Cyber Resilience Act: dall'11 settembre 2026 scattano gli obblighi di segnalazione

Il Cyber Resilience Act (CRA) è il regolamento europeo (Regolamento UE 2024/2847) che introduce requisiti di cybersicurezza per i prodotti con elementi digitali venduti nell'Unione Europea. È in vigore dalla fine del 2024, ma la sua prima scadenza operativa arriva ora: dall'11 settembre 2026 scattano gli obblighi di segnalazione di vulnerabilità e incidenti.

Cosa succede l'11 settembre 2026?

Dall'11 settembre 2026 i produttori di prodotti con elementi digitali devono segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi all'ENISA (l'Agenzia dell'Unione europea per la cybersicurezza) e al CSIRT nazionale competente. L'obbligo riguarda anche i prodotti già presenti sul mercato, non solo quelli immessi dopo questa data. È un cambio di passo: la segnalazione tempestiva diventa un dovere di legge, non una buona pratica facoltativa.

Che cos'è un "prodotto con elementi digitali"?

È qualsiasi prodotto software o hardware connesso, direttamente o indirettamente, a un dispositivo o a una rete: dispositivi IoT, software gestionali, app, componenti, firmware, sensori industriali. Se la tua azienda produce, importa o distribuisce questo tipo di prodotti, il CRA ti riguarda.

Le tre classi di prodotto: non tutti gli obblighi sono uguali

Il CRA gradua i requisiti in base al rischio del prodotto, distinguendo tre categorie:

• Prodotti "default" (la maggioranza): requisiti di base e autovalutazione della conformità.
• Prodotti "importanti", suddivisi in Classe I (meno critici) e Classe II (più critici): la Classe II richiede in genere una valutazione di terza parte.
• Prodotti "critici": soggetti agli obblighi più stringenti.

Capire in quale classe ricadono i tuoi prodotti è il primo passo per dimensionare correttamente gli adempimenti.

Quali sono i tempi di segnalazione?

Il CRA impone una segnalazione a fasi, con tempi stretti a partire dal momento in cui si viene a conoscenza del problema:

• Early warning entro 24 ore: primo allarme all'ENISA e al CSIRT.
• Notifica tecnica entro 72 ore: dettagli sulla vulnerabilità o sull'incidente.
• Report finale entro 14 giorni per le vulnerabilità sfruttate attivamente, o entro 1 mese per gli incidenti gravi.

Rispettare questi tempi richiede procedure interne definite prima che l'incidente accada: chi rileva, chi valuta, chi segnala e con quali canali.

E la marcatura CE?

Gli obblighi di segnalazione sono solo la prima fase. La piena conformità al CRA, inclusa la marcatura CE dei prodotti, si applica dall'11 dicembre 2027. Da quella data i prodotti immessi sul mercato UE dovranno rispettare i requisiti essenziali di sicurezza previsti dal regolamento, tra cui la gestione delle vulnerabilità per tutto il periodo di supporto del prodotto. Chi si organizza ora sui processi di segnalazione arriva più preparato anche a quella scadenza.

Cosa rischia chi non è conforme?

Il regolamento prevede sanzioni fino a 15 milioni di euro o il 2,5% del fatturato annuo mondiale, a seconda di quale importo sia più alto, per la violazione dei requisiti essenziali. Al di là della sanzione, non avere una procedura pronta espone l'azienda a gestire un incidente nel caos, fuori dai tempi previsti, con danni reputazionali verso clienti e partner.

Come prepararsi da subito

1. Mappa i prodotti con elementi digitali che immetti o distribuisci sul mercato UE e classificali (default, importante, critico).
2. Definisci una procedura di gestione degli incidenti con ruoli e tempi chiari (24/72 ore, 14 giorni), coordinata con chi si occupa già di NIS2 e cyber security.
3. Attiva un processo di vulnerability management per intercettare e valutare le vulnerabilità prima che diventino incidenti.
4. Verifica lo stato di conformità con un audit di compliance dedicato, così individui le lacune con anticipo sulla scadenza CE del 2027.

Domande frequenti

Il CRA vale solo per i nuovi prodotti? No. Dall'11 settembre 2026 gli obblighi di segnalazione riguardano anche i prodotti con elementi digitali già presenti sul mercato.

Che differenza c'è tra CRA e NIS2? La NIS2 riguarda la sicurezza delle organizzazioni in settori critici; il CRA riguarda la sicurezza dei prodotti con elementi digitali. Molte aziende sono toccate da entrambi e possono gestirli in modo coordinato.

Chi deve segnalare: produttore, importatore o distributore? L'obbligo principale è del produttore, ma importatori e distributori hanno responsabilità di verifica: se immetti sul mercato prodotti di terzi, devi accertarti che siano conformi.

Come C2Compliance ti accompagna

Aiutiamo le aziende a prepararsi al CRA in modo pratico: mappatura e classificazione dei prodotti, procedure di segnalazione e vulnerability management, integrazione con gli obblighi NIS2 e cyber security e verifica tramite audit. L'obiettivo è arrivare all'11 settembre 2026 con un processo che funziona, non con un adempimento improvvisato.