Nuovi adempimenti europei per i fabbricanti di software, dispositivi connessi e prodotti con elementi digitali. Il Regolamento (UE) 2024/2847 anticipa gli obblighi di notifica rispetto alla piena applicazione della normativa, prevista per l’11 dicembre 2027.
Che cos’è il Cyber Resilience Act?
Il Cyber Resilience Act (CRA), introdotto dal Regolamento (UE) 2024/2847, stabilisce un quadro europeo armonizzato di requisiti di cybersecurity per i prodotti con elementi digitali immessi sul mercato dell’Unione europea.
L’obiettivo è migliorare la sicurezza informatica dei prodotti hardware e software durante il loro ciclo di vita, riducendo le vulnerabilità e aumentando la capacità dei fabbricanti di individuare, gestire e correggere i rischi informatici.
Il regolamento prevede requisiti di sicurezza nella progettazione e nello sviluppo dei prodotti, obblighi di gestione delle vulnerabilità, aggiornamenti di sicurezza, documentazione tecnica e procedure di valutazione della conformità, secondo le disposizioni applicabili.
La novità: obblighi di segnalazione già applicabili dall’11 settembre 2026
Sebbene la maggior parte degli obblighi del CRA diventi applicabile dall’11 dicembre 2027, l’articolo 14 introduce un importante anticipo.
Dall’11 settembre 2026, i fabbricanti devono segnalare:
- Le vulnerabilità attivamente sfruttate contenute nei propri prodotti con elementi digitali, quando ne vengono a conoscenza.
- Gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali, secondo i criteri stabiliti dal regolamento.
Non ogni vulnerabilità individuata comporta automaticamente una notifica obbligatoria: occorre verificare, in particolare, la presenza di uno sfruttamento attivo e le condizioni previste dalla normativa.
Gli obblighi di segnalazione possono riguardare anche prodotti già immessi sul mercato europeo prima dell’11 dicembre 2027.
Entro quanto tempo devono essere effettuate le notifiche?
Il regolamento prevede una procedura articolata in più fasi.
| Adempimento | Termine |
|---|---|
| Prima segnalazione (early warning) | Entro 24 ore dalla conoscenza dell’evento |
| Notifica successiva con maggiori informazioni | Entro 72 ore dalla conoscenza dell’evento |
| Relazione finale per vulnerabilità attivamente sfruttate | Entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione |
| Relazione finale per incidenti gravi | Entro un mese dalla notifica delle 72 ore |
I termini decorrono secondo le condizioni definite dall’articolo 14 del regolamento e richiedono un sistema organizzativo capace di identificare e valutare rapidamente gli eventi.
Come si effettuano le segnalazioni?
Le comunicazioni devono essere trasmesse attraverso la Single Reporting Platform (SRP), la piattaforma europea istituita e gestita dall’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza.
La piattaforma, operativa dall’11 settembre 2026, permette di presentare le notifiche previste dal CRA attraverso un unico punto di accesso, con il coinvolgimento delle autorità competenti.
Quali aziende devono verificare l’applicabilità?
Il CRA interessa, in particolare, le imprese che sviluppano, fabbricano o commercializzano, nei ruoli previsti dal regolamento, prodotti con elementi digitali.
Tra gli esempi:
- Software e applicazioni commercializzati sul mercato.
- Dispositivi IoT e sistemi intelligenti connessi.
- Apparecchiature industriali dotate di componenti digitali.
- Dispositivi elettronici con funzionalità di comunicazione.
- Prodotti hardware e software utilizzati in ambienti aziendali.
L’applicabilità deve essere valutata considerando le caratteristiche del prodotto, la sua destinazione, il ruolo dell’operatore economico e le eventuali esclusioni o discipline settoriali specifiche.
Che cosa dovrebbero fare le imprese?
Per affrontare i nuovi obblighi, le aziende interessate dovrebbero verificare la propria organizzazione interna e predisporre un sistema operativo che consenta di:
- Individuare i prodotti soggetti al CRA.
- Identificare le vulnerabilità e gli incidenti rilevanti.
- Valutare tempestivamente quando un evento deve essere notificato.
- Definire ruoli, responsabilità e modalità di escalation.
- Gestire le notifiche entro i termini prescritti.
- Documentare le misure correttive e gli aggiornamenti di sicurezza.
- Conservare le evidenze delle valutazioni e delle comunicazioni effettuate.
Queste attività rappresentano anche una base utile per prepararsi agli ulteriori requisiti di sicurezza e conformità che diventeranno applicabili nel dicembre 2027.
Cyber Resilience Act e NIS2: due normative differenti
Il Cyber Resilience Act e la disciplina NIS2 contribuiscono entrambi al rafforzamento della cybersecurity europea, ma hanno ambiti di applicazione diversi.
La NIS2 si concentra sulla sicurezza delle reti e dei sistemi informativi dei soggetti rientranti nel suo campo di applicazione.
Il CRA riguarda invece la sicurezza informatica dei prodotti con elementi digitali e gli obblighi degli operatori economici interessati.
Un’impresa può essere soggetta a entrambe le discipline, ma l’applicabilità e gli adempimenti devono essere verificati separatamente.
Le prossime scadenze
11 settembre 2026: applicazione degli obblighi di segnalazione previsti dall’articolo 14.
11 dicembre 2027: applicazione generale delle principali disposizioni del Cyber Resilience Act, inclusi i requisiti di cybersecurity dei prodotti, secondo il regime normativo pertinente.
Le imprese interessate dovrebbero quindi distinguere le attività già necessarie per la gestione delle segnalazioni da quelle di adeguamento complessivo dei prodotti.
Conclusioni
Il Cyber Resilience Act rappresenta un cambiamento importante nella responsabilità dei fabbricanti di prodotti digitali.
La cybersecurity non viene considerata soltanto una misura tecnica, ma diventa un requisito regolamentare da presidiare attraverso processi organizzativi, responsabilità definite, tracciabilità delle vulnerabilità e capacità di risposta tempestiva.
La prima verifica da effettuare è stabilire se l’impresa fabbrica prodotti con elementi digitali rientranti nel campo di applicazione del regolamento e se dispone già di un processo efficace per gestire le segnalazioni obbligatorie.
Fonti normative e istituzionali
- Regolamento (UE) 2024/2847 – Cyber Resilience Act, in particolare articoli 14, 16 e 71.
- Commissione europea – Cyber Resilience Act: Reporting obligations.
- ENISA – CRA Single Reporting Platform.
- Commissione europea – Orientamenti applicativi sul Cyber Resilience Act, luglio 2026.
Contenuto informativo gratuito a cura di My Advisor S.r.l. S.B. per NormaLex PRO. Le indicazioni hanno carattere generale e non sostituiscono la verifica di applicabilità riferita ai singoli prodotti e operatori economici.
