La Commissione europea ha pubblicato il 27 luglio 2026 le linee guida ufficiali (Comunicazione C(2026) 5252) per l'applicazione del Cyber Resilience Act. Dall'11 settembre 2026 scatta l'obbligo, per fabbricanti, sviluppatori e operatori economici, di segnalare vulnerabilità e incidenti gravi sui prodotti con elementi digitali immessi sul mercato UE. Le linee guida non sono vincolanti, ma chiariscono come interpretare ambito di applicazione, software open source, modifiche sostanziali e periodi di supporto.
Il regolamento (UE) 2024/2847, il Cyber Resilience ActIl primo regolamento europeo che impone requisiti orizzontali obbligatori di cybersicurezza per hardware, software e firmware con elementi digitali venduti nel mercato UE., è in vigore dal dicembre 2024 ma procede per scadenze scaglionate. Con la pubblicazione delle linee guida di fine luglio, la Commissione ha voluto dare alle imprese, in particolare alle PMI, uno strumento operativo per prepararsi in tempo alla prima scadenza davvero sanzionabile: quella dell'11 settembre 2026 sugli obblighi di segnalazione previsti dall'articolo 14.
Cosa contiene la Comunicazione C(2026) 5252
Il documento, circa 80 pagine articolate in nove sezioni, è il risultato del confronto tra istituzioni, imprese ed esperti di cybersicurezza riuniti nel CRA Expert Group, a cui partecipa anche l'Agenzia per la Cybersicurezza Nazionale (ACN). Non è un testo vincolante, solo la Corte di Giustizia UE può fornire un'interpretazione autentica del regolamento, ma è il riferimento più aggiornato su come le autorità di vigilanza e gli organismi notificati leggeranno in pratica il CRA. Le linee guida si concentrano su quattro nodi in particolare:
Le scadenze del Cyber Resilience Act, aggiornate a luglio 2026
| Data | Cosa entra in vigore |
|---|---|
| 10 dicembre 2024 | Entrata in vigore del Regolamento (UE) 2024/2847 |
| 11 giugno 2026 | Applicazione del Capo IV (artt. 35–51): operatività delle autorità di vigilanza e degli organismi di valutazione della conformità |
| 27 luglio 2026 | Pubblicazione delle linee guida della Commissione, Comunicazione C(2026) 5252 |
| 11 settembre 2026 | Obbligo di segnalazione, ex art. 14, delle vulnerabilità attivamente sfruttate e degli incidenti gravi al CSIRT nazionale e a ENISA |
| 11 dicembre 2027 | Piena applicazione del regolamento: requisiti essenziali, secure by design, SBOMSoftware Bill of Materials: l'elenco machine-readable dei componenti software di un prodotto, incluse le dipendenze open source, richiesto dall'Allegato I del CRA. e marcatura CE cybersecurity |
Chi scopre una vulnerabilità attivamente sfruttata sul proprio prodotto dovrà inviare un primo allarme (early warning) entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro 14 giorni dalla disponibilità della misura correttiva, attraverso la piattaforma unica di segnalazione gestita da ENISA.
Cosa devono fare ora le aziende
Le linee guida non spostano le scadenze, ma tolgono l'alibi dell'incertezza normativa. Per un produttore, importatore o distributore di prodotti con elementi digitali, muoversi entro l'11 settembre significa concretamente:
Mappa i prodottiVerifica quali prodotti con elementi digitali già in commercio rientrano nell'ambito del CRA, comprese le componenti software di terze parti.
Struttura la gestione vulnerabilitàTrasforma un'attività occasionale in un processo interno, con un inventario aggiornato dei componenti.
Prepara il canale di segnalazionePredisponi una procedura per notificare CSIRT ed ENISA entro le tempistiche a cascata dell'art. 14.
Allinea le altre normativeVerifica la coerenza con GDPR e NIS2, senza trattare ogni normativa come un percorso separato.
Il testo integrale del Regolamento (UE) 2024/2847 è consultabile qui sotto, direttamente nella pagina, senza dover uscire dal sito.
Resta aggiornato su normative e cybersecurityAggiungi adigitali.it alle tue fonti preferite su Google.
Perché la certificazione ISO conta anche per il Cyber Resilience Act
Il CRA non impone alle aziende di dotarsi internamente di una figura certificata come lead auditorProfessionista qualificato a condurre audit di certificazione su un sistema di gestione ISO, verificandone la conformità allo standard., per i prodotti a rischio standard il regolamento prevede l'autovalutazione del fabbricante, mentre per le categorie importanti e critiche interviene un organismo notificato esterno. Detto questo, avere in squadra competenze di audit certificate resta un vantaggio concreto quando si tratta di dimostrare, documentare e mantenere nel tempo processi di sicurezza coerenti con GDPR, NIS2 e CRA.
In Alchimie Digitali questo percorso è già avviato: dall'8 giugno 2026 l'azienda lavora con Complaion Srl per le certificazioni ISO 9001:2015 e ISO 27001:2022, con l'audit di certificazione previsto entro settembre 2026. In parallelo, il CEO Pietro Suffritti sta conseguendo la certificazione personale di Lead Auditor ISO 27001 e, successivamente, quella per la ISO 9001, un ulteriore presidio di competenza interna sugli audit di sicurezza delle informazioni e di qualità dei processi.
👉 Leggi il percorso di certificazione ISO 9001 e ISO 27001 di Alchimie Digitali
Glossario rapido
Nel testo trovi alcuni termini tecnici con un tooltip esplicativo al passaggio del mouse o al tocco su mobile: Cyber Resilience ActIl primo regolamento europeo che impone requisiti orizzontali obbligatori di cybersicurezza per hardware, software e firmware con elementi digitali venduti nel mercato UE., SBOMSoftware Bill of Materials: l'elenco machine-readable dei componenti software di un prodotto, incluse le dipendenze open source, richiesto dall'Allegato I del CRA. e lead auditorProfessionista qualificato a condurre audit di certificazione su un sistema di gestione ISO, verificandone la conformità allo standard..
Domande frequenti sulle linee guida del Cyber Resilience Act
Le linee guida del 27 luglio 2026 sono obbligatorie?
No. Sono orientamenti non vincolanti pubblicati dalla Commissione europea ai sensi dell'articolo 26 del CRA. Solo la Corte di Giustizia dell'Unione Europea può fornire un'interpretazione autentica del regolamento, ma le autorità di vigilanza nazionali e gli organismi notificati le useranno come riferimento per una lettura uniforme.
Cosa cambia dall'11 settembre 2026?
Scatta l'obbligo, ex articolo 14 del Regolamento (UE) 2024/2847, di segnalare al CSIRT dello Stato membro e a ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi sui prodotti con elementi digitali già immessi sul mercato UE, con un primo allarme entro 24 ore dalla scoperta.
Il Cyber Resilience Act si applica anche alle PMI?
Sì. Le linee guida dedicano particolare attenzione a micro, piccole e medie imprese, perché il CRA si applica a chiunque produca, importi o distribuisca prodotti con elementi digitali nel mercato UE, indipendentemente dalle dimensioni dell'azienda.
Il CRA richiede una figura interna certificata come lead auditor?
No, il regolamento non lo prevede. Per i prodotti a rischio standard è richiesta l'autovalutazione del fabbricante, mentre per le categorie di prodotti importanti e critici interviene un organismo notificato esterno accreditato. Una competenza interna di audit certificata, come nel caso di Alchimie Digitali, resta comunque un valore aggiunto per gestire in modo strutturato la conformità a CRA, NIS2 e GDPR.
Le persone chiedono anche
Quali prodotti rientrano nel Cyber Resilience Act?
Prodotti hardware e software con elementi digitali destinati al mercato UE: dispositivi IoT, router, smart home, wearable, sistemi operativi, firewall, VPN, browser, antivirus e simili, oltre a componenti software integrati in macchinari e sistemi industriali.
Cosa succede a chi non rispetta gli obblighi del CRA?
Il regolamento prevede un sistema di sanzioni su più livelli di gravità, proporzionate al tipo di violazione, a carico di fabbricanti, importatori e distributori che non rispettano i requisiti essenziali o gli obblighi di segnalazione.
Qual è la differenza tra CRA e NIS2?
Il CRA riguarda la sicurezza dei prodotti con elementi digitali lungo tutto il ciclo di vita, mentre la NIS2 impone obblighi di gestione del rischio e notifica degli incidenti ai soggetti che operano in settori considerati critici. Le due normative sono complementari e spesso condividono gli stessi processi di gestione delle vulnerabilità.
Vuoi capire se la tua azienda è pronta per l'11 settembre 2026?
Il team di Alchimie Digitali affianca le imprese nella gestione delle vulnerabilità, nella compliance normativa e nel percorso verso le certificazioni ISO 9001 e ISO 27001.
Parliamone insieme