Il corso Cyber Resilience Act EUCS è un percorso e-learning di 8 ore sul Regolamento (UE) 2024/2847, con accesso per 12 mesi, attestato e Certificazione EUCS di avvenuta formazione.
È rivolto a fabbricanti di hardware e software, importatori, distributori e funzioni aziendali coinvolte nella conformità dei prodotti con elementi digitali. Approfondisce applicabilità, obblighi della filiera, gestione delle vulnerabilità, segnalazioni, documentazione tecnica e marcatura CE.
Richiedi il programma e un preventivo in base al numero di partecipanti e alle esigenze formative della tua organizzazione.
Cos’è il Cyber Resilience Act?
Il Cyber Resilience Act (CRA) è il Regolamento (UE) 2024/2847 del 23 ottobre 2024, che introduce requisiti di cibersicurezza per i prodotti con elementi digitali commercializzati nell’Unione europea e rientranti nel suo ambito di applicazione.
Disciplina la sicurezza fin dalla progettazione, la gestione delle vulnerabilità durante il periodo di assistenza e le procedure di valutazione della conformità e marcatura CE.
Le Scadenze del Cyber Resilience Act
Gli obblighi di segnalazione dei fabbricanti previsti dall’articolo 14 si applicano dal 11 settembre 2026.
L’applicazione generale del regolamento decorre dal 11 dicembre 2027, secondo le disposizioni transitorie previste.
Perché il corso Cyber Resilience Act è strategico
Il Cyber Resilience Act collega la sicurezza informatica alla progettazione, alla commercializzazione e alla gestione delle vulnerabilità dei prodotti con elementi digitali. Per le imprese interessate, prepararsi significa coordinare sviluppo, cybersecurity, compliance e rapporti con i fornitori, individuando responsabilità e attività da pianificare.
Il corso Cyber Resilience Act EUCS traduce il quadro normativo in criteri utili per le decisioni aziendali e aiuta a:
- Verificare l’applicabilità: individuare prodotti e componenti da esaminare, considerando esclusioni e disposizioni transitorie.
- Comprendere le responsabilità: distinguere gli obblighi di fabbricanti, importatori e distributori, anche quando il prodotto è sviluppato da terzi.
- Pianificare la gestione delle vulnerabilità: comprendere requisiti di assistenza, aggiornamenti e obblighi di segnalazione.
- Orientare il percorso di conformità: riconoscere documentazione tecnica, valutazioni e adempimenti necessari per la marcatura CE.
- Coordinare le funzioni aziendali: organizzare informazioni, procedure e controlli tra responsabili tecnici, legal, compliance, qualità e acquisti.
La formazione fornisce una base strutturata per definire priorità, attribuire compiti e documentare le decisioni, in funzione dei prodotti e del ruolo dell’organizzazione nella filiera.
Il percorso può essere affiancato al Corso NIS2 e al Corso DORA per approfondire i rispettivi obblighi di cybersicurezza e resilienza operativa digitale, secondo la disciplina applicabile all’organizzazione.
A chi è rivolto il corso Cyber Resilience Act
| Destinatari | Argomenti | Obiettivi |
|---|---|---|
| Fabbricanti di hardware, software e dispositivi connessi | Sicurezza del prodotto, periodo di assistenza e conformità | Comprendere i requisiti applicabili e le attività da pianificare |
| Importatori, distributori e operatori che commercializzano con il proprio marchio | Obblighi della filiera e controlli sui prodotti | Distinguere le proprie responsabilità e i casi di assunzione degli obblighi del fabbricante |
| CISO e responsabili IT, sviluppo e prodotto | Requisiti di sicurezza, componenti e vulnerabilità | Collegare gli obblighi CRA ai processi tecnici e alla gestione delle vulnerabilità |
| Funzioni legal, compliance, risk management e qualità | Responsabilità, documentazione, procedure e scadenze | Coordinare le attività interne di conformità |
| Consulenti e responsabili acquisti ICT di aziende e PA | Informazioni di conformità, aggiornamenti e assistenza | Valutare le informazioni e gli impegni dei fornitori |
Modalità di erogazione del Corso Cyber Resilience Act
Il corso Cyber Resilience Act EUCS si svolge online in modalità e-learning e prevede 8 ore di formazione, con accesso ai contenuti per 12 mesi. La proposta specifica la decorrenza dell’accesso e le condizioni di completamento.
EUCS calibra il percorso in funzione del ruolo dell’organizzazione, del settore e del livello di esposizione ai rischi di cibersicurezza, di attività e maturità organizzativa.
| Durata | Modalità | Destinatari |
|---|---|---|
| 8 ore | E-learning, Videoconferenza o in Presenza | Manager, Dipendenti e Collaboratori di Aziende, Professionisti e PA |
Attestato e Certificazione EUCS di avvenuta formazione CRA
Al completamento del corso Cyber Resilience Act vengono rilasciati l’attestato e la Certificazione EUCS di avvenuta formazione, che documentano il percorso svolto, la durata e i contenuti trattati.
La documentazione può essere conservata dall’organizzazione come evidenza della formazione nell’ambito dei propri processi di compliance e controllo interno.
L’attestazione riguarda la formazione del partecipante: non costituisce una certificazione di conformità dei prodotti al Cyber Resilience Act e non dimostra, da sola, la conformità normativa dell’organizzazione.
Perché scegliere il Corso Cyber Resilience Act EUCS
Il Corso Cyber Resilience Act EUCS si caratterizza per:
- approccio normativo rigoroso e strutturato
- linguaggio chiaro e orientato al contesto aziendale
- coerenza con il quadro regolatorio europeo
- formazione tracciabile e documentabile nell’ambito dei sistemi di controllo interno
- esperienza consolidata di EUCS in cybersecurity e compliance normativa.
Dr. Eric Falzone
Docente e Responsabile Cybersecurity Academy EUCSEric Falzone docente ed esperto in sicurezza informatica coordina l’area formativa Cybersecurity dell’Academy EUCS. Progetta corsi di sicurezza informatica calibrati sui ruoli, sui sistemi utilizzati, sui rischi cyber e sul contesto operativo e supporta le organizzazioni nella definizione e documentazione delle iniziative formative adottate nell’ambito dei programmi di cybersecurity, gestione del rischio informatico e consapevolezza del personale. Profilo LinkedIn di Eric Falzone
Domande frequenti sul corso Cyber Resilience Act
Il corso Cyber Resilience Act EUCS dura 8 ore e offre 12 mesi di accesso in modalità e-learning. La proposta specifica la decorrenza del periodo di accesso e le condizioni di completamento.
Il percorso ha un taglio giuridico e organizzativo: i concetti tecnici sono spiegati in relazione agli obblighi del CRA. È pensato anche per funzioni legal, compliance e acquisti, senza richiedere attività di programmazione.
Il Cyber Resilience Act non impone a tutte le aziende un corso standard o un attestato denominato “CRA”. La formazione va valutata in base a prodotti, ruoli e responsabilità. La partecipazione al corso sostiene la comprensione degli obblighi, ma non dimostra da sola la conformità dell’organizzazione.
La quota di partecipazione è definita su preventivo, in base al numero di partecipanti e alla proposta richiesta. Compila il modulo per ricevere il programma e una proposta economica per la tua organizzazione.
Una PMI può rientrare nel CRA: la dimensione dell’impresa non determina un’esclusione generale. Occorre verificare prodotto, attività e ruolo nella filiera, considerando le disposizioni specifiche previste per microimprese e PMI.
No. L’esclusione riguarda il software libero e open source fornito al di fuori di un’attività commerciale. La gratuità, da sola, non dimostra l’assenza di un’attività commerciale. L’integrazione di componenti open source in un prodotto soggetto al CRA non esonera il fabbricante dai propri obblighi. Sono inoltre previste disposizioni specifiche per i gestori di software open source. CRA, considerando 18 e articolo 24
La qualificazione come cloud o SaaS non basta a stabilire l’applicabilità. Il CRA comprende le soluzioni di elaborazione dati da remoto progettate e sviluppate dal fabbricante, o sotto la sua responsabilità, senza le quali il prodotto non potrebbe svolgere una delle sue funzioni. Occorre analizzare il rapporto tra servizio e prodotto.
Il periodo di assistenza deve riflettere la durata di utilizzo prevista del prodotto ed è di almeno cinque anni. Se l’utilizzo previsto è inferiore, il periodo corrisponde a tale durata. Cinque anni non costituiscono un tetto massimo: rilevano anche natura del prodotto e ragionevoli aspettative degli utilizzatori. CRA, articolo 13, paragrafo 8
Il Cyber Resilience Act, Regolamento (UE) 2024/2847, disciplina la cibersicurezza dei prodotti con elementi digitali e gli obblighi degli operatori. Il Cybersecurity Act, Regolamento (UE) 2019/881, riguarda ENISA e il quadro europeo di certificazione della cibersicurezza. EUCS propone un Corso specifico sul Cybersecurity Act
Richiedi il programma e il preventivo del corso Cyber Resilience Act
Organizza la formazione CRA delle persone che sviluppano, commercializzano e valutano i tuoi prodotti digitali.
Compila il modulo indicando organizzazione, settore e numero indicativo di partecipanti.
Riceverai il programma del Corso Cyber Resilience Act e una proposta economica per le tue esigenze formative.
In alternativa scrivi a info@eucs.it o chiama il numero +39 0331 939021 dal lunedì al venerdì dalle 08:30 alle 12:30 o dalle 14:30 alle 18:30.
Programma del Corso Cyber Resilience Act – Regolamento (UE) 2024/2847
Durata: 60 minuti
Obiettivo: comprendere quando un prodotto rientra nel CRA e quali scadenze considerare.
- Finalità e struttura del Cyber Resilience Act.
- Definizione di prodotto con elementi digitali: hardware, software e componenti commercializzati separatamente.
- Connessione diretta o indiretta a dispositivi e reti.
- Soluzioni di elaborazione dati da remoto: criteri per valutare il rapporto tra prodotto, cloud e SaaS.
- Messa a disposizione e immissione sul mercato dell’Unione europea.
- Attività commerciale e software libero e open source.
- Esclusioni e rapporti con le discipline settoriali.
- Entrata in vigore del 10 dicembre 2024, applicazione del capo IV dall’11 giugno 2026, obblighi di segnalazione dall’11 settembre 2026 e applicazione generale dall’11 dicembre 2027.
- Prodotti già immessi sul mercato, modifiche sostanziali e disposizioni transitorie.
- Distinzione tra disposizioni vincolanti e orientamenti interpretativi.
Caso applicativo: prima analisi del perimetro CRA di un software aziendale e di un dispositivo connesso dotato di funzionalità cloud.
Le scadenze e il regime transitorio sono disciplinati dagli articoli 69 e 71 del Regolamento (UE) 2024/2847.
Durata: 60 minuti
Obiettivo: distinguere gli obblighi dell’organizzazione in funzione delle attività effettivamente svolte.
- Fabbricanti di hardware e software: ruolo e principali responsabilità.
- Rappresentanti autorizzati, importatori e distributori.
- Prodotti sviluppati da terzi e commercializzati con il proprio nome o marchio.
- Casi in cui importatori, distributori o altri soggetti assumono gli obblighi del fabbricante.
- Effetti delle modifiche sostanziali apportate ai prodotti.
- Gestori di software open source e relativo regime.
- Controlli sulle forniture e informazioni da acquisire lungo la filiera.
- Cooperazione con le autorità e gestione delle non conformità.
- Ruolo di consulenti e responsabili acquisti ICT di aziende e Pubbliche Amministrazioni.
Caso applicativo: individuazione delle responsabilità di un’impresa che vende con il proprio marchio un dispositivo realizzato da un fornitore esterno.
Durata: 75 minuti
Obiettivo: comprendere come collegare i requisiti CRA alle caratteristiche e ai rischi del prodotto.
- Struttura dell’allegato I e requisiti relativi alle proprietà dei prodotti.
- Valutazione documentata dei rischi di cibersicurezza.
- Finalità prevista, utilizzo ragionevolmente prevedibile e ambiente operativo.
- Sicurezza fin dalla progettazione e per impostazione predefinita: security by design e security by default.
- Vulnerabilità sfruttabili note e condizioni di messa a disposizione sul mercato.
- Controllo degli accessi, autenticazione e protezione da utilizzi non autorizzati.
- Riservatezza, integrità e disponibilità di dati e funzioni.
- Minimizzazione dei dati, riduzione della superficie di attacco e limitazione dell’impatto degli incidenti.
- Aggiornamenti, registrazione degli eventi e cancellazione sicura dei dati.
- Prove, riesami e aggiornamento della valutazione dei rischi.
Caso applicativo: lettura guidata di una valutazione dei rischi e individuazione dei requisiti pertinenti per un prodotto connesso.
Durata: 75 minuti
Obiettivo: comprendere i processi necessari per gestire vulnerabilità e aggiornamenti durante il periodo di assistenza.
- Identificazione e documentazione dei componenti software.
- Software Bill of Materials — SBOM: funzione, contenuti e dipendenze di primo livello.
- Componenti di terzi e integrazione di software open source.
- Raccolta, valutazione e trattamento delle segnalazioni di vulnerabilità.
- Politica di divulgazione coordinata delle vulnerabilità e punto di contatto.
- Coordinamento con sviluppatori, manutentori e fornitori.
- Correzione delle vulnerabilità e distribuzione sicura degli aggiornamenti.
- Informazioni agli utilizzatori sulle vulnerabilità risolte e sulle misure da adottare.
- Determinazione del periodo di assistenza in relazione alla durata di utilizzo prevista.
- Soglia minima ordinaria di cinque anni, eccezione per prodotti con utilizzo previsto inferiore e casi che richiedono periodi più lunghi.
- Distinzione tra periodo di assistenza e disponibilità degli aggiornamenti già rilasciati.
Caso applicativo: gestione di una vulnerabilità individuata in una libreria di terzi, dalla verifica dei prodotti interessati al coordinamento dell’aggiornamento.
Durata: 75 minuti
Obiettivo: riconoscere gli eventi rilevanti e comprendere termini, destinatari e flussi informativi.
- Definizione di vulnerabilità attivamente sfruttata.
- Incidenti gravi che hanno un impatto sulla sicurezza del prodotto.
- Differenza tra segnalazioni obbligatorie e volontarie.
- Individuazione del momento della conoscenza dell’evento e attivazione delle funzioni responsabili.
- Preallarme entro 24 ore e notifica entro 72 ore dalla conoscenza, senza indebito ritardo e secondo le condizioni dell’articolo 14.
- Relazione finale sulle vulnerabilità: termine di 14 giorni dalla disponibilità di una misura correttiva o di attenuazione, salvo informazioni pertinenti già fornite.
- Relazione finale sugli incidenti gravi: termine di un mese dalla trasmissione della notifica dell’incidente prevista entro 72 ore, salvo informazioni pertinenti già fornite.
- Ruolo del CSIRT designato come coordinatore, di ENISA e della piattaforma unica di segnalazione.
- Comunicazioni agli utilizzatori e protezione delle informazioni sensibili.
- Condizioni del ritardo nella diffusione delle notifiche da parte dei CSIRT: distinzione rispetto ai termini di segnalazione del fabbricante.
- Coordinamento con gli altri obblighi di notifica eventualmente applicabili.
Caso applicativo: ricostruzione della sequenza operativa di una segnalazione, dalla conoscenza dell’evento alla relazione finale.
Il modulo considera l’articolo 14 del CRA, le indicazioni della Commissione sulle segnalazioni e il Regolamento delegato (UE) 2026/881, in vigore dal 10 maggio 2026.
Durata: 90 minuti
Obiettivo: orientarsi nel percorso di conformità e riconoscere la documentazione necessaria.
- Classificazione dei prodotti e individuazione della funzionalità principale.
- Prodotti importanti di classe I e classe II e prodotti critici.
- Descrizioni tecniche delle categorie previste dal Regolamento di esecuzione (UE) 2025/2392.
- Procedure di valutazione della conformità e condizioni per il loro utilizzo.
- Controllo interno, esame UE del tipo seguito dalla conformità al tipo e garanzia della qualità totale.
- Casi di intervento degli organismi notificati.
- Norme armonizzate, specifiche comuni e presunzione di conformità.
- Rapporti con gli schemi europei di certificazione della cibersicurezza, nei limiti previsti dal CRA.
- Contenuti della documentazione tecnica e collegamento con la valutazione dei rischi.
- Dichiarazione di conformità UE e regole sulla marcatura CE.
- Informazioni e istruzioni per gli utilizzatori.
- Aggiornamento e conservazione della documentazione.
Caso applicativo: esame guidato dell’indice di un fascicolo tecnico e individuazione delle informazioni mancanti.
La classificazione considera il Regolamento di esecuzione (UE) 2025/2392, in vigore dal 21 dicembre 2025; le procedure sono approfondite secondo gli articoli 27–32 del CRA e il quadro istituzionale sulla valutazione della conformità.
Durata: 45 minuti
Obiettivo: contribuire alla definizione delle priorità e al coordinamento delle attività aziendali.
- Mappatura dei prodotti, dei ruoli nella filiera e delle funzioni coinvolte.
- Individuazione delle attività mancanti rispetto ai requisiti applicabili.
- Assegnazione di responsabilità, scadenze e flussi informativi.
- Coordinamento tra sviluppo, cybersecurity, legal, compliance, qualità e acquisti.
- Informazioni e impegni da gestire nei rapporti con i fornitori.
- Evidenze documentali e controlli sullo stato di avanzamento.
- Vigilanza del mercato, misure correttive, ritiro e richiamo dei prodotti.
- Quadro sanzionatorio, criteri di applicazione e deroghe previste.
- Distinzioni e punti di coordinamento con Cybersecurity Act, NIS2, DORA e GDPR.
Caso applicativo: costruzione di una prima matrice delle attività, con priorità, responsabili, scadenze ed evidenze da raccogliere.
