A cura di: Team Cybersecurity & Resilience EUCS
Revisione: Dr. Eric Falzone – Cybersecurity & Resilience Officer – EUCS
Aggiornato:
La consulenza Cyber Resilience Act (CRA) di EUCS affianca fabbricanti, software house, importatori e distributori nell’adeguamento al Regolamento (UE) 2024/2847 sulla sicurezza dei prodotti con elementi digitali.
Verifichiamo se il Cyber Resilience Act (CRA) si applica ai tuoi prodotti, quali obblighi assume la tua impresa e quali interventi sono necessari. Su questa base, definiamo un piano di adeguamento con priorità, responsabilità e scadenze.
Il percorso può comprendere classificazione dei prodotti, analisi delle carenze rispetto ai requisiti applicabili (gap analysis), gestione delle vulnerabilità, procedure di segnalazione e documentazione per la valutazione della conformità e la marcatura CE.
Le scadenze del Cyber Resilience Act (CRA): gli obblighi di segnalazione dei fabbricanti si applicano dall’11 settembre 2026; l’applicazione generale decorre dall’11 dicembre 2027, con specifiche disposizioni transitorie per i prodotti già immessi sul mercato.
Cosa comprende la consulenza Cyber Resilience Act EUCS
La consulenza Cyber Resilience Act di EUCS parte dall’analisi dei prodotti e delle responsabilità dell’impresa per definire un percorso di adeguamento con attività, priorità ed evidenze verificabili.
Colleghiamo gli obblighi normativi ai processi di sviluppo, alla gestione delle vulnerabilità e ai rapporti con i fornitori.
Le attività e i documenti previsti sono definiti nella proposta di consulenza cyber resilience act, in funzione dei prodotti, delle esigenze dell’organizzazione e del lavoro già svolto.
1) Applicabilità e responsabilità nella filiera
Il primo passo è stabilire quali prodotti rientrano nel Cyber Resilience Act e quali obblighi assume l’impresa. Esaminiamo prodotti, versioni, componenti ed eventuali esclusioni, considerando anche la commercializzazione con il proprio marchio e le modifiche sostanziali.
Documento previsto: mappa dei prodotti analizzati, dei ruoli nella filiera e degli obblighi applicabili.
2) Gap analysis e piano di adeguamento Cyber Resilience Act
Definito il perimetro, confrontiamo i requisiti applicabili con i processi e le evidenze disponibili, insieme alle funzioni tecniche. Individuiamo le carenze e le traduciamo in azioni ordinate per priorità e responsabilità.
Documento previsto: piano di adeguamento con interventi, responsabili, dipendenze, scadenze e criteri di verifica.
3) Vulnerabilità, componenti e SBOM
Il piano si traduce in procedure per gestire la sicurezza del prodotto nel tempo: ricevere e valutare segnalazioni, coordinare i fornitori, gestire aggiornamenti e informare gli utilizzatori. Supportiamo inoltre l’organizzazione delle informazioni sui componenti attraverso la distinta base del software — SBOM.
Risultati previsti: procedure, responsabilità e requisiti informativi per la gestione delle vulnerabilità e dei componenti software.
4) Segnalazioni CRA e simulazione del processo
La gestione delle vulnerabilità deve collegarsi a un processo che consenta di riconoscere gli eventi soggetti a segnalazione e attivare tempestivamente i referenti competenti. Definiamo criteri di valutazione e flussi interni, supportiamo la preparazione dell’accesso alla piattaforma unica di segnalazione SRP (Single Reporting Platform) e assistiamo nella registrazione quando occorre notificare.
Documenti previsti: procedura di segnalazione e strumenti per tracciare decisioni, tempi e comunicazioni.
5) Documentazione tecnica e percorso di marcatura CE
Le evidenze raccolte sostengono il percorso di valutazione della conformità. Supportiamo la classificazione dei prodotti e la coerenza tra requisiti, valutazione dei rischi, documentazione tecnica, informazioni agli utilizzatori e dichiarazione di conformità UE, in funzione della procedura applicabile.
Documento previsto: indice della documentazione con evidenze disponibili, elementi mancanti e verifiche da completare.
6) Contratti, governance e formazione
A supporto dell’intero percorso, allineiamo contratti, responsabilità interne e competenze. Esaminiamo le clausole con sviluppatori e fornitori, definiamo i flussi informativi e formiamo le funzioni coinvolte, affinché gli impegni contrattuali e l’organizzazione sostengano gli adempimenti del prodotto.
Risultati previsti: clausole e procedure coordinate con gli impegni di sicurezza e assistenza, accompagnate dalla formazione concordata.
Con la nostra Consulenza Cybersecurity, affianchiamo la tua organizzazione nell’individuazione degli obblighi applicabili e nella definizione di un piano di adeguamento che coordini requisiti normativi, processi aziendali e misure tecniche.
Richiedi Subito Consulenza CRA
A chi è rivolta la consulenza Cyber Resilience Act
La consulenza è rivolta a fabbricanti di hardware e dispositivi connessi, software house, importatori, distributori e imprese che commercializzano prodotti con il proprio marchio, per individuare gli obblighi applicabili e pianificare l’adeguamento al CRA.
L’applicabilità dipende dalle caratteristiche dei prodotti, dalle attività svolte e dal ruolo nella filiera. Anche le piccole imprese possono essere soggette al CRA, secondo le disposizioni a esse applicabili.
Supportiamo inoltre aziende e Pubbliche Amministrazioni negli acquisti ICT, verificando le informazioni sulla conformità dei prodotti e le condizioni di assistenza offerte dai fornitori. Il semplice acquisto o utilizzo non comporta automaticamente l’assunzione degli obblighi del fabbricante.
Quanto costa la consulenza CRA e da cosa dipendono i tempi?
Il costo della consulenza Cyber Resilience Act dipende da numero e complessità dei prodotti, ruolo nella filiera, documentazione disponibile e attività richieste.
I tempi dipendono anche dall’accesso alle evidenze tecniche, dalla collaborazione dei fornitori e dalle verifiche da completare.
Per preparare una proposta, indica organizzazione, tipologia e numero indicativo di prodotti, ruolo e priorità. La proposta precisa attività, documenti previsti, tempi e compensi.
Il primo confronto serve a stabilire se partire dall’applicabilità, dalle segnalazioni o da un percorso più ampio di adeguamento.
Come si svolge il progetto di adeguamento CRA
- Definizione del perimetro. Concordiamo prodotti da analizzare, obiettivi, attività e condizioni dell’incarico.
- Analisi delle evidenze. Legal, compliance e referenti tecnici confrontano requisiti, processi e documentazione disponibile.
- Piano e attuazione. Affianchiamo le funzioni coinvolte nelle attività concordate, con priorità e responsabilità definite.
- Verifica degli avanzamenti. Esaminiamo le evidenze prodotte, gli aspetti da completare e le azioni successive.
Chi ti affianca: la proposta identifica professionisti incaricati, referenti e rispettive attività. L’analisi giuridica si basa sulle fonti ufficiali ed è coordinata con le verifiche tecniche dell’organizzazione.
Il servizio si inserisce nella consulenza cybersecurity EUCS.
Cos’è il Cyber Resilience Act e perché riguarda i tuoi prodotti
Il Cyber Resilience Act è il regolamento europeo sulla cibersicurezza dei prodotti con elementi digitali. Riguarda hardware e software il cui utilizzo previsto o ragionevolmente prevedibile comporta una connessione dati, diretta o indiretta, a un dispositivo o a una rete, fatte salve le esclusioni previste.
Il CRA disciplina sicurezza fin dalla progettazione e per impostazione predefinita, gestione delle vulnerabilità, informazioni agli utilizzatori e dimostrazione della conformità. Comprende anche i componenti commercializzati separatamente e determinate soluzioni di elaborazione dati da remoto collegate al prodotto.
La prima decisione è individuare quali prodotti rientrano nel regolamento e quali obblighi assume l’impresa. Lo stesso operatore può avere ruoli differenti per prodotti diversi.
Scadenze del Cyber Resilience Act
| Data | Obbligo | Riferimento |
|---|---|---|
| 10 Dicembre 2024 | Entrata in vigore del Cyber Resilience Act. | Articolo 71 del CRA |
| 11 Giugno 2026 | Applicazione delle disposizioni sulla notifica degli organismi di valutazione della conformità. | Capo IV e articolo 71 del CRA |
| 11 Settembre 2026 | Applicazione degli obblighi di segnalazione dei fabbricanti. | Articoli 14 e 71 del CRA |
| 11 Dicembre 2027 | Applicazione generale del CRA, nel rispetto delle disposizioni transitorie. | Articoli 69 e 71 del CRA |
Prodotti già immessi sul mercato: per quelli immessi prima dell’11 dicembre 2027, l’applicazione dei requisiti è subordinata a una modifica sostanziale intervenuta da tale data.
Gli obblighi di segnalazione si applicano invece dall’11 settembre 2026 anche ai prodotti immessi in precedenza che rientrano nel CRA.
Occorre quindi predisporre le procedure di segnalazione e, parallelamente, pianificare l’adeguamento degli altri requisiti applicabili ai prodotti.
Segnalazioni CRA: quali eventi e quali termini
Dall’11 settembre 2026, il fabbricante deve segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto, quando ricorrono i presupposti dell’articolo 14 del CRA.
Una vulnerabilità è attivamente sfruttata quando vi sono prove attendibili che un soggetto malevolo l’abbia sfruttata in un sistema senza l’autorizzazione del titolare del sistema. La sola scoperta di una vulnerabilità non dimostra il suo sfruttamento attivo.
| Adempimento | Scadenza | Decorrenza |
|---|---|---|
| Preallarme | 24 ore | Dalla conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave. |
| Notifica | 72 ore | Dallo stesso momento di conoscenza che determina il termine per il preallarme. |
| Relazione finale sulle vulnerabilità | 14 giorni | Dalla disponibilità di una misura correttiva o di attenuazione. |
| Relazione finale sugli incidenti gravi | 1 Mese | Dalla trasmissione della notifica dell’incidente prevista entro 72 ore. |
Preallarme e notifica devono essere trasmessi senza indebito ritardo: i termini di 24 e 72 ore decorrono dalla stessa conoscenza e non si sommano.
Per la notifica e le relazioni finali, resta ferma l’eccezione prevista quando le informazioni pertinenti sono già state fornite.
Classificazione dei prodotti e percorso di conformità
La classificazione determina la procedura da seguire per dimostrare la conformità.
| Categoria | Percorso di Conformità | Condizioni da Verificare |
|---|---|---|
| Prodotti non classificati come importanti o critici | È generalmente utilizzabile il controllo interno della produzione. | Individuare i requisiti applicabili e le evidenze necessarie a dimostrarne il rispetto. |
| Prodotti importanti di Classe I | Controllo interno, se ricorrono le condizioni previste; altrimenti, esame UE del tipo e conformità al tipo (moduli B+C) oppure garanzia della qualità totale (modulo H), con organismo notificato. | Il controllo interno richiede l’applicazione integrale degli strumenti pertinenti previsti dall’articolo 32.2 del CRA: norme armonizzate, specifiche comuni o sistemi europei di certificazione, questi ultimi con livello di affidabilità almeno «sostanziale». |
| Prodotti importanti di Classe II | Procedura con organismo notificato oppure sistema europeo di certificazione. | La certificazione è utilizzabile ove disponibile e applicabile, alle condizioni previste dal CRA e con livello di affidabilità almeno «sostanziale». |
| Prodotti Critici | Certificazione europea quando obbligatoria; negli altri casi, procedure previste per i prodotti importanti di Classe II. | Verificare l’esistenza e le condizioni dell’atto delegato previsto dall’articolo 8, paragrafo 1. Quando tali condizioni non ricorrono, anche in assenza dell’atto, si applicano le procedure dell’articolo 32.3 del CRA. |
Software libero e open source: per i prodotti importanti è consentito anche il controllo interno, purché la documentazione tecnica sia pubblica all’immissione sul mercato.
La consulenza supporta il percorso e la preparazione delle evidenze. Valutazione della conformità, dichiarazione UE e marcatura CE seguono le procedure e le responsabilità previste dal Regolamento CRA.
Formazione sul Cyber Resilience Act
La preparazione delle persone coinvolte sostiene l’attuazione del piano. Il corso sul Cyber Resilience Act EUCS dura 8 ore ed è disponibile in e-learning, videoconferenza o in presenza, con rilascio di attestato e Certificazione EUCS di avvenuta formazione.
Richiedi una Consulenza sul Cyber Resilience Act
Indica il prodotto e la decisione che devi affrontare.
Descrivi cosa sviluppi o commercializzi, il tuo ruolo e la principale esigenza: verificare l’applicabilità, preparare le segnalazioni oppure organizzare documentazione e percorso di conformità.
Ti contatteremo per definire attività, tempi e condizioni della consulenza CRA..
Domande Frequenti sul Cyber Resilience Act
La consulenza Cyber Resilience Act supporta l’adeguamento e la preparazione delle evidenze; non equivale al rilascio di una certificazione di prodotto. La valutazione della conformità segue il percorso previsto per il prodotto, con l’intervento di un organismo notificato quando richiesto. La dichiarazione di conformità UE e la marcatura CE restano collegate alle responsabilità del fabbricante.
Dal 11 Dicembre 2027, l’importatore deve verificare, tra l’altro, la procedura di valutazione della conformità, la predisposizione della documentazione tecnica, la marcatura CE, le informazioni sul prodotto e i processi del fabbricante per la gestione delle vulnerabilità.
Il distributore verifica, con la dovuta diligenza, marcatura CE, informazioni e istruzioni e gli ulteriori elementi richiesti dall’articolo 20. I due ruoli hanno obblighi distinti anche quando emergono vulnerabilità o non conformità. Chi commercializza con il proprio marchio o modifica sostanzialmente il prodotto deve inoltre verificare se assume gli obblighi del fabbricante.
L’affidamento dello sviluppo a terzi non trasferisce automaticamente gli obblighi del fabbricante. Chi fa sviluppare un prodotto e lo commercializza con il proprio nome o marchio deve verificare le responsabilità che assume. I contratti devono assicurare la collaborazione e le informazioni necessarie a rispettarle.
La qualificazione come SaaS o cloud non basta a stabilire l’applicabilità del Cyber Resilience Act. Occorre verificare se il servizio è una soluzione di elaborazione dati da remoto progettata e sviluppata dal fabbricante, o sotto la sua responsabilità, senza la quale il prodotto con elementi digitali non potrebbe svolgere una delle sue funzioni
Il software libero e open source fornito al di fuori di un’attività commerciale è escluso dal Cyber Resilience Act. La gratuità, da sola, non dimostra l’assenza di attività commerciale. L’integrazione di componenti open source in un prodotto soggetto al CRA richiede comunque la verifica degli obblighi del fabbricante. Sono previste regole specifiche per i gestori di software open source.
Il Cyber Resilience Act prevede esclusioni e regimi specifici, ad esempio per dispositivi medici, dispositivi medico-diagnostici in vitro e determinati prodotti del settore automobilistico e aeronautico. L’esclusione deve essere verificata rispetto alla disciplina effettivamente applicabile al singolo prodotto.
Se assumi il ruolo di fabbricante di prodotti soggetti al Cyber Resilience Act, individua prodotti e versioni interessati, referenti e sostituti, modalità di ricezione delle segnalazioni e criteri di valutazione degli eventi. Predisponi EU Login con autenticazione a più fattori per gli incaricati e verifica internamente il flusso di preallarme, notifica e relazione finale. La registrazione SRP è raccomandata da ENISA quando occorre notificare. Sono attività organizzative per preparare l’adempimento: il CRA non impone un generico obbligo di iscrizione preventiva alla SRP entro quella data.
Il periodo di assistenza previsto dal Cyber Resilience Act deve riflettere la durata di utilizzo prevista ed essere di almeno cinque anni. Se l’utilizzo previsto è inferiore, il periodo corrisponde a tale durata. Cinque anni non costituiscono un limite massimo. La cessazione dell’assistenza non esclude, da sola, gli obblighi di segnalazione dell’articolo 14 del CRA. Gli aggiornamenti di sicurezza già rilasciati durante il periodo di assistenza** devono restare disponibili per almeno dieci anni dal rilascio, oppure per il restante periodo di assistenza se più lungo. È una regola sulla disponibilità degli aggiornamenti rilasciati; il periodo durante il quale occorre gestire le vulnerabilità segue la disciplina dell’assistenza.
La conformità a NIS2, DORA o ISO 27001 non dimostra automaticamente la conformità dei prodotti al Cyber Resilience Act. Le evidenze già disponibili possono essere utilizzate se pertinenti, ma occorre verificare requisiti di prodotto, responsabilità e procedure applicabili. Lo stesso evento può richiedere comunicazioni secondo regimi diversi, ciascuno con propri presupposti, destinatari e termini.
Per determinate violazioni, l’articolo 64 del Cyber Resilience Act prevede massimali fino a 15 milioni di euro o, per le imprese, al 2,5% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. L’articolo 64 si applica dal 11 dicembre 2027; gli obblighi dell’articolo 14 decorrono invece dall’11 settembre 2026.
Nel regime dell’articolo 64 del Cyber Resilience Act, i fabbricanti qualificabili come microimprese o piccole imprese beneficiano di una specifica esclusione delle sanzioni pecuniarie per il mancato rispetto del termine del preallarme, che non elimina l’obbligo. Le altre conseguenze normative e contrattuali devono essere valutate separatamente.
Fonti ufficiali della Consulenza Cyber Resilience Act
Il riferimento principale è il Regolamento (UE) 2024/2847 — CRA, da leggere tenendo conto delle rettifiche, tra cui quelle del 2 luglio 2025 e del 17 ottobre 2025, e delle modifiche intervenute, secondo le rispettive date di applicazione.
Completano il quadro:
- Regolamento di esecuzione (UE) 2025/2392: precisa le descrizioni tecniche dei prodotti importanti e critici. È in vigore dal 21 dicembre 2025.
- Regolamento delegato (UE) 2026/881: disciplina il differimento eccezionale della diffusione delle notifiche tra CSIRT, senza prorogare i termini di segnalazione del fabbricante. È in vigore dal 10 maggio 2026.
- Regolamento (UE) 2025/327 — EHDS: è in vigore dal 25 marzo 2025; le modifiche al CRA si applicano dal 26 marzo 2027, mentre gli obblighi settoriali seguono un calendario distinto.
- Regolamento (UE) 2026/1744: modifica l’AI Act introducendo un rinvio al CRA. È in vigore dal 27 luglio 2026, ferme restando le date di applicazione dei singoli obblighi dell’AI Act.
Le linee guida della Commissione del 27 luglio 2026 e le FAQ del 4 settembre 2026, versione 1.4 forniscono chiarimenti interpretativi e operativi: non sono vincolanti e non sostituiscono le norme.
Richiedi informazioni
Compila il Form per ricevere Informazioni.
