Con il Regolamento (UE) 2024/2847 (“Cyber Resilience Act” o “CRA”), l’Unione europea introduce un insieme di regole comuni volte a rafforzare la sicurezza informatica dei prodotti digitali immessi sul mercato europeo.
Software, hardware, dispositivi connessi e, più in generale, prodotti con elementi digitali dovranno essere progettati, sviluppati e mantenuti tenendo conto della cybersicurezza lungo tutto il loro ciclo di vita.
Il Cyber Resilience Act è entrato in vigore il 10 dicembre 2024, ma i suoi effetti inizieranno a prodursi nei prossimi mesi.
È infatti prevista un’applicazione graduale del CRA, con alcune disposizioni che entreranno in vigore già nel 2026, mentre il quadro normativo sarà pienamente applicabile a partire dall’11 dicembre 2027.
Le prime scadenze sono già fissate: dall’11 giugno 2026 si applicano le norme relative agli organismi di valutazione della conformità; dall’11 settembre 2026, invece, scatteranno gli obblighi di segnalazione a carico dei fabbricanti in caso di vulnerabilità attivamente sfruttate o di incidenti gravi che incidano sulla sicurezza dei prodotti.
A chi si applica e quali sono i prodotti con elementi digitali interessati
Le disposizioni del Cyber Resilience Act si rivolgono principalmente ai fabbricanti di prodotti con elementi digitali, ma coinvolgono anche gli altri operatori economici della catena di fornitura, tra cui importatori, distributori, rappresentanti autorizzati e, nei casi previsti, gestori di software open source. In alcuni casi, gli obblighi del fabbricante possono ricadere anche su importatori o distributori, ad esempio quando commercializzano un prodotto con il proprio nome o marchio oppure modificano il prodotto in modo sostanziale.
Con riferimento all’ambito oggettivo di applicazione, il Cyber Resilience Act si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell’Unione europea. Si tratta, in termini generali, di prodotti software o hardware, incluse le relative soluzioni di elaborazione dati da remoto, quando la loro finalità prevista o il loro uso ragionevolmente prevedibile comportino una connessione dati, logica o fisica, diretta o indiretta, a un dispositivo o a una rete.
Rientrano quindi nell’ambito del Cyber Resilience Act, a titolo esemplificativo, dispositivi IoT, router, sistemi operativi, applicazioni, software gestionali, componenti hardware e software, prodotti smart home, dispositivi indossabili e, più in generale, prodotti digitali o connessi destinati a essere distribuiti o utilizzati nel mercato europeo.
Sono previste tuttavia alcune esclusioni, ad esempio per prodotti già regolati da normative settoriali specifiche, per prodotti sviluppati esclusivamente per finalità di sicurezza nazionale o difesa, nonché per alcune ipotesi relative al software libero e open source non fornito nell’ambito di un’attività commerciale.
L’applicazione concreta del Cyber Resilience Act richiede quindi una valutazione caso per caso, tenendo conto sia del prodotto e del suo modello di distribuzione, sia del ruolo svolto dall’operatore economico.
Gli obblighi principali
Il Cyber Resilience Act impone ai fabbricanti di integrare la cybersicurezza lungo l’intero ciclo di vita dei prodotti con elementi digitali. Tali prodotti dovranno quindi essere progettati, sviluppati, realizzati e mantenuti in modo da garantire un livello di sicurezza adeguato ai rischi.
Prima dell’immissione sul mercato, il fabbricante dovrà effettuare una valutazione dei rischi di cybersicurezza associati al prodotto e tenerne conto in tutte le fasi rilevanti, dalla progettazione allo sviluppo, dalla produzione alla consegna, fino alla manutenzione. Il prodotto dovrà inoltre rispettare specifici requisiti di sicurezza, tra cui la riduzione delle vulnerabilità sfruttabili, la configurazione sicura per impostazione predefinita, la protezione da accessi non autorizzati, la tutela della riservatezza, dell’integrità e della disponibilità dei dati, nonché la possibilità di ricevere aggiornamenti di sicurezza.
Il fabbricante sarà inoltre tenuto a predisporre la documentazione tecnica, svolgere la procedura di valutazione della conformità applicabile, redigere la dichiarazione UE di conformità e apporre la marcatura CE. Per molti prodotti potrà essere sufficiente l’autovalutazione, mentre per quelli considerati importanti o critici sotto il profilo della cybersicurezza potranno essere richieste procedure più rigorose, anche con l’intervento di organismi notificati.
Gli obblighi del fabbricante non si esauriscono con l’immissione del prodotto sul mercato. Il CRA richiede infatti l’adozione di processi idonei a individuare, correggere e documentare le vulnerabilità anche nella fase successiva alla commercializzazione.
A partire dall’11 settembre 2026, i fabbricanti dovranno inoltre notificare le vulnerabilità attivamente sfruttate contenute nel prodotto e gli incidenti gravi che incidano sulla sua sicurezza. Per le vulnerabilità attivamente sfruttate è prevista una prima comunicazione entro 24 ore dal momento in cui il fabbricante ne viene a conoscenza, seguita da una notifica vera e propria entro 72 ore e da una relazione finale. Obblighi analoghi sono previsti per gli incidenti gravi, secondo tempistiche specifiche per la comunicazione e la relazione finale.
Anche importatori e distributori sono destinatari di specifici obblighi. Prima di immettere o mettere a disposizione un prodotto sul mercato, dovranno verificare che il fabbricante abbia rispettato gli adempimenti richiesti, che il prodotto sia accompagnato dalla documentazione necessaria e che rechi la marcatura CE. Qualora abbiano motivo di ritenere che un prodotto non sia conforme o presenti un rischio di cybersicurezza, non dovranno immetterlo né renderlo disponibile sul mercato.
Cosa fare ora
Alla luce delle tempistiche previste dal Cyber Resilience Act, occorre avviare per tempo una valutazione dei prodotti, dei processi interni e dei rapporti con fornitori e partner commerciali. Prepararsi in anticipo sarà quindi essenziale per individuare eventuali gap di conformità e affrontare le prossime scadenze con maggiore consapevolezza.
