Cyber Resilience Act (CRA)

// Cyber Resilience Act

Portiamo i tuoi prodotti alla conformità CRA

// Regolamento UE 2024/2847

Cos'è il Cyber Resilience Act

Il Cyber Resilience Act è la prima legge europea che impone requisiti di sicurezza informatica a tutti i “prodotti con elementi digitali”: hardware e software che si collegano, direttamente o indirettamente, a un dispositivo o a una rete.

Il principio è semplice: la sicurezza non si aggiunge dopo, si progetta. Un prodotto deve uscire dalla fabbrica sicuro, ricevere aggiornamenti per tutto il periodo di supporto e avere un produttore che gestisce le vulnerabilità in modo documentato. La conformità si dimostra con la dichiarazione UE e la marcatura CE.

Essendo un regolamento, si applica direttamente in tutti gli Stati membri. In Italia l’autorità di riferimento sarà l’Agenzia per la Cybersicurezza Nazionale (ACN), designata dallo schema di decreto attuativo approvato in esame preliminare il 2 ottobre 2026.

#Secure by Design

#Marcatura CE

#Vigilanza

#Notifica 24h

// Chi è coinvolto

Produttori, importatori e distributori

Il CRA riguarda chiunque immetta sul mercato UE un prodotto connesso, ovunque sia stato fabbricato.

Ruolo	Cosa deve fare
Produttore (anche extra-UE)	Progettare il prodotto in modo sicuro, valutare i rischi, gestire le vulnerabilità, fornire aggiornamenti, redigere documentazione tecnica e SBOM, apporre la marcatura CE
Importatore	Verificare che il produttore abbia fatto la valutazione di conformità e che documentazione e marcatura CE siano presenti
Distributore	Controllare marcatura CE e istruzioni, non vendere prodotti che sa non conformi
Chi modifica in modo sostanziale un prodotto	Diventa a sua volta “produttore” per quel prodotto

Esempi di prodotti inclusi: PLC e dispositivi industriali con monitoraggio remoto, router, firewall, telecamere IP, software gestionali venduti con licenza, app che controllano dispositivi, prodotti IoT. Rientra anche il servizio cloud del produttore senza il quale il prodotto non funziona. Se oltre a produrre operi in un settore critico, ricorda che la sicurezza della tua organizzazione è regolata anche dalla NIS2.

Esclusi: dispositivi medici, veicoli omologati e avionica (già coperti da norme di settore), prodotti esclusivamente per difesa e sicurezza nazionale, software sviluppato solo per uso interno e mai venduto, open source non commerciale.

I prodotti sono divisi in classi di rischio. Per la classe “default” basta l’autovalutazione. I prodotti “importanti” (classe I, es. router, sistemi operativi, password manager; classe II, es. firewall, hypervisor) e “critici” (es. HSM, smart card, gateway per contatori intelligenti) richiedono norme armonizzate o la verifica di un organismo terzo.

// Le scadenze

Quattro date da segnare in agenda

01.

10 dicembre 2024

Entrata in vigore del regolamento.

02.

11 giugno 2026

Si applicano le regole per gli organismi di valutazione della conformità.

03.

11 settembre 2026

Obbligo di notifica di vulnerabilità sfruttate e incidenti gravi, anche per i prodotti già venduti.

04.

11 dicembre 2027

Piena applicazione: i prodotti non conformi non possono più essere venduti nell’UE.

// Requisiti

Cosa chiede il CRA ai produttori

I requisiti essenziali (Allegato I del regolamento) si dividono in due blocchi: come è fatto il prodotto e come il produttore lo gestisce nel tempo.

Requisiti di prodotto

Nessuna vulnerabilità sfruttabile nota al momento della vendita
Configurazione sicura di default, con possibilità di ripristino
Protezione da accessi non autorizzati (autenticazione, gestione delle identità)
Riservatezza e integrità dei dati, anche con cifratura
Raccolta dei soli dati necessari
Resilienza agli attacchi e superficie di attacco ridotta
Registrazione degli eventi di sicurezza rilevanti
Aggiornamenti di sicurezza installabili in modo sicuro, anche automatici

Requisiti di processo

Valutazione del rischio di cybersicurezza documentata
Inventario dei componenti software (SBOM)
Test di sicurezza periodici
Politica di divulgazione coordinata delle vulnerabilità e un punto di contatto pubblico per segnalarle
Patch di sicurezza gratuite per tutto il periodo di supporto: almeno 5 anni, salvo vita attesa del prodotto più breve
Notifica di vulnerabilità attivamente sfruttate e incidenti gravi: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni (vulnerabilità) o 1 mese (incidenti), tramite la piattaforma unica ENISA verso il CSIRT competente

// Sanzioni

Cosa rischi se non sei conforme

Un prodotto senza conformità dimostrata non può essere venduto nell’UE dopo l’11 dicembre 2027 e può essere ritirato dal mercato. Le sanzioni massime (art. 64) sono:

Violazione	Sanzione massima
Requisiti essenziali e obblighi di gestione e notifica delle vulnerabilità (artt. 13 e 14)	15 milioni € o 2,5% del fatturato mondiale annuo
Altri obblighi, inclusi quelli di importatori e distributori	10 milioni € o 2% del fatturato
Informazioni inesatte, incomplete o fuorvianti alle autorità	5 milioni € o 1% del fatturato

Si applica l’importo più alto tra i due. Per micro e piccole imprese non si applica la sanzione per il solo mancato rispetto del termine di 24 ore del preallarme.

// CRA e NIS2

Due norme che si completano

Il CRA rende sicuri i prodotti, la NIS2 rende sicure le organizzazioni che li usano.

	CRA	NIS2
Cosa regola	Prodotti con elementi digitali	Sicurezza di reti e sistemi di soggetti essenziali e importanti
A chi si rivolge	Produttori, importatori, distributori	Aziende e PA nei settori indicati dalla direttiva
Strumento	Marcatura CE e dichiarazione UE di conformità	Misure di gestione del rischio, governance, notifiche
In Italia	Schema di decreto in iter, ACN autorità di vigilanza	D.Lgs. 138/2024, ACN autorità competente

Un’azienda può rientrare in entrambe: un produttore di macchinari connessi soggetto a NIS2 deve proteggere i propri sistemi e, allo stesso tempo, vendere prodotti conformi al CRA. Un unico percorso di analisi evita di fare il lavoro due volte: se vuoi capire se la tua azienda rientra anche negli obblighi della direttiva, trovi tutto nella nostra pagina dedicata alla NIS2.

// Il nostro percorso

Sei fasi verso la conformità

TechServices Italia non rilascia certificazioni: ti accompagna fino alla dichiarazione di conformità, con un percorso che puoi avviare anche solo in parte.

Assessment iniziale

Prodotti coinvolti e classe di rischio

Gap analysis

Piano di intervento con priorità

Vulnerability Assessment & PT

Firmware, software, web e cloud

SBOM e gestione CVE

Inventario componenti e monitoraggio

Processo di notifica

Procedure per 24h, 72h e report finale

Documentazione tecnica

Fascicolo per la dichiarazione UE

Se la tua azienda è soggetta anche alla NIS2, integriamo le due analisi in un unico progetto. Scopri anche i nostri servizi di Cyber Security.

// FAQ

Domande frequenti

Il CRA vale anche per i prodotti già in commercio?

Gli obblighi di notifica delle vulnerabilità attivamente sfruttate valgono dall’11 settembre 2026 anche per i prodotti già venduti. Gli altri requisiti si applicano ai prodotti immessi sul mercato dall’11 dicembre 2027, salvo modifiche sostanziali successive.

Produco software gestionale venduto in licenza: rientro?

Sì, se il software è commercializzato nell’UE e si collega a reti o dispositivi. Resta escluso il software sviluppato solo per uso interno.

Una web app SaaS rientra nel CRA?

Di norma no: un servizio web usato dal browser può rientrare nella NIS2, non nel CRA. Rientra invece il cloud senza il quale un prodotto venduto non funziona.

Serve un ente certificatore?

Per la maggior parte dei prodotti basta l’autovalutazione documentata. I prodotti importanti di classe II e quelli critici richiedono un organismo terzo o una certificazione europea.

Quanto dura l'obbligo di aggiornamento?

Per tutto il periodo di supporto dichiarato: almeno 5 anni, oppure meno se la vita attesa del prodotto è più breve.

Se integro componenti di terzi o open source?

Resti responsabile dell’intero prodotto. Devi conoscere i componenti (SBOM), verificarne le vulnerabilità e segnalarle a chi li mantiene.

Chi controlla in Italia?

L’Agenzia per la Cybersicurezza Nazionale (ACN), come previsto dallo schema di decreto attuativo in corso di approvazione.

Da dove conviene partire?

Dall’elenco dei prodotti e da una gap analysis: in poche settimane sai cosa manca e quanto costa colmarlo.

Fonte normativa: Regolamento (UE) 2024/2847 su EUR-Lex

Mancano meno di 14 mesi alla piena applicazione del CRA

Gli obblighi di notifica sono già in vigore. In una prima call gratuita di 30 minuti capiamo quali dei tuoi prodotti sono coinvolti e da dove partire.

Richiedi una gap analysis CRA