Cyber Resilience Act: Guida Completa al Regolamento (UE) 2024/2847

Il Cyber Resilience Act (Regolamento UE 2024/2847) introduce obblighi di cybersicurezza per prodotti hardware e software connessi venduti nel mercato europeo. Dal 2026 scatteranno i primi obblighi di notifica delle vulnerabilità, mentre dal dicembre 2027 saranno pienamente applicabili requisiti come secure by design, gestione delle vulnerabilità, SBOM e conformità CE cybersecurity. Il regolamento coinvolge produttori, importatori, distributori e anche molte PMI che lavorano con dispositivi digitali, firmware, IoT o software embedded.

Dal 10 dicembre 2024 è in vigore il Cyber Resilience Act (CRA), formalmente Regolamento (UE) 2024/2847 la prima normativa europea che introduce requisiti obbligatori di cybersicurezza per tutti i prodotti con elementi digitali destinati al mercato UE. La piena applicazione scatta l’11 dicembre 2027, ma il primo obbligo operativo è già fissato all’11 settembre 2026: da quella data chiunque produca, importi o distribuisca prodotti digitali in Europa deve essere in grado di notificare vulnerabilità attivamente sfruttate e incidenti gravi. Questa guida analizza in dettaglio scadenze, soggetti obbligati, categorie di prodotti, sanzioni, differenze con NIS2 e una roadmap operativa per prepararsi.

Cos’è il Cyber Resilience Act e perché nasce

Il Cyber Resilience Act è il primo regolamento europeo che impone requisiti orizzontali obbligatori di cybersicurezza per i prodotti con elementi digitali come hardware, software, firmware, componenti connessi commercializzati nel mercato UE. È stato adottato dal Parlamento Europeo il 12 marzo 2024, approvato dal Consiglio il 10 ottobre 2024 e pubblicato nella Gazzetta Ufficiale dell’UE il 20 novembre 2024, entrando in vigore il 10 dicembre 2024.

La motivazione è nei numeri: il costo globale del cybercrimine era stimato in 5,5 trilioni di euro nel 2021, con milioni di prodotti digitali che presentavano vulnerabilità diffuse e ricevevano aggiornamenti di sicurezza insufficienti o incoerenti. Prima del CRA non esisteva in Europa nessuna norma che imponesse direttamente ai fabbricanti di progettare prodotti sicuri. Esistevano certificazioni volontarie, la NIS2 per i settori critici, il GDPR per i dati personali, ma nessun obbligo di “cybersecurity by design” per tutti i dispositivi.

Con il CRA la sicurezza informatica diventa una caratteristica strutturale del prodotto, al pari della qualità e della conformità CE. Il principio guida è secure by design e secure by default: la protezione deve essere integrata nella progettazione, non aggiunta dopo.

A chi si applica: soggetti obbligati e perimetro

Il CRA si applica a chiunque metta a disposizione sul mercato UE prodotti con elementi digitali: hardware o software che prevedono una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Sono coinvolti fabbricanti, importatori e distributori, con responsabilità differenziate.

Chi sono i fabbricanti

I fabbricanti – cioè chi progetta e produce il prodotto, o lo fa produrre apponendo il proprio nome o marchio — portano la responsabilità principale. Devono garantire che il prodotto soddisfi i requisiti essenziali di cybersicurezza, redigere la documentazione tecnica, rilasciare la Dichiarazione di Conformità UE, apporre la marcatura CE e gestire le vulnerabilità per tutta la vita utile del prodotto (minimo 5 anni). Devono notificare vulnerabilità e incidenti gravi alle autorità competenti.

Chi sono gli importatori

Gli importatori – chi immette nel mercato UE prodotti fabbricati in Paesi terzi – devono verificare che il prodotto sia conforme al CRA prima di immetterlo. Se riscontrano non conformità, devono impedirne la distribuzione e informare il fabbricante e le autorità di vigilanza del mercato. Rispondono in solido in caso di prodotto non conforme.

Chi sono i distributori

I distributori che immettono un prodotto con elementi digitali nel mercato UE devono assicurarsi che il prodotto rechi la marcatura CE, che sia accompagnata dalla documentazione richiesta e che il fabbricante e l’importatore abbiano rispettato gli obblighi previsti. Non possono rendere disponibile un prodotto che sanno non conforme.

Chi è escluso

Attenzione alle esclusioni: il CRA non si applica a prodotti digitali già disciplinati da normative UE settoriali con requisiti di cybersicurezza equivalenti (dispositivi medici, prodotti aeronautici, automobili, attrezzature marittime). È escluso anche il software open source fornito senza intento commerciale; il CRA si applica invece all’open source destinato in ultima istanza ad attività commerciali (ad es. integrato in servizi o prodotti a pagamento). Sono escluse anche le applicazioni SaaS (Software as a Service) e i servizi cloud puri.

Tabella: Soggetti obbligati e responsabilità

Le categorie di prodotti: standard, importanti, critici

Il Regolamento di esecuzione (UE) 2025/2392, pubblicato il 1° dicembre 2025, ha definito tecnicamente le categorie di prodotti importanti (Allegato III) e critici (Allegato IV). La classificazione determina il percorso di valutazione della conformità richiesto: più è critico il prodotto, più è stringente la procedura.

Nota: la classificazione si basa sulla funzionalità principale del prodotto. Un dispositivo che svolge la funzione principale di una categoria Importanti o Critici non può ricorrere all’autovalutazione, indipendentemente da come viene commercializzato.

Le scadenze operative dettagliate

Il CRA introduce un sistema di scadenze graduate. Non si tratta di una singola data di adeguamento: il regolamento entra progressivamente in vigore con obblighi diversi a seconda del soggetto e del tipo di attività. Errore comune è aspettare il 2027: il 2026 porta già obblighi operativi con sanzioni attive.

Focus sulla scadenza del settembre 2026: microimprese e piccole imprese godono di una parziale esenzione: non potranno essere sanzionate per il mancato rispetto del solo termine delle 24 ore per l’allarme rapido. Per tutto il resto degli obblighi di notifica, anche le PMI sono pienamente soggette.

Gli obblighi principali per i fabbricanti

L’Allegato I del CRA definisce i requisiti essenziali di cybersicurezza che si articolano in due parti: requisiti relativi alle proprietà del prodotto (Parte I) e requisiti relativi alla gestione delle vulnerabilità (Parte II).

Requisiti di progettazione (secure by design)

• Superficie di attacco ridotta: il prodotto deve essere consegnato con una configurazione sicura di default, con funzionalità non necessarie disabilitate.
• Protezione da accessi non autorizzati: meccanismi di autenticazione, controllo degli accessi, protezione dei dati in transito e a riposo.
• Riservatezza e integrità dei dati: i dati personali, finanziari e di altro tipo memorizzati, trasmessi o elaborati devono essere protetti.
• Resilienza agli attacchi DoS: il prodotto deve resistere agli attacchi di tipo denial-of-service che lo rendano inaccessibile.
• Minimizzazione dei dati: il prodotto deve raccogliere ed elaborare solo i dati strettamente necessari alla sua funzionalità.

Gestione delle vulnerabilità (lifecycle security)

• SBOM (Software Bill of Materials): il fabbricante deve identificare e documentare tutti i componenti software del prodotto, incluse librerie e moduli di terze parti, in un elenco strutturato e aggiornato.
• Monitoraggio continuo: il fabbricante deve monitorare le vulnerabilità nei componenti del prodotto per tutto il ciclo di vita (minimo 5 anni dalla messa in commercio).
• Patch e aggiornamenti di sicurezza: devono essere forniti tempestivamente, separabili dagli aggiornamenti funzionali e distribuibili in modo sicuro.
• Divulgazione coordinata delle vulnerabilità (CVD): il fabbricante deve disporre di una policy pubblica per la gestione e la segnalazione responsabile delle vulnerabilità.

Obblighi di notifica (Art. 14, operativi dall’11 set 2026)

Dal settembre 2026 ogni fabbricante deve notificare all’ENISA (tramite la piattaforma unica) e al CSIRT nazionale (in Italia: ACN – Agenzia per la Cybersicurezza Nazionale):

Nota per le microimprese e piccole imprese: non sono sanzionabili per il solo ritardo nelle 24 ore dell’allarme rapido. Tutti gli altri obblighi di notifica si applicano integralmente.

Il sistema delle sanzioni (Art. 64)

L’Articolo 64 del Regolamento (UE) 2024/2847 articola le sanzioni su tre livelli progressivi di gravità. Le sanzioni sono stabilite e applicate dagli Stati membri, che devono garantire che siano effettive, proporzionate e dissuasive.

Oltre alle sanzioni pecuniarie, le autorità di vigilanza del mercato possono ordinare il ritiro dal mercato o il richiamo del prodotto, limitarne o vietarne temporaneamente la distribuzione e disporre misure correttive urgenti. Per le organizzazioni più piccole (microimprese e PMI), le sanzioni tengono conto della capacità economica, ma non sono azzerate: la proporzionalità non equivale all’esenzione.

CRA vs NIS2: differenze e sovrapposizioni

CRA e NIS2 condividono l’obiettivo di elevare il livello di cybersicurezza europeo, ma operano su piani distinti e complementari. Molte aziende sono soggette a entrambi: è fondamentale capire dove si sovrappongono e dove divergono, per evitare duplicazioni e garantire la coerenza dei processi.

Your content goes here. Edit or remove this text inline or in the module Content settings. You can also style every aspect of this content in the module Design settings and even apply custom CSS to this text in the module Advanced settings.

Chi deve applicare entrambi: un’azienda manifatturiera italiana che produce macchinari con firmware connesso e supera le soglie dimensionali NIS2 (50 dipendenti o 10 M€ di fatturato, nel settore manifatturiero classificato come “importante”) sarà soggetta sia al CRA per il prodotto sia alla NIS2 per la propria organizzazione. I processi di notifica incidenti devono essere coordinati per garantire coerenza verso ENISA e ACN.

L’impatto sulla supply chain e sulle PMI italiane

Per il tessuto produttivo italiano fatto di PMI manifatturiere, industriali, tecnologiche e di distribuzione, il CRA è una norma con un impatto spesso sottovalutato. Il punto critico non è se un’azienda “fa cybersecurity”: è capire se progetta, vende, importa, integra o modifica qualcosa che contiene software, firmware, connettività o componenti digitali.

Molte PMI non si percepiscono come produttori digitali, ma ogni giorno lavorano con prodotti che incorporano tecnologia: un macchinario industriale con firmware, un dispositivo di automazione connesso, un sistema di controllo con interfaccia software. Tutti questi prodotti, se venduti o distribuiti nel mercato UE, rientrano nel perimetro del CRA.

La pressione che arriva dalla filiera

Uno degli effetti più concreti del CRA sarà la pressione a cascata lungo la supply chain. Chi immette un prodotto sul mercato UE dovrà dimostrare che quel prodotto è stato progettato e mantenuto secondo i requisiti di sicurezza. Questo significa che i grandi committenti chiederanno garanzie ai fornitori, agli integratori, ai sviluppatori software, ai manutentori. Chi non sarà in grado di rispondere rischia di perdere contratti, non di ricevere solo sanzioni.

Le informazioni che spesso mancano nelle PMI:

• L’elenco dei componenti software (SBOM) dei propri prodotti, incluse le librerie di terze parti e le loro versioni
• La responsabilità degli aggiornamenti del firmware o del software embedded: chi lo fa, con quale frequenza, con quale processo
• La procedura di gestione delle vulnerabilità: cosa succede se viene scoperta una falla nel prodotto dopo la vendita
• La durata del supporto: per quanto tempo verrà garantito il supporto di sicurezza (il CRA chiede minimo 5 anni)

Il rischio principale non è tecnico: è organizzativo. Il CRA obbliga le aziende a rendere visibile e gestibile ciò che spesso è implicito, frammentato tra ufficio tecnico, produzione, fornitori software, manutentori e rivenditori.

Roadmap operativa: come prepararsi al CRA

Il Cyber Resilience Act non chiede alle aziende di essere perfette il giorno dell’applicazione: chiede di essere pronte. La finestra di lavoro è adesso. Ecco una roadmap strutturata in 5 fasi.

Fase 1 — Mappatura del perimetro (entro Q3 2025, ma è già urgente)

1. Inventario prodotti: identificare tutti i prodotti dell’azienda che contengono elementi digitali (hardware, software, firmware, componenti connessi)
2. Classificazione CRA: per ciascun prodotto, stabilire se rientra nella categoria Standard, Importanti Classe I, Importanti Classe II o Critici sulla base degli Allegati III e IV del Regolamento di esecuzione (UE) 2025/2392
3. Mappatura dei ruoli: per ogni prodotto, definire se l’azienda è fabbricante, importatore o distributore ai sensi del CRA

Fase 2 — Gap analysis tecnica e organizzativa (Q4 2025 — Q1 2026)

4. Valutazione dei requisiti Allegato I: confrontare i propri prodotti con i requisiti essenziali di cybersicurezza (secure by design, gestione accessi, aggiornamenti, ecc.)
5. Analisi della documentazione tecnica esistente: la documentazione richiesta dal CRA (All. VII) include descrizione del prodotto, risultati dell’analisi del rischio, misure di sicurezza adottate, procedure di test e aggiornamento
6. Verifica supply chain: identificare fornitori di componenti software e firmware, verificare quali hanno obblighi CRA propri e quali richiedono contratti di sicurezza aggiornati

Fase 3 — Implementazione processi di vulnerability management (Q1-Q2 2026)

7. Creazione o aggiornamento della SBOM: documento strutturato (formati SPDX o CycloneDX) con tutti i componenti software del prodotto, incluse versioni e licenze
8. Processo interno di rilevazione e gestione vulnerabilità: chi monitora, chi classifica, chi decide, chi notifica e con quali strumenti
9. Policy di divulgazione coordinata (CVD): canale pubblico (es. pagina security.txt o security@dominio) per ricevere segnalazioni di ricercatori e terzi
10. Predisposizione del processo di notifica ENISA/ACN: prima della scadenza dell’11 settembre 2026, il processo deve essere testato e funzionante

Fase 4 — Conformità e certificazione (Q3 2026 — Q2 2027)

11. Percorso di valutazione della conformità: per i prodotti Standard: autovalutazione + Dichiarazione di Conformità UE; per Importanti Classe I: verifica standard armonizzati; per Importanti Classe II e Critici: selezione e coinvolgimento di un organismo notificato (disponibile dal 11 giugno 2026)
12. Aggiornamento marcatura CE: aggiornare la documentazione CE per includere la conformità al CRA
13. Revisione contrattualistica: aggiornare i contratti con fornitori e partner per includere obblighi CRA, SLA di patching, clausole di notifica incidenti

Fase 5 — Governance e mantenimento (continuo, da Q3 2027)

14. Monitoraggio continuo delle vulnerabilità: sistemi automatici (CVE database, NVD, vendor advisory) per identificare tempestivamente vulnerabilità nei componenti usati
15. Aggiornamenti di sicurezza regolari: processo definito e documentato per il rilascio di patch e la comunicazione agli utenti
16. Revisione periodica della SBOM: ad ogni aggiornamento significativo del prodotto, aggiornare l’elenco dei componenti
17. Formazione interna: sensibilizzazione continua di team tecnico, produzione, acquisti e management sui requisiti CRA e sulle procedure operative

FAQ e People Also Ask – Le domande più frequenti sul Cyber Resilience Act

Questa sezione raccoglie le domande reali che utenti e professionisti pongono a Google e alle AI su CRA, NIS2 e conformità cybersecurity prodotti.

Conclusione: la cybersicurezza non è più un accessorio

Il Cyber Resilience Act non è l’ennesimo adempimento burocratico europeo. È un cambio strutturale nel modo in cui la sicurezza viene concepita, progettata e certificata nei prodotti digitali. Il messaggio è diretto: un prodotto digitale non può considerarsi davvero pronto se non è stato pensato anche per resistere. La domanda fondamentale che ogni azienda deve porsi cambia: non più solo “il prodotto funziona?”, ma anche “è documentato, aggiornabile, monitorabile e gestibile quando emerge una vulnerabilità?”

Chi si muove con anticipo trasforma l’obbligo in un vantaggio competitivo: processi più robusti, supply chain più affidabile, fiducia dei clienti, accesso a mercati che richiedono conformità. Chi aspetta rischia di trovarsi nel settembre 2026 con obblighi di notifica già attivi  e sanzioni  senza le basi operative per rispettarli. La finestra di lavoro è adesso.

Alchimie Digitali affianca le aziende nel valutare il proprio livello di esposizione normativa e tecnica rispetto al Cyber Resilience Act, progettando percorsi di adeguamento ordinati, comprensibili e sostenibili.

Fonti: Regolamento (UE) 2024/2847 (GU UE 20.11.2024) · Regolamento di esecuzione (UE) 2025/2392 (GU UE 1.12.2025) · Commissione Europea – digital-strategy.ec.europa.eu · ENISA · D.Lgs. 138/2024 (recepimento NIS2 in Italia) · Linee Guida ACN versione 2.0, dicembre 2025

Ultimo aggiornamento: maggio 2026