento non è vincolante, ma costituisce il riferimento pratico che autorità di vigilanza del mercato e organismi notificati applicheranno. Chiarisce in particolare quattro nodi:
- Ambito di applicazione: quando cloud, soluzioni di elaborazione dati a distanza (remote data processing) e software rientrano nel CRA, e la distinzione rispetto ai servizi SaaS puri.
- Open source: conferma che il software libero è soggetto al CRA solo se monetizzato o fornito nel corso di un’attività commerciale.
- Modifica sostanziale: criteri e diagrammi per distinguere gli aggiornamenti che richiedono una nuova valutazione di conformità dalle patch ordinarie.
- Periodo di supporto: come determinarne la durata in funzione del ciclo di vita del prodotto.
Il documento include 67 esempi pratici, casi d’uso e flowchart, con particolare attenzione a PMI e microimprese.
Sanzioni previste dal Cyber Resilience Act
Gli Stati membri nomineranno autorità di vigilanza del mercato responsabili dell’applicazione del CRA. In caso di non conformità, queste autorità possono richiedere misure correttive, proibire o limitare l’immissione del prodotto sul mercato, o ordinarne il ritiro. Il CRA prevede sanzioni amministrative pecuniarie massime per le violazioni, che gli Stati membri dovranno recepire nelle loro leggi nazionali:
- Fino a 15 milioni di Euro o 2,5% del fatturato mondiale annuo per la non conformità ai requisiti essenziali di Allegato I e agli obblighi degli articoli 13 e 14 del Cyber Resilience Act.
- Fino a 10 milioni di Euro o 2% del fatturato mondiale annuo per la non conformità ad altri obblighi del regolamento.
- Fino a 5 milioni di Euro o 1% del fatturato mondiale annuo per la fornitura di informazioni inesatte, incomplete o fuorvianti.
Il Cyber Resilience Act impone sfide significative in termini di costi di conformità, possibili ambiguità normative e tempistiche stringenti, con il rischio concreto che gli oneri maggiori vengano trasferiti dai grandi produttori alle PMI. Il regolamento riconosce queste criticità e integra un solido pacchetto di misure di sostegno che include moduli tecnici semplificati, tariffe ridotte, supporto formativo e finanziario, e l’accesso a sandboxes regolatorie.
Sebbene l’adeguamento iniziale rappresenti un ostacolo, la conformità può (e dovrebbe) tradursi in un vantaggio competitivo, aumentando la fiducia dei consumatori e garantendo parità di condizioni in un mercato armonizzato. L’efficacia di questa transizione dipenderà dall’implementazione pratica delle misure di sostegno e dalla capacità delle PMI di sfruttare appieno gli strumenti messi a loro disposizione.
Fonti
Chiara, P. G. (2022). The Cyber Resilience Act: the EU Commission’s proposal for a horizontal regulation on cybersecurity for products with digital elements: An introduction. International Cybersecurity Law Review, 3(2), 255-272.
Legge sulla ciberresilienza. (2024). Plasmare Il Futuro Digitale Dell’Europa. https://digital-strategy.ec.europa.eu/it/policies/cyber-resilience-act
Press corner. (2023). European Commission – European Commission. https://ec.europa.eu/commission/presscorner/detail/en/QANDA_22_5375.
REGOLAMENTO (UE) 2024/2847 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO, (2024). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=OJ:L_202402847
Ruohonen, J., & Timmers, P. (2024). Vulnerability coordination under the cyber resilience act. arXiv preprint arXiv:2412.06261.
Sana, S. (2025, May 16). Cyber Resilience Act: cosa devono sapere le software house. Cyber Security 360. https://www.cybersecurity360.it/legal/cyber-resilience-act-cosa-devono-sapere-davvero-le-software-house-italiane/
Shaffique, M. R. (2024). Cyber Resilience Act 2022: A silver bullet for cybersecurity of IoT devices or a shot in the dark?. Computer Law & Security Review, 54, 106009.
