Cos'è il Cyber Resilience Act
Il Cyber Resilience Act (CRA) — Regolamento UE 2024/2847 — è il primo framework europeo che impone requisiti obbligatori di cybersecurity per tutti i prodotti con elementi digitali commercializzati nell'Unione Europea. Include hardware (router, telecamere, dispositivi IoT), software (applicazioni, firmware, sistemi operativi) e qualsiasi prodotto che elabora o trasmette dati digitali.
Prima del CRA, la sicurezza dei prodotti digitali era largamente volontaria. Il risultato? Decine di milioni di dispositivi IoT con password di default, software senza patch di sicurezza, dispositivi medici connessi vulnerabili. Il CRA rompe con questa logica imponendo la security by design come requisito legale di commercializzazione.
Il CRA si applica a qualsiasi azienda — indipendentemente dalla dimensione o dall'origine geografica — che vende prodotti digitali nel mercato UE. Una PMI italiana che sviluppa un'app gestionale, un firmware per dispositivi industriali, o distribuisce software di terze parti nell'UE, rientra nel campo di applicazione.
Chi è obbligato e cosa deve fare
Le tre categorie di soggetti obbligati
Il CRA distingue tre categorie con obblighi graduati:
- Produttori — chi progetta e produce prodotti con elementi digitali. Hanno gli obblighi più stringenti: security by design, gestione vulnerabilità, supporto aggiornamenti, documentazione tecnica, marcatura CE di sicurezza
- Importatori — chi immette nel mercato UE prodotti fabbricati fuori dall'UE. Devono verificare che il produttore sia conforme e rispondere solidalmente in caso di non conformità
- Distributori — chi commercializza prodotti altrui senza modificarli. Hanno obblighi più leggeri ma devono verificare le conformità e non possono commercializzare prodotti non conformi
I requisiti essenziali di sicurezza
I prodotti devono rispettare requisiti di sicurezza che includono:
- Nessuna vulnerabilità sfruttabile al momento della commercializzazione (o almeno documentata e con piano di remediation)
- Configurazione sicura per default — niente password di default, servizi non necessari disabilitati
- Protezione dei dati — minimizzazione, cifratura in transito e a riposo dove pertinente
- Superficie di attacco ridotta — esposizione minima di interfacce e porte di rete
- Meccanismi di aggiornamento sicuro — la catena di aggiornamento non deve introdurre nuove vulnerabilità
- Logging e auditability — capacità di rilevare e registrare accessi e anomalie
Gestione delle vulnerabilità — obblighi post-commercializzazione
Il CRA introduce obblighi significativi anche dopo la vendita del prodotto:
- Supporto per la sicurezza per almeno 5 anni o per la durata attesa del prodotto se superiore
- Patch di sicurezza rilasciate tempestivamente e rese disponibili senza costo aggiuntivo
- Notifica obbligatoria all'ENISA entro 24 ore dalla scoperta di vulnerabilità sfruttate attivamente e entro 72 ore per gli incidenti con impatto sulla sicurezza
- Politica di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure)
Le scadenze chiave del CRA
| Data | Obbligo |
|---|---|
| Ottobre 2024 | Entrata in vigore del Regolamento CRA |
| Aprile 2026 | Designazione delle autorità nazionali di vigilanza del mercato |
| Settembre 2026 | Obblighi di notifica vulnerabilità e incidenti all'ENISA applicabili |
| Dicembre 2027 | Piena applicabilità di tutti gli obblighi — i prodotti non conformi non possono più essere venduti nell'UE |
Dal settembre 2026 gli obblighi di notifica sono già attivi. Se la tua azienda scopre una vulnerabilità sfruttata attivamente in un prodotto che commercializza nell'UE, deve notificarlo all'ENISA entro 24 ore. Questo obbligo è applicabile ora, non nel 2027. Verifica di avere le procedure di vulnerability disclosure e incident notification già operative.
CRA e NIS2: come si integrano
Il CRA e la Direttiva NIS2 (D.Lgs. 138/2024) sono regolamenti distinti ma complementari. La NIS2 si focalizza sulla sicurezza delle organizzazioni che gestiscono infrastrutture critiche; il CRA si focalizza sulla sicurezza dei prodotti commercializzati nell'UE.
Un'azienda IT italiana che sviluppa software gestionale e lo vende ad ASL e ospedali italiani:
- Come fornitore di software deve rispettare il CRA per il prodotto che commercializza
- Come operatore digitale che supporta infrastrutture critiche, potrebbe essere soggetto anche alla NIS2
Le sinergie tra i due framework sono significative: un programma di sicurezza che copre la NIS2 include molti dei controlli richiesti anche dal CRA (gestione vulnerabilità, notifica incidenti, sicurezza by design). Costruire un piano di conformità integrato è più efficiente che affrontare i due regolamenti separatamente.
Sanzioni e vigilanza di mercato
Le sanzioni del CRA sono significative:
- Violazione dei requisiti essenziali: fino a 15 milioni di euro o il 2,5% del fatturato annuo globale (la cifra più alta)
- Violazione degli obblighi degli operatori economici: fino a 10 milioni di euro o il 2% del fatturato
- Fornitura di informazioni inesatte o incomplete: fino a 5 milioni di euro o l'1% del fatturato
Le autorità di vigilanza del mercato (in Italia presumibilmente MIMIT e/o ACN) potranno effettuare ispezioni, richiedere documentazione tecnica, ordinare il ritiro dal mercato di prodotti non conformi e imporre sanzioni amministrative.
Come prepararsi adesso
Le PMI italiane che sviluppano o distribuiscono prodotti con elementi digitali dovrebbero avviare adesso — non aspettando il 2027 — le seguenti attività:
- Mappatura dei prodotti in scope — identifica tutti i prodotti che commercializzi nell'UE con elementi digitali: app, firmware, software, dispositivi connessi
- Gap analysis rispetto ai requisiti essenziali — valuta il livello attuale di sicurezza by design di ogni prodotto rispetto alla checklist CRA
- Implementazione del vulnerability disclosure program — crea un canale dedicato per la ricezione di segnalazioni di vulnerabilità e definisci le procedure di notifica all'ENISA (obbligatorie dal settembre 2026)
- Revisione del ciclo di sviluppo software — integra i controlli di sicurezza nel SDLC: threat modeling, code review, test di sicurezza, gestione delle dipendenze (SBOM)
- Documentazione tecnica — prepara la documentazione richiesta per la marcatura CE di cybersecurity: dichiarazione di conformità, analisi dei rischi, test effettuati
- Piano di supporto post-vendita — definisci formalmente per quanti anni supporterai ogni prodotto con patch di sicurezza e come gestirai le fine-of-life
Per le aziende che hanno già avviato il percorso di certificazione ISO 27001, molti controlli sono già in parte presenti: gestione vulnerabilità, gestione degli incidenti, ciclo di sviluppo sicuro. Il CRA richiede di estendere questi controlli specificamente ai prodotti commercializzati.
Inizia con la mappatura SBOM (Software Bill of Materials): l'inventario di tutti i componenti open source e di terze parti inclusi nei tuoi prodotti. È il punto di partenza per la gestione delle vulnerabilità CRA-compliant ed è richiesto esplicitamente dalla documentazione tecnica del regolamento.
Domande frequenti
Cos'è il Cyber Resilience Act europeo?
Un regolamento UE che impone requisiti obbligatori di cybersecurity per tutti i prodotti con elementi digitali commercializzati nell'UE. Si applica a hardware connesso, software, dispositivi IoT. L'obiettivo è garantire la security by design e il supporto alla sicurezza per tutta la vita utile del prodotto.
Quando entrano in vigore gli obblighi del CRA?
Il regolamento è in vigore da ottobre 2024. Gli obblighi di notifica vulnerabilità sono applicabili da settembre 2026. La piena applicabilità di tutti i requisiti è fissata per dicembre 2027: da quella data i prodotti non conformi non potranno più essere commercializzati nell'UE.
Le PMI italiane che sviluppano software sono obbligate dal CRA?
Sì, se commercializzano prodotti digitali nell'UE. Le PMI sviluppatrici devono conformarsi ai requisiti di sicurezza by design, gestire le vulnerabilità, rilasciare patch di sicurezza gratuitamente e notificare gli incidenti all'ENISA.