--- title: "Cyber Resilience Act e macchine: quando si applica | Edge SDN" description: "Una macchina connessa rientra nel Cyber Resilience Act e nel Regolamento Macchine. Cosa chiede ciascuno, quali date valgono e come lavorare una volta sola." url: https://www.edge-sdn.com/it/casi-d-uso/cra-o-regolamento-macchine/ last_updated: 2026-10-30 --- CRA · Regolamento Macchine · Costruttore di macchine · System integrator # Scopri quale legge si applica alla tua macchina: il Cyber Resilience Act, il Regolamento Macchine o entrambi Di Aldo Campi, cofondatore e CEO di Stoorm5 · Pubblicato il 30 ottobre 2026 · Aggiornato il 30 ottobre 2026 [Read in English](https://www.edge-sdn.com/use-cases/cra-or-machinery-regulation/) Il Cyber Resilience Act si applica alle macchine? Sì, quasi sempre. Una macchina con software e una qualsiasi connessione dati è un prodotto con elementi digitali secondo il regolamento (UE) 2024/2847, e resta una macchina secondo il regolamento (UE) 2023/1230. Si applicano entrambi, ciascuno con requisiti e date propri: Regolamento Macchine dal 20 gennaio 2027, obbligo di segnalazione del CRA dall'11 settembre 2026, CRA per intero dall'11 dicembre 2027. A che punto sei rispetto al [20 gennaio 2027](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230R%2801%29)? [Fai il Check 2027](https://www.edge-sdn.com/it/check-2027/): sette domande, tre minuti. ## I punti chiave - Il CRA si applica a ogni prodotto con elementi digitali la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Basta un PLC, un HMI, una porta Ethernet o una porta USB di servizio. [\[Regolamento (UE) 2024/2847, articolo 2, paragrafo 1\]](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F2) - Il CRA esclude dispositivi medici, dispositivi medico-diagnostici in vitro, veicoli a motore omologati, prodotti certificati dell'aviazione civile ed equipaggiamento marittimo. Le macchine non sono nell'elenco. Il considerando 53 nomina i fabbricanti di macchine e chiede loro di seguire le procedure di valutazione della conformità di entrambi i regolamenti. [\[Regolamento (UE) 2024/2847, articolo 2, paragrafi da 2 a 4, e considerando 53\]](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F2) - Le macchine immesse sul mercato prima dell'11 dicembre 2027 devono rispettare i requisiti di prodotto del CRA solo se subiscono una modifica sostanziale dopo quella data. L'obbligo di segnalazione dell'articolo 14 vale comunque per tutte. [\[Regolamento (UE) 2024/2847, articolo 69, paragrafi 2 e 3\]](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69) - Una macchina certificata nell'ambito di un sistema europeo di certificazione della cybersicurezza è considerata conforme ai punti 1.1.9 e 1.2.1 dell'allegato III del Regolamento Macchine, nella misura in cui il certificato li copre. Il testo non prevede altre scorciatoie. [\[Regolamento (UE) 2023/1230, articolo 20, paragrafo 9\]](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230#art%5F20) - Una macchina soggetta a più atti dell'Unione che prescrivono una dichiarazione di conformità UE riceve un'unica dichiarazione, che li indica tutti. [\[Regolamento (UE) 2023/1230, articolo 21, paragrafo 3\]](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230#art%5F21) ## “Noi costruiamo macchine, non software” È la frase che sentiamo più spesso dai costruttori di macchine quando si parla di Cyber Resilience Act. Ed è un’obiezione comprensibile. L’azienda scrive la logica dei PLC, non app. Fa marcatura CE da vent’anni. La legge, però, non guarda all’azienda. Guarda alla macchina, e la guarda due volte. ## Regolamento (UE) 2023/1230 Il Regolamento Macchine protegge le persone intorno alla macchina. Regolamento (UE) 2024/2847 Il Cyber Resilience Act protegge il software dentro la macchina ## Perché il CRA riguarda anche una macchina Il CRA non ha un elenco di tipi di prodotto. Ha un solo criterio, all’articolo 2, paragrafo 1. [Regolamento (UE) 2024/2847, articolo 2, paragrafo 1](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F2) Una macchina soddisfa il criterio non appena ha uno di questi elementi. - **Un PLC o un HMI**Software scritto da te o acquistato. Contano entrambi. - **Una porta Ethernet**Verso il MES, la telemetria, la rete di stabilimento. - **Una porta di servizio**Una USB o una presa per il portatile dell’assistenza. Una connessione dati fisica. - **La teleassistenza**Un gateway VPN o un modem cellulare. Una connessione indiretta. L’articolo 2 elenca poi ciò che il CRA lascia ad altre leggi: dispositivi medici, dispositivi medico-diagnostici in vitro, veicoli a motore omologati, prodotti certificati dell’aviazione civile ed equipaggiamento marittimo. Le macchine non ci sono. Il considerando 53 nomina direttamente i fabbricanti di macchine e indica come gestire la sovrapposizione. [Regolamento (UE) 2024/2847, considerando 53](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#rct%5F53) In queste due frasi contano due parole: le procedure sono quelle di **entrambi** i regolamenti, e le sinergie le **dimostra** il fabbricante. Rispettare il CRA può aiutarti con i punti 1.1.9 e 1.2.1 del Regolamento Macchine, ma nessuno lo presume al posto tuo. ## Cosa chiede ciascuna legge alla stessa macchina I due regolamenti si sovrappongono su un’idea, la protezione del software dalle interferenze dolose, poi prendono strade diverse. Il Regolamento Macchine si ferma dove si ferma la sicurezza. Il CRA prosegue per tutto il periodo di assistenza del prodotto. | Obbligo | Regolamento Macchine | Cyber Resilience Act | | ---------------------------------------------------------------------------------------------------- | ---------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------- | | La valutazione dei rischi copre i tentativi deliberati ragionevolmente prevedibili da parte di terzi | **Richiesto**, allegato III, 1.2.1 | **Richiesto**, allegato I, parte I | | La macchina individua il software di sicurezza installato e ne fornisce l’elenco su richiesta | **Richiesto**, allegato III, 1.1.9 | In parte: uno SBOM nella documentazione tecnica, allegato I, parte II | | Registrazione delle versioni del software di sicurezza e degli interventi, conservata cinque anni | **Richiesto**, allegato III, 1.2.1 | Non in questi termini | | SBOM di tutti i componenti, non solo di quelli di sicurezza | Non richiesto | **Richiesto**, allegato I, parte II | | Gestione delle vulnerabilità per il periodo di assistenza, di almeno cinque anni | Non richiesto | **Richiesto**, articolo 13 e allegato I, parte II | | Preallarme entro 24 ore per una vulnerabilità attivamente sfruttata | Non richiesto | **Richiesto**, articolo 14, dall’[11 settembre 2026](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) | | Aggiornamenti di sicurezza forniti gratuitamente agli utilizzatori | Non richiesto | **Richiesto**, allegato I, parte II | | Inclusi in un’unica dichiarazione di conformità UE | **Sì**, articolo 21, paragrafo 3 | **Sì**, con la stessa dichiarazione | Rileggi la colonna di destra. Quattro righe su otto sono obblighi che nel mondo delle macchine prima non esistevano. Non vengono dal Regolamento Macchine: vengono dal CRA, e restano in vigore per anni dopo la consegna. ## Cinque casi dallo stand Le stesse due leggi, applicate al modo in cui i costruttori di macchine vendono davvero. | Il tuo caso | Regolamento Macchine | Cyber Resilience Act | Cosa significa per te | | ----------------------------------------------------------------------------- | --------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------- | | Costruisci una macchina completa e ne scrivi il software di comando | Si applica per intero | Si applica per intero. Sei il fabbricante di un prodotto con elementi digitali | Due serie di requisiti, una valutazione dei rischi con due capitoli, una dichiarazione | | Costruisci una macchina completa con PLC e HMI acquistati, senza software tuo | Si applica per intero | Si applica per intero. Il fornitore risponde del PLC, tu della macchina | Dovuta diligenza sui componenti che integri, articolo 13. La gestione delle vulnerabilità della macchina resta tua | | Fai retrofit o revamping di una macchina già in campo, tua o di altri | Una modifica sostanziale ti rende fabbricante, articolo 18 | Una modifica sostanziale dopo l’11 dicembre 2027 porta la macchina nel CRA, articolo 69, paragrafo 2 | L’intera macchina diventa un tuo prodotto. Decidi prima del lavoro se la modifica è sostanziale | | Produci quasi-macchine o un componente venduto a sé | Dichiarazione di incorporazione, articolo 22 | Il tuo componente è di per sé un prodotto con elementi digitali, articolo 3, punto 1 | La macchina del tuo cliente eredita il tuo SBOM e la tua gestione delle vulnerabilità. Ti chiederà entrambi | | Vendi software industriale a sé | Si applica solo se il software svolge una funzione di sicurezza | Si applica per intero | Il CRA è la tua legge principale. L’obbligo di segnalazione è già in vigore | **Macchine già in campo** I requisiti di prodotto del CRA si applicano ai prodotti immessi sul mercato dall’11 dicembre 2027, e a quelli precedenti solo dopo una modifica sostanziale ([articolo 69, paragrafo 2](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). L’obbligo di segnalazione dell’articolo 14 è diverso: dall’11 settembre 2026 vale per ogni prodotto con elementi digitali sul mercato, comprese le macchine che hai consegnato anni fa ([articolo 69, paragrafo 3](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69); date all’[articolo 71](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71)). ## Due serie di date, una macchina Obbligo di segnalazione del CRA. Preallarme entro 24 ore per una vulnerabilità attivamente sfruttata[Regolamento (UE) 2024/2847, articoli 14 e 71](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) Si applica il Regolamento Macchine. La cybersicurezza entra nella marcatura CE delle macchine nuove[Regolamento (UE) 2023/1230, rettifica](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230R%2801%29) Il CRA si applica per intero. SBOM, gestione delle vulnerabilità e aggiornamenti per i prodotti nuovi[Regolamento (UE) 2024/2847, articolo 71](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) Una macchina che consegni a marzo 2027 rientra nel Regolamento Macchine e nell’obbligo di segnalazione del CRA, ma non ancora nei requisiti di prodotto del CRA. Una macchina che consegni a gennaio 2028 rientra in tutti e tre. Prepara fin da ora il fascicolo tecnico pensando al secondo caso: nel frattempo i componenti non cambieranno. ## Le due procedure, senza fare il lavoro due volte Il considerando 53 chiede entrambe le procedure, non due copie di tutto. Se lo organizzi una volta sola, quasi tutto il lavoro serve a entrambe le leggi. 1. **Una valutazione dei rischi, due capitoli**Mantieni la valutazione della sicurezza secondo la ISO 12100. Aggiungi un capitolo di cybersicurezza: in quali modi software e dati possono essere alterati, chi può collegarsi in ciascuno stato di funzionamento e cosa succede in quel caso. Il punto 1.2.1 e l’allegato I, parte I, si basano sullo stesso capitolo. 2. **Un solo elenco dei componenti**Lo SBOM che il CRA chiede nella documentazione tecnica comprende l’elenco del software di sicurezza del punto 1.1.9. Segna le voci rilevanti per la sicurezza. Due obblighi, un solo elenco. 3. **Una sola descrizione della superficie di attacco**Quali porte, protocolli e interfacce sono aperti in produzione, in manutenzione locale e in teleassistenza. Il Regolamento Macchine la legge come chi può collegarsi. Il CRA la legge come ciò che una vulnerabilità può raggiungere. 4. **Un solo processo di monitoraggio**Ogni nuova vulnerabilità su un componente in elenco viene confrontata con la superficie di attacco: esposta o no. Se è esposta, la valutazione dei rischi per la sicurezza va rivista. È la parte che non finisce mai, e alimenta entrambi i fascicoli. 5. **Una sola dichiarazione**Articolo 21, paragrafo 3, del Regolamento Macchine: un’unica dichiarazione di conformità UE indica entrambi i regolamenti, con i riferimenti della loro pubblicazione. Una sola firma. [Regolamento (UE) 2023/1230, articolo 21, paragrafo 3](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230#art%5F21) ## A che punto è la presunzione di conformità Il Regolamento Macchine offre una sola scorciatoia per i punti di cybersicurezza. [Articolo 20, paragrafo 9](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32023R1230#art%5F20): una macchina certificata nell’ambito di un sistema europeo di certificazione della cybersicurezza adottato ai sensi del regolamento (UE) 2019/881 è considerata conforme ai punti 1.1.9 e 1.2.1, nella misura in cui il certificato li copre. Oggi non conosciamo nessun costruttore di macchine che abbia un certificato del genere per una macchina. Anche le norme armonizzate per questi due punti non sono ancora citate nella Gazzetta ufficiale, e le norme del CRA sono ancora in preparazione. **Cosa significa in pratica** Finché non arrivano le norme, nessuno può darti una presunzione di conformità per la cybersicurezza di una macchina. Fai tu la valutazione dei rischi, costruisci tu le evidenze, firmi tu. I regolamenti dicono cosa deve fare la macchina. Le evidenze che lo fa davvero spettano a te, e vanno conservate per anni. ## Cosa fa Shield Lifecycle, e cosa no [Shield Lifecycle](https://www.edge-sdn.com/it/prodotti/shield-lifecycle/) mantiene attivi i passi 2, 3 e 4 dopo la consegna: lo SBOM di ogni macchina consegnata, la superficie di attacco per stato di funzionamento, il controllo quotidiano delle nuove vulnerabilità, le dichiarazioni VEX, le bozze delle notifiche al CSIRT e degli avvisi ai tuoi clienti, e le evidenze che il processo ha funzionato. [Edge Shield EN](https://www.edge-sdn.com/products/edge-shield/) chiude le vie d’accesso alla macchina che secondo la superficie di attacco devono restare chiuse, senza toccare il programma del PLC. **Cosa non facciamo** Non facciamo la tua valutazione dei rischi per la sicurezza, non scriviamo la tua dichiarazione di conformità e non certifichiamo nulla. Nessuno strumento può rendere una macchina conforme a uno dei due regolamenti. Firma il fabbricante. Noi ti diamo il monitoraggio quotidiano e le evidenze su cui si basa quella firma. Se costruisci macchine e aspettavi che qualcuno ti dicesse che il CRA non ti riguarda, questo articolo dice il contrario. È la tua legge, accanto a quella che già conosci, e gran parte del lavoro serve a entrambe. ## Domande frequenti ### Il PLC e l'HMI li compro. Il CRA è un problema del fornitore o mio? Di entrambi. Il fornitore del PLC è il fabbricante del PLC, un prodotto con elementi digitali immesso sul mercato a sé. Tu sei il fabbricante della macchina, che è anch'essa un prodotto con elementi digitali. L'articolo 13 ti chiede di esercitare la dovuta diligenza sui componenti che integri, e la gestione delle vulnerabilità della macchina nel suo insieme resta a te. ### La mia macchina non ha una connessione di rete. Il CRA si applica lo stesso? Leggi bene l'articolo 2, paragrafo 1: diretta o indiretta, logica o fisica. Una porta USB di servizio, un attacco per il portatile dell'assistenza o un modem cellulare per la telemetria sono connessioni dati. Una macchina senza alcuna porta è rara. Se pensi che la tua lo sia, scrivi il ragionamento nella documentazione tecnica. ### Per il CRA mi serve un organismo notificato? Per la maggior parte delle macchine, no. La procedura di base del CRA è l'autovalutazione con il controllo interno (modulo A). L'organismo notificato entra in gioco quando il prodotto stesso è un prodotto importante o critico elencato negli allegati III o IV, ad esempio alcuni firewall, router o microcontrollori con funzioni di sicurezza. Controlla il componente che vendi come prodotto, non solo la macchina. ### Due regolamenti, due dichiarazioni? No. L'articolo 21, paragrafo 3, del Regolamento Macchine prevede un'unica dichiarazione di conformità UE per tutti gli atti dell'Unione che la richiedono, ciascuno indicato con i riferimenti della sua pubblicazione. Un documento, due regolamenti, una firma. ### Quale legge si applica a una macchina che consegno a marzo 2027? Il Regolamento Macchine, perché la macchina viene immessa sul mercato dopo il 20 gennaio 2027. I requisiti di prodotto del CRA si applicano ai prodotti immessi sul mercato dall'11 dicembre 2027, quindi non ancora a quella macchina, a meno che tu non la modifichi in modo sostanziale in seguito. L'obbligo di segnalazione dell'articolo 14 del CRA, invece, si applica dal primo giorno. Prodotto ### Shield Lifecycle [Scopri Shield Lifecycle](https://www.edge-sdn.com/it/prodotti/shield-lifecycle/) Prodotto ### Edge Shield [Scopri Edge Shield EN](https://www.edge-sdn.com/products/edge-shield/) Caso d’uso correlato ### Preparati al punto 1.1.9: cosa deve sapere la tua macchina del proprio software dal 20 gennaio 2027 [Leggi](https://www.edge-sdn.com/it/casi-d-uso/regolamento-macchine-punto-1-1-9/) Questo articolo è una sintesi per chi lavora sul campo, non una consulenza legale. Per il tuo caso verifica sempre il testo ufficiale. ## A che punto sei rispetto al 20 gennaio 2027? Sette domande su come lavori oggi. Tre minuti. Ricevi un punteggio su 10 e scopri cosa ti manca.