A cura di: Team Cybersecurity & Resilience EUCS
Revisione: Dr. Eric Falzone – Cybersecurity & Resilience Officer – EUCS
Aggiornato:
La consulenza Cyber Resilience Act (CRA) di EUCS affianca fabbricanti, software house, importatori e distributori nell’adeguamento al Regolamento (UE) 2024/2847 sulla sicurezza dei prodotti con elementi digitali.
Verifichiamo se il Cyber Resilience Act (CRA) si applica ai tuoi prodotti, quali obblighi assume la tua impresa e quali interventi sono necessari. Su questa base, definiamo un piano di adeguamento con priorità, responsabilità e scadenze.
Il percorso può comprendere classificazione dei prodotti, analisi delle carenze rispetto ai requisiti applicabili (gap analysis), gestione delle vulnerabilità, procedure di segnalazione e documentazione per la valutazione della conformità e la marcatura CE.
Le scadenze del Cyber Resilience Act (CRA): gli obblighi di segnalazione dei fabbricanti si applicano dall’11 settembre 2026; l’applicazione generale decorre dall’11 dicembre 2027, con specifiche disposizioni transitorie per i prodotti già immessi sul mercato.
Cosa comprende la consulenza Cyber Resilience Act EUCS
La consulenza Cyber Resilience Act di EUCS parte dall’analisi dei prodotti e delle responsabilità dell’impresa per definire un percorso di adeguamento con attività, priorità ed evidenze verificabili.
Colleghiamo gli obblighi normativi ai processi di sviluppo, alla gestione delle vulnerabilità e ai rapporti con i fornitori.
Le attività e i documenti previsti sono definiti nella proposta di consulenza cyber resilience act, in funzione dei prodotti, delle esigenze dell’organizzazione e del lavoro già svolto.
1) Applicabilità e responsabilità nella filiera
Il primo passo è stabilire quali prodotti rientrano nel Cyber Resilience Act e quali obblighi assume l’impresa. Esaminiamo prodotti, versioni, componenti ed eventuali esclusioni, considerando anche la commercializzazione con il proprio marchio e le modifiche sostanziali.
Documento previsto: mappa dei prodotti analizzati, dei ruoli nella filiera e degli obblighi applicabili.
2) Gap analysis e piano di adeguamento Cyber Resilience Act
Definito il perimetro, confrontiamo i requisiti applicabili con i processi e le evidenze disponibili, insieme alle funzioni tecniche. Individuiamo le carenze e le traduciamo in azioni ordinate per priorità e responsabilità.
Documento previsto: piano di adeguamento con interventi, responsabili, dipendenze, scadenze e criteri di verifica.
3) Vulnerabilità, componenti e SBOM
Il piano si traduce in procedure per gestire la sicurezza del prodotto nel tempo: ricevere e valutare segnalazioni, coordinare i fornitori, gestire aggiornamenti e informare gli utilizzatori. Supportiamo inoltre l’organizzazione delle informazioni sui componenti attraverso la distinta base del software — SBOM.
Risultati previsti: procedure, responsabilità e requisiti informativi per la gestione delle vulnerabilità e dei componenti software.
4) Segnalazioni CRA e simulazione del processo
La gestione delle vulnerabilità deve collegarsi a un processo che consenta di riconoscere gli eventi soggetti a segnalazione e attivare tempestivamente i referenti competenti. Definiamo criteri di valutazione e flussi interni, supportiamo la preparazione dell’accesso alla piattaforma unica di segnalazione SRP (Single Reporting Platform) e assistiamo nella registrazione quando occorre notificare.
Documenti previsti: procedura di segnalazione e strumenti per tracciare decisioni, tempi e comunicazioni.
5) Documentazione tecnica e percorso di marcatura CE
Le evidenze raccolte sostengono il percorso di valutazione della conformità. Supportiamo la classificazione dei prodotti e la coerenza tra requisiti, valutazione dei rischi, documentazione tecnica, informazioni agli utilizzatori e dichiarazione di conformità UE, in funzione della procedura applicabile.
Documento previsto: indice della documentazione con evidenze disponibili, elementi mancanti e verifiche da completare.
6) Contratti, governance e formazione
A supporto dell’intero percorso, allineiamo contratti, responsabilità interne e competenze. Esaminiamo le clausole con sviluppatori e fornitori, definiamo i flussi informativi e formiamo le funzioni coinvolte, affinché gli impegni contrattuali e l’organizzazione sostengano gli adempimenti del prodotto.
Risultati previsti: clausole e procedure coordinate con gli impegni di sicurezza e assistenza, accompagnate dalla formazione concordata.
Con la nostra Consulenza Cybersecurity, affianchiamo la tua organizzazione nell’individuazione degli obblighi applicabili e nella definizione di un piano di adeguamento che coordini requisiti normativi, processi aziendali e misure tecniche.
Richiedi Subito Consulenza CRA
A chi è rivolta la consulenza Cyber Resilience Act
La consulenza è rivolta a fabbricanti di hardware e dispositivi connessi, software house, importatori, distributori e imprese che commercializzano prodotti con il proprio marchio, per individuare gli obblighi applicabili e pianificare l’adeguamento al CRA.
L’applicabilità dipende dalle caratteristiche dei prodotti, dalle attività svolte e dal ruolo nella filiera. Anche le piccole imprese possono essere soggette al CRA, secondo le disposizioni a esse applicabili.
Supportiamo inoltre aziende e Pubbliche Amministrazioni negli acquisti ICT, verificando le informazioni sulla conformità dei prodotti e le condizioni di assistenza offerte dai fornitori. Il semplice acquisto o utilizzo non comporta automaticamente l’assunzione degli obblighi del fabbricante.
Quanto costa la consulenza CRA e da cosa dipendono i tempi?
Il costo della consulenza Cyber Resilience Act dipende da numero e complessità dei prodotti, ruolo nella filiera, documentazione disponibile e attività richieste.
I tempi dipendono anche dall’accesso alle evidenze tecniche, dalla collaborazione dei fornitori e dalle verifiche da completare.
Per preparare una proposta, indica organizzazione, tipologia e numero indicativo di prodotti, ruolo e priorità. La proposta precisa attività, documenti previsti, tempi e compensi.
Il primo confronto serve a stabilire se partire dall’applicabilità, dalle segnalazioni o da un percorso più ampio di adeguamento.
Come si svolge il progetto di adeguamento CRA
- Definizione del perimetro. Concordiamo prodotti da analizzare, obiettivi, attività e condizioni dell’incarico.
- Analisi delle evidenze. Legal, compliance e referenti tecnici confrontano requisiti, processi e documentazione disponibile.
- Piano e attuazione. Affianchiamo le funzioni coinvolte nelle attività concordate, con priorità e responsabilità definite.
- Verifica degli avanzamenti. Esaminiamo le evidenze prodotte, gli aspetti da completare e le azioni successive.
Chi ti affianca: la proposta identifica professionisti incaricati, referenti e rispettive attività. L’analisi giuridica si basa sulle fonti ufficiali ed è coordinata con le verifiche tecniche dell’organizzazione.
Il servizio si inserisce nella consulenza cybersecurity EUCS.
Cos’è il Cyber Resilience Act e perché riguarda i tuoi prodotti
Il Cyber Resilience Act è il regolamento europeo sulla cibersicurezza dei prodotti con elementi digitali. Riguarda hardware e software il cui utilizzo previsto o ragionevolmente prevedibile comporta una connessione dati, diretta o indiretta, a un dispositivo o a una rete, fatte salve le esclusioni previste.
Il CRA disciplina sicurezza fin dalla progettazione e per impostazione predefinita, gestione delle vulnerabilità, informazioni agli utilizzatori e dimostrazione della conformità. Comprende anche i componenti commercializzati separatamente e determinate soluzioni di elaborazione dati da remoto collegate al prodotto.
La prima decisione è individuare quali prodotti rientrano nel regolamento e quali obblighi assume l’impresa. Lo stesso operatore può avere ruoli differenti per prodotti diversi.
Scadenze del Cyber Resilience Act
| Data | Obbligo | Riferimento |
|---|---|---|
| 10 Dicembre 2024 | Entrata in vigore del Cyber Resilience Act. | Articolo 71 del CRA |
| 11 Giugno 2026 | Applicazione delle disposizioni sulla notifica degli organismi di valutazione della conformità. | Capo IV e articolo 71 del CRA |
| 11 Settembre 2026 | Applicazione degli obblighi di segnalazione dei fabbricanti. | Articoli 14 e 71 del CRA |
| 11 Dicembre 2027 | Applicazione generale del CRA, nel rispetto delle disposizioni transitorie. | Articoli 69 e 71 del CRA |
Prodotti già immessi sul mercato: per quelli immessi prima dell’11 dicembre 2027, l’applicazione dei requisiti è subordinata a una modifica sostanziale intervenuta da tale data.
Gli obblighi di segnalazione si applicano invece dall’11 settembre 2026 anche ai prodotti immessi in precedenza che rientrano nel CRA.
Occorre quindi predisporre le procedure di segnalazione e, parallelamente, pianificare l’adeguamento degli altri requisiti applicabili ai prodotti.
Segnalazioni CRA: quali eventi e quali termini
Dall’11 settembre 2026, il fabbricante deve segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto, quando ricorrono i presupposti dell’articolo 14 del CRA.
Una vulnerabilità è attivamente sfruttata quando vi sono prove attendibili che un soggetto malevolo l’abbia sfruttata in un sistema senza l’autorizzazione del titolare del sistema. La sola scoperta di una vulnerabilità non dimostra il suo sfruttamento attivo.
| Adempimento | Scadenza | Decorrenza |
|---|---|---|
| Preallarme | 24 ore | Dalla conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave. |
| Notifica | 72 ore | Dallo stesso momento di conoscenza che determina il termine per il preallarme. |
| Relazione finale sulle vulnerabilità | 14 giorni | Dalla disponibilità di una misura correttiva o di attenuazione. |
| Relazione finale sugli incidenti gravi | 1 Mese | Dalla trasmissione della notifica dell’incidente prevista entro 72 ore. |
Preallarme e notifica devono essere trasmessi senza indebito ritardo: i termini di 24 e 72 ore decorrono dalla stessa conoscenza e non si sommano.
Per la notifica e le relazioni finali, resta ferma l’eccezione prevista quando le informazioni pertinenti sono già state fornite.
Classificazione dei prodotti e percorso di conformità
La classificazione determina la procedura da seguire per dimostrare la conformità.
| Categoria | Percorso di Conformità | Condizioni da Verificare |
|---|---|---|
| Prodotti non classificati come importanti o critici | È generalmente utilizzabile il controllo interno della produzione. | Individuare i requisiti applicabili e le evidenze necessarie a dimostrarne il rispetto. |
| Prodotti importanti di Classe I | Controllo interno, se ricorrono le condizioni previste; altrimenti, esame UE del tipo e conformità al tipo (moduli B+C) oppure garanzia della qualità totale (modulo H), con organismo notificato. | Il controllo interno richiede l’applicazione integrale degli strumenti pertinenti previsti dall’articolo 32.2 del CRA: norme armonizzate, specifiche comuni o sistemi europei di certificazione, questi ultimi con livello di affidabilità almeno «sostanziale». |
| Prodotti importanti di Classe II | Procedura con organismo notificato oppure sistema europeo di certificazione. | La certificazione è utilizzabile ove disponibile e applicabile, alle condizioni previste dal CRA e con livello di affidabilità almeno «sostanziale». |
| Prodotti Critici | Certificazione europea quando obbligatoria; negli altri casi, procedure previste per i prodotti importanti di Classe II. | Verificare l’esistenza e le condizioni dell’atto delegato previsto dall’articolo 8, paragrafo 1. Quando tali condizioni non ricorrono, anche in assenza dell’atto, si applicano le procedure dell’articolo 32.3 del CRA. |
Software libero e open source: per i prodotti importanti è consentito anche il controllo interno, purché la documentazione tecnica sia pubblica all’immissione sul mercato.
La consulenza supporta il percorso e la preparazione delle evidenze. Valutazione della conformità, dichiarazione UE e marcatura CE seguono le procedure e le responsabilità previste dal Regolamento CRA.
Formazione sul Cyber Resilience Act
La preparazione delle persone coinvolte sostiene l’attuazione del piano. Il corso sul Cyber Resilience Act EUCS dura 8 ore ed è disponibile in e-learning, videoconferenza o in presenza, con rilascio di attestato e Certificazione EUCS di avvenuta formazione.
Richiedi una Consulenza sul Cyber Resilience Act
Indica il prodotto e la decisione che devi affrontare.
Descrivi cosa sviluppi o commercializzi, il tuo ruolo e la principale esigenza: verificare l’applicabilità, preparare le segnalazioni oppure organizzare documentazione e percorso di conformità.
Ti contatteremo per definire attività, tempi e condizioni della consulenza CRA..
Domande Frequenti sul Cyber Resilience Act
La consulenza rilascia una certificazione CRA?
Sono importatore o distributore: cosa devo controllare?
Posso affidare tutti gli obblighi al fornitore che sviluppa il prodotto?
Il Cyber Resilience Act si applica al SaaS e al cloud?
Il software open source è escluso dal Cyber Resilience Act?
Sono previste esclusioni per prodotti già regolamentati?
Cosa devo preparare per l’11 settembre 2026?
Per quanto tempo devono essere gestite le vulnerabilità?
La conformità NIS2, DORA o ISO 27001 sostituisce il CRA?
Quali sanzioni prevede il Cyber Resilience Act?
Fonti ufficiali della Consulenza Cyber Resilience Act
Il riferimento principale è il Regolamento (UE) 2024/2847 — CRA, da leggere tenendo conto delle rettifiche, tra cui quelle del 2 luglio 2025 e del 17 ottobre 2025, e delle modifiche intervenute, secondo le rispettive date di applicazione.
Completano il quadro:
- Regolamento di esecuzione (UE) 2025/2392: precisa le descrizioni tecniche dei prodotti importanti e critici. È in vigore dal 21 dicembre 2025.
- Regolamento delegato (UE) 2026/881: disciplina il differimento eccezionale della diffusione delle notifiche tra CSIRT, senza prorogare i termini di segnalazione del fabbricante. È in vigore dal 10 maggio 2026.
- Regolamento (UE) 2025/327 — EHDS: è in vigore dal 25 marzo 2025; le modifiche al CRA si applicano dal 26 marzo 2027, mentre gli obblighi settoriali seguono un calendario distinto.
- Regolamento (UE) 2026/1744: modifica l’AI Act introducendo un rinvio al CRA. È in vigore dal 27 luglio 2026, ferme restando le date di applicazione dei singoli obblighi dell’AI Act.
Le linee guida della Commissione del 27 luglio 2026 e le FAQ del 4 settembre 2026, versione 1.4 forniscono chiarimenti interpretativi e operativi: non sono vincolanti e non sostituiscono le norme.
Richiedi informazioni
Compila il Form per ricevere Informazioni.
