Il Cyber Resilience Act impone requisiti di cybersicurezza a tutti i prodotti con elementi digitali (hardware e software) immessi sul mercato dell'Unione europea. SYAGA vi accompagna nella comprensione dei vostri obblighi e nella costruzione del vostro fascicolo di conformità, senza improvvisare.
Il Cyber Resilience Act (CRA) è un testo europeo orizzontale sulla cybersicurezza dei prodotti digitali
Il CRA copre i prodotti con elementi digitali (hardware connesso, software, firmware) destinati a essere immessi sul mercato dell'UE, con requisiti di cybersicurezza lungo tutto il ciclo di vita del prodotto.
Fabbricante, importatore o distributore: il regolamento distribuisce obblighi diversi a seconda della vostra posizione nella catena di immissione sul mercato, sul modello già utilizzato da altre normative europee sui prodotti.
Il testo è entrato in vigore il 10 dicembre 2024 e prevede un'applicazione a livelli nel tempo. Le scadenze precise per la vostra situazione devono essere verificate presso il testo ufficiale.
Come per gli altri recenti testi europei sulla cybersicurezza, la messa in conformità CRA richiede un metodo (mappatura dei prodotti, analisi degli scostamenti, documentazione tecnica) che la maggior parte degli editori e fabbricanti non ha ancora avviato per mancanza di risorse interne dedicate.
Il CRA si rivolge agli operatori economici che immettono prodotti digitali sul mercato dell'UE
Aziende che progettano o fanno progettare prodotti con elementi digitali (hardware, software, firmware) commercializzati con il proprio nome o marchio.
Aziende che immettono sul mercato dell'UE un prodotto digitale progettato al di fuori dell'Unione.
Aziende che mettono a disposizione un prodotto sul mercato dell'UE senza esserne il fabbricante né l'importatore.
Un approccio strutturato per mappare i vostri prodotti, misurare gli scostamenti e costruire il vostro piano di messa in conformità
Colloquio con la direzione o il team R&S per identificare i prodotti potenzialmente coinvolti dal CRA (hardware connesso, software incorporato, firmware) e il vostro ruolo di operatore economico (fabbricante, importatore, distributore).
Mappatura dei vostri prodotti digitali e dei loro attuali elementi di cybersicurezza (gestione delle vulnerabilità, aggiornamenti di sicurezza, documentazione esistente), confrontata con i requisiti del regolamento.
Piano di messa in conformità prioritizzato: cosa deve essere trattato per primo, cosa può attendere le prossime scadenze normative, e le risorse da mobilitare internamente.
Accompagnamento nella strutturazione della documentazione tecnica attesa dal regolamento (descrizione del prodotto, gestione dei rischi di cybersicurezza, procedure di trattamento delle vulnerabilità).
Restituzione della diagnosi e del piano d'azione alla direzione, con consegna dei documenti modificabili per l'appropriazione da parte dei vostri team.
Una diagnosi e una roadmap per gestire la vostra conformità CRA
Inventario dei vostri prodotti con elementi digitali e qualificazione della loro esposizione al regolamento.
Sintesi degli scostamenti tra la vostra pratica attuale e i requisiti del regolamento.
Roadmap prioritizzata per colmare gli scostamenti identificati.
Accompagnamento nella strutturazione della documentazione attesa dal regolamento.
Monitoraggio dei testi di applicazione e dei chiarimenti ufficiali pubblicati sul CRA.
Tutti i documenti in formati che potete modificare e far vivere internamente.
Il CRA non sostituisce i vostri altri progetti di conformità, li completa
NIS2 disciplina la gestione dei rischi informatici delle organizzazioni essenziali e importanti; il CRA disciplina la sicurezza dei prodotti digitali che esse utilizzano o commercializzano. I due testi sono complementari.
Un sistema di gestione della sicurezza delle informazioni già in atto facilita la strutturazione dei processi di gestione delle vulnerabilità richiesti dal CRA.
Se il vostro prodotto digitale tratta dati personali, i requisiti di sicurezza del CRA si sovrappongono in parte alle misure tecniche e organizzative attese dall'articolo 32 del GDPR.
Se il vostro prodotto integra componenti di intelligenza artificiale, il CRA e l'AI Act possono applicarsi congiuntamente a seconda della natura del prodotto. Un punto da chiarire caso per caso con il vostro consulente legale.
Ogni prodotto, ogni perimetro è diverso: elaboriamo un preventivo adatto alla vostra situazione
Un prodotto, un perimetro ristretto
Più prodotti, messa in conformità attiva
Gamma di prodotti, ciclo di conformità continuo
Quello che dice realmente il testo del CRA, spiegato in modo semplice. Ogni punto rimanda alla fonte ufficiale (EUR-Lex o Commissione europea) affinché possiate verificare da soli.
Il Cyber Resilience Act è un regolamento europeo (Regolamento UE 2024/2847) che stabilisce
regole di cybersicurezza per i prodotti digitali - hardware e software - venduti nell'Unione
europea. È entrato in vigore il 10 dicembre 2024.
fonte ufficiale ↗
Qualsiasi prodotto con elementi digitali destinato a connettersi, direttamente o
indirettamente, a un dispositivo o a una rete. Sono esclusi i prodotti già disciplinati da
altri testi europei: dispositivi medici, veicoli, aeronautica, apparecchiature marine, pezzi
di ricambio identici, o prodotti concepiti esclusivamente per la difesa/sicurezza nazionale.
fonte ufficiale (Articolo 2) ↗
10 dicembre 2024: il testo è entrato in vigore.
11 giugno 2026: le autorità incaricate di farlo rispettare devono essere
operative. 11 settembre 2026: iniziano gli obblighi di segnalazione delle
falle e degli incidenti. 11 dicembre 2027: la maggior parte degli obblighi,
inclusa la marcatura CE, diventa applicabile.
fonte ufficiale (Articolo 71) ↗
Se una vulnerabilità attivamente sfruttata o un incidente grave colpisce il vostro
prodotto, il regolamento impone di avvisare le autorità: un primo allarme entro
24 ore, una notifica più dettagliata entro 72 ore, poi un
rapporto finale al più tardi 14 giorni dopo la messa a disposizione di una
correzione.
fonte ufficiale (Articolo 14) ↗
Il testo distingue categorie di prodotti ritenute più sensibili (ad esempio antivirus,
VPN, gestori di password, sistemi operativi, router, oggetti connessi per la sicurezza
domestica) e prodotti "critici" (ad esempio smart card, gateway per contatori intelligenti),
soggetti a requisiti rafforzati.
fonte ufficiale (Allegati III e IV) ↗
Fino a 15 milioni di euro o il 2,5% del fatturato mondiale (l'importo più
elevato) per le violazioni più gravi dei requisiti di sicurezza di base. Fino a
10 milioni o il 2% per altri obblighi, e fino a 5 milioni o l'1%
in caso di informazioni fuorvianti fornite alle autorità. Le microimprese e le piccole imprese
beneficiano di una deroga specifica sul ritardo del termine di 24 ore di segnalazione.
fonte ufficiale (Articolo 64) ↗
Il CRA completa la direttiva NIS2 e si basa sulla strategia di cybersicurezza dell'UE del
2020. Sarà necessaria una marcatura CE per attestare la conformità, e saranno le autorità
nazionali di vigilanza del mercato a controllarne l'applicazione.
fonte ufficiale (Commissione europea) ↗
Il regolamento fissa 3 livelli di multa a seconda della gravità della violazione. Ecco cosa dice esattamente il testo ufficiale, senza arrotondamenti né approssimazioni.
Mancato rispetto dei requisiti di cybersicurezza di base (Allegato I) o degli obblighi dei fabbricanti (Articoli 13 e 14: progettazione sicura, gestione delle vulnerabilità, segnalazione degli incidenti).
Violazioni degli obblighi dei rappresentanti autorizzati, della dichiarazione UE di conformità (marcatura CE), dei requisiti relativi agli organismi notificati e dell'accesso ai dati richiesto dalle autorità (Articoli da 18 a 53 a seconda dei casi).
Fornitura di informazioni scorrette, incomplete o fuorvianti a un organismo notificato o a un'autorità di vigilanza del mercato che vi interroga.
fonte ufficiale - Regolamento (UE) 2024/2847, Articolo 64, paragrafi da 2 a 4 ↗
Sono le autorità nazionali di vigilanza del mercato di ciascuno Stato membro ad applicare queste multe (non direttamente la Commissione europea). A seconda del sistema giuridico del paese, la multa può anche essere irrogata da un tribunale nazionale competente. Le autorità dei diversi Stati membri si comunicano reciprocamente le multe applicate.
Il testo non impone un importo automatico: l'autorità deve tener conto, caso per caso:
Il testo prevede una sola deroga quantificata: i fabbricanti che sono micro o piccole imprese non sono esposti alle multe dei livelli 2 e 3 se superano soltanto il termine di segnalazione dell'incidente previsto dall'articolo 14 (24h/72h/rapporto finale). Per tutto il resto (requisiti di sicurezza, marcatura CE, informazioni fuorvianti...), si applicano gli stessi massimali, a prescindere dalle dimensioni dell'impresa. I responsabili di software open source ("open-source software stewards") beneficiano invece di un'esenzione più ampia.
Il regime sanzionatorio (Articolo 64) segue la data generale di applicazione del regolamento, ossia l'11 dicembre 2027 - non fa parte delle rare eccezioni che si applicano prima (obblighi di segnalazione dei fabbricanti già dall'11 settembre 2026, istituzione delle autorità dall'11 giugno 2026). In concreto: al 18 luglio 2026, questo regime sanzionatorio non è ancora in vigore, e nessuna multa CRA ha quindi ancora potuto essere irrogata. È anche per questo che non mostriamo qui esempi di sanzioni reali: non ce ne sono ancora, e non ne inventeremo.
Niente gergo da avvocati: risposte semplici, ciascuna basata sul testo ufficiale che la fonda.
Il regolamento non si applica tutto insieme: avanza per fasi, su più anni. Ecco le date che contano davvero, in ordine, con ciò che significano concretamente per voi. Ogni data rimanda al testo ufficiale per la verifica.
Il testo del regolamento (UE) 2024/2847 è pubblicato nella Gazzetta ufficiale
dell'Unione europea. È il punto di partenza del conto alla rovescia: tutte le scadenze
successive si calcolano a partire da questa data.
fonte ufficiale (EUR-Lex, pubblicazione) ↗
Il regolamento entra in vigore venti giorni dopo la sua pubblicazione (regola standard
per i testi europei). Il testo esiste quindi giuridicamente da questa data - ma la
stragrande maggioranza degli obblighi concreti per le imprese non è ancora dovuta: arriva
per fasi, si veda il seguito del calendario.
fonte ufficiale (Articolo 71 §1) ↗
Il capitolo del regolamento dedicato agli organismi incaricati di valutare la
conformità dei prodotti ("organismi notificati") si applica a questa data. È una fase di
organizzazione lato Stati membri: non è ancora una scadenza diretta per la vostra
impresa.
fonte ufficiale (Articolo 71 §2, capitolo IV) ↗
È la prima scadenza che vi riguarda davvero. Da questa data, qualsiasi vulnerabilità
attivamente sfruttata o qualsiasi incidente grave che colpisca uno dei vostri prodotti
digitali deve essere segnalato alle autorità secondo termini rigorosi: un primo allarme
entro 24 ore, una notifica dettagliata entro 72 ore, poi
un rapporto finale (14 giorni dopo la correzione per una vulnerabilità, 1 mese dopo la
notifica per un incidente).
fonte ufficiale (Articolo 71 §2, Articolo 14) ↗
Gli Stati membri devono "adoperarsi" per avere istituito abbastanza organismi
notificati da evitare ingorghi amministrativi, un anno prima dell'entrata in applicazione
generale. Non è un obbligo vincolante per le imprese, ma una tappa organizzativa lato
amministrazioni.
fonte ufficiale (Articolo 35 §2) ↗
È LA data strutturante da ricordare. Marcatura CE, rispetto dei requisiti essenziali di
cybersicurezza (documentazione tecnica, gestione del ciclo di vita delle vulnerabilità,
aggiornamenti di sicurezza...): la quasi totalità degli obblighi del CRA diventa opponibile
a questa data per i prodotti immessi sul mercato.
fonte ufficiale (Articolo 71 §2) ↗
Se i vostri prodotti sono già coperti da un'altra normativa europea (ad esempio
apparecchiature radio o macchine) e dispongono già di un certificato di cybersicurezza
ottenuto sotto questo testo, quest'ultimo resta valido al più tardi fino a questa data,
salvo scadenza anticipata.
fonte ufficiale (Articolo 69 §1) ↗
Oltre ai tre ruoli (fabbricante, importatore, distributore), ecco cosa dice precisamente il testo: il criterio che attiva il regolamento, ciò che ne è escluso, ed esempi concreti di prodotti per capire se siete interessati, senza gergo tecnico.
Il criterio adottato dal regolamento non è un elenco di settori, è un criterio tecnico:
la connettività. Il testo si applica a qualsiasi "prodotto con elementi digitali"
il cui uso previsto, o ragionevolmente prevedibile, comporta una connessione logica o
fisica, diretta o indiretta, a un dispositivo o a una rete. Un oggetto che non si connette
mai a nulla resta fuori dal campo di applicazione; un software, un'app, un componente integrato che
dialoga con una rete vi rientra, indipendentemente dalle sue dimensioni o dal suo settore.
fonte ufficiale, Regolamento (UE) 2024/2847, Articolo 2 §1 ↗
Chi sviluppa o fa sviluppare un prodotto digitale e lo commercializza con il proprio nome o marchio. Il testo precisa esplicitamente che lo status di fabbricante si applica "sia dietro pagamento, sia tramite monetizzazione, sia a titolo gratuito": offrire un prodotto gratuito non basta per uscire dal campo di applicazione.
Qualsiasi persona stabilita nell'UE che immette sul mercato europeo un prodotto recante il nome o il marchio di una persona stabilita al di fuori dell'Unione. Una PMI che rivende in Italia, a proprio nome, materiale connesso fabbricato fuori dall'UE assume questo ruolo, con gli obblighi che comporta.
Qualsiasi persona della catena di fornitura, diversa dal fabbricante o dall'importatore, che mette a disposizione un prodotto sul mercato dell'UE senza modificarne le proprietà. È il ruolo predefinito di un rivenditore o di un integratore che non tocca il prodotto.
Già coperti dalla propria normativa di sicurezza (Regolamenti (UE) 2017/745 e 2017/746): il CRA non si aggiunge.
Coperti dal regolamento sull'omologazione (UE) 2019/2144, che disciplina già la cybersicurezza dei veicoli.
I prodotti certificati secondo il regolamento (UE) 2018/1139 sull'aviazione civile restano sotto questo quadro settoriale dedicato.
Le apparecchiature disciplinate dalla direttiva 2014/90/UE sulle apparecchiature marine hanno un proprio regime e sfuggono al CRA.
Un pezzo di ricambio fabbricato secondo le stesse specifiche del componente originale che sostituisce non è un nuovo prodotto ai sensi del CRA.
I prodotti sviluppati o modificati esclusivamente per la difesa o la sicurezza nazionale, o concepiti per trattare informazioni classificate, sono fuori dal campo di applicazione.
Il regolamento stesso elenca categorie di prodotti ritenute "importanti" (sorveglianza rafforzata) o "critiche" (il livello di requisiti più elevato). Sono solo esempi illustrativi tra tutti i prodotti connessi coperti, ma danno un'idea molto concreta dei settori presi di mira in via prioritaria.
elenco completo, fonte ufficiale, Allegati III e IV del regolamento ↗
Questa definizione ufficiale è quella che il regolamento utilizza ovunque menzioni le micro, piccole e medie imprese (documentazione semplificata, deroghe mirate sulle multe già dettagliate sopra). fonte ufficiale, Raccomandazione 2003/361/CE, Articolo 2 dell'allegato ↗
In Europa, ogni paese ha le proprie autorità. Ecco, per i 30 paesi dello Spazio economico europeo, l'autorità di protezione dei dati (il vostro interlocutore per il GDPR) e l'autorità nazionale di cybersicurezza. Ogni nome rimanda al sito ufficiale.
Fonti: siti ufficiali delle autorità ed elenco dei membri dell'EDPB (edpb.europa.eu), consultati il 18 luglio 2026. Autorità di protezione dei dati confermate: 30/30. Autorità di cybersicurezza confermate: 28/30. Le indicazioni "da confermare" segnalano una fonte ufficiale non ancora stabilizzata a questa data.
Contattateci per ricevere un preventivo adatto ai vostri prodotti e alla vostra situazione.
Gratis: il vostro punteggio + i vostri scostamenti. Il rapporto dettagliato e l'attestazione: 499 € + IVA, solo se decidete voi.
contact@syaga.eu