CRA: cibersicurezza per i prodotti con elementi digitali
Il Cyber Resilience Act obbliga fabbricanti, importatori e distributori di prodotti con elementi digitali a garantire la cibersicurezza lungo l’intero ciclo di vita — dallo sviluppo fino alla fine del supporto. A differenza di NIS2 e DORA non si aggancia ai settori, ma al vostro ruolo nella catena di fornitura.
Diritto del prodotto, non diritto del gestore.
Il Cyber Resilience Act (Regolamento (UE) 2024/2847) è entrato in vigore il 10 dicembre 2024 e si applica direttamente in tutta l’UE. Tratta la cibersicurezza come la sicurezza dei prodotti: un prodotto con elementi digitali può essere immesso sul mercato dell’UE solo se soddisfa i requisiti essenziali dell’allegato I — dimostrato attraverso una procedura di valutazione della conformità e visibile nella marcatura CE.
È questa la differenza decisiva rispetto a NIS2 e DORA. Entrambi obbligano soggetti in base a settore e dimensione. Il CRA obbliga operatori economici in base al ruolo: fabbricanti, mandatari, importatori e distributori. Chi si limita a gestire o utilizzare un prodotto non rientra — per lui vale NIS2. Che siate soggetti o meno non dipende dunque dal vostro settore, ma dal fatto che immettiate o no software o dispositivi connessi sul mercato.
Il regolamento distingue tre livelli di rischio. Il caso ordinario è l’autovalutazione da parte del fabbricante. I prodotti importanti (allegato III, suddivisi in classe I e II — tra gli altri gestori di password, VPN, firewall, microprocessori) e i prodotti critici (allegato IV — tra gli altri moduli hardware di sicurezza e smart card) richiedono procedure più severe, fino al coinvolgimento di un organismo notificato. Sono esclusi, tra gli altri, i dispositivi medici (MDR/IVDR), la tecnologia automobilistica omologata, l’aviazione civile e i prodotti destinati esclusivamente alla sicurezza nazionale o alla difesa.
Scadenze chiave
Il CRA entra in vigore
Regolamento (UE) 2024/2847, pubblicato nella Gazzetta Ufficiale il 20.11.2024. Entrata in vigore il ventesimo giorno successivo; gli obblighi si applicano in modo scaglionato.
Il capo sugli organismi di valutazione della conformità diventa applicabile
Da questa data possono essere designati organismi notificati — l’infrastruttura che dovrà poi valutare i prodotti importanti e critici nasce in questa finestra.
Gli obblighi di notifica dell’art. 14 diventano applicabili
I fabbricanti devono notificare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni o un mese — tramite la piattaforma unica di notifica, al CSIRT competente e all’ENISA. Questa scadenza arriva 15 mesi prima della piena applicazione.
Tutti gli altri obblighi diventano applicabili
Requisiti essenziali dell’allegato I, valutazione della conformità e marcatura CE, documentazione tecnica, distinta base del software (SBOM), gestione delle vulnerabilità e un periodo di supporto di almeno cinque anni.
Che cosa vi chiede il CRA.
Sicurezza di fabbrica (allegato I, parte I)
I prodotti vengono consegnati senza vulnerabilità sfruttabili note, con configurazione predefinita sicura, protezione degli accessi, cifratura dei dati a riposo e in transito e la possibilità di cancellare in modo sicuro i dati dell’utente.
Gestione delle vulnerabilità nel periodo di supporto (allegato I, parte II)
Documentare le vulnerabilità, porvi rimedio senza indugio, rilasciare gli aggiornamenti di sicurezza gratuitamente e separatamente da quelli funzionali, mantenere un punto di contatto per le segnalazioni e pubblicare una politica di divulgazione coordinata. Il periodo di supporto è di almeno cinque anni o pari alla vita attesa del prodotto.
Obblighi di notifica (art. 14) — dall’11.09.2026
Notificare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi: 24 ore per il preallarme, 72 ore per la notifica, relazione finale entro 14 giorni o un mese. I destinatari sono il CSIRT competente e l’ENISA tramite una piattaforma comune.
Distinta base del software e documentazione tecnica
Una SBOM in formato leggibile dalla macchina che copra almeno le dipendenze di primo livello, oltre alla documentazione tecnica secondo l’allegato VII — entrambe da conservare dieci anni o per la durata del periodo di supporto.
Valutazione della conformità e marcatura CE
Per il caso ordinario è sufficiente il controllo interno del fabbricante. I prodotti importanti dell’allegato III e quelli critici dell’allegato IV richiedono procedure più severe, con il coinvolgimento di un organismo notificato per la classe II e l’allegato IV. Alla fine: dichiarazione UE di conformità e marcatura CE.
Obblighi di importatori e distributori
Chi importa un prodotto da un paese terzo nell’UE o lo rivende deve verificare che valutazione della conformità, marcatura CE e documentazione siano presenti — e non può metterlo a disposizione se ha motivo di ritenere che non sia conforme. Chi commercializza un prodotto con il proprio nome o lo modifica sostanzialmente è considerato esso stesso fabbricante.
Registro dei prodotti, conto alla rovescia e prove in un unico posto.
ReportAct tiene un registro dei prodotti in cui ogni prodotto con elementi digitali porta la propria classificazione CRA — caso ordinario, importante ai sensi dell’allegato III o critico ai sensi dell’allegato IV. Dalla classificazione discendono la procedura di valutazione applicabile e le prove che dovete tenere.
Per gli obblighi di notifica dell’art. 14 scorre lo stesso conto alla rovescia di NIS2 e DORA: non appena un incidente viene registrato, i termini del preallarme a 24 ore e della notifica a 72 ore partono in modo visibile — CSIRT ed ENISA compresi tra i destinatari. Chi già gestisce NIS2 o DORA non ottiene qui un secondo processo, ma lo stesso.
Il catalogo dei controlli CRA poggia sulla stessa catena di prove sigillata degli altri sei framework. Una prova che tenete comunque per ISO 27001 o NIS2 vale anche qui. E tramite il registro dei fornitori un prodotto può essere collegato ai propri fornitori di componenti — la base di tutto ciò che il CRA richiede lungo la catena di fornitura.
Affermazione di prodotto/posizionamento, non consulenza legale. Il modulo CRA copre oggi il registro dei prodotti, la classificazione, il conto alla rovescia e le prove di controllo; il trattamento della SBOM leggibile dalla macchina e il percorso di conformità CE sono in corso.
Leggetelo direttamente
ReportAct non è una società di consulenza. Questa pagina non sostituisce una consulenza legale e non pretende di essere esaustiva. Fa fede esclusivamente il testo del regolamento nella versione applicabile. Si applicano i nostri Termini e condizioni.
La prima scadenza CRA è l’11 settembre 2026.
Create il vostro registro dei prodotti, classificate secondo gli allegati III e IV e tenete pronto il conto alla rovescia prima che sia il primo incidente a farlo partire.