Prepara i tuoi prodotti al Cyber Resilience Act
Ultimo aggiornamento: 30 ottobre 2026. Una sintesi, non una consulenza legale. Per il tuo caso verifica sempre il testo ufficiale.
Read in English · Auf Deutsch lesen
Ogni prodotto con elementi digitali venduto nell’UE deve essere sicuro fin dalla progettazione. Dall’11 settembre 2026 il fabbricante deve segnalare entro 24 ore le vulnerabilità attivamente sfruttate, anche per i prodotti già venduti. Dall’11 dicembre 2027 servono anche una SBOM, la gestione delle vulnerabilità e aggiornamenti di sicurezza gratuiti per tutto il periodo di assistenza.
A chiunque immetta sul mercato UE un prodotto con elementi digitali
Fabbricanti, importatori e distributori di hardware e software che si collegano a un dispositivo o a una rete. La maggior parte degli obblighi ricade sul fabbricante.
Segnala una vulnerabilità attivamente sfruttata in tre passi
Le stesse scadenze valgono per un incidente grave, con la relazione finale entro un mese dalla notifica. Le segnalazioni vanno al CSIRT nazionale e all’ENISA tramite la piattaforma unica di segnalazione.
- Preallarme entro 24 oreDal momento in cui ne vieni a conoscenza.
- Notifica entro 72 oreIl prodotto, lo sfruttamento e le misure che gli utilizzatori possono adottare.
- Relazione finale entro 14 giorniDa quando è disponibile una correzione o una misura di attenuazione.
Dal momento in cui è venuto a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave […] il fabbricante informa gli utilizzatori interessati del prodotto con elementi digitali e, se del caso, tutti gli utilizzatori
gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento e che sono stati immessi sul mercato prima dell’11 dicembre 2027
Costruisci ogni nuovo prodotto secondo i requisiti essenziali
- Nessuna vulnerabilità sfruttabile nota quando il prodotto è messo a disposizione Allegato I, parte I, punto 2, lettera a)
- Una SBOM in un formato di uso comune e leggibile da un dispositivo automatico, almeno per le dipendenze di primo livello Allegato I, parte II, punto 1
- La gestione delle vulnerabilità per tutto il periodo di assistenza, di almeno cinque anni Articolo 13, paragrafo 8
- Aggiornamenti di sicurezza senza ritardo e gratuiti, salvo accordo diverso per un prodotto su misura Allegato I, parte II, punto 8
- Una politica di divulgazione coordinata delle vulnerabilità Allegato I, parte II, punto 5
- Documentazione tecnica e dichiarazione di conformità UE conservate per 10 anni o per il periodo di assistenza, se più lungo Articolo 13, paragrafo 13
Da dove cominciare
- Elenca i tuoi prodotti e il software contenuto in ciascuno
- Decidi chi riceve e chi invia una segnalazione entro 24 ore
- Avvia la SBOM di un prodotto
- Organizza un modo per raggiungere gli utilizzatori di ogni prodotto consegnato
Tu firmi la dichiarazione di conformità. Noi prepariamo le evidenze: quale prodotto consegnato è esposto, cosa dire al cliente e cosa hai fatto.
Segui cosa cambia, con data e fonte
Il CRA continua a muoversi: linee guida, norme, autorità nazionali, piattaforma di segnalazione. Pubblichiamo una breve notizia quando qualcosa cambia ciò che i costruttori di macchine devono fare, con il link al testo ufficiale.
Novità CRA per i costruttori di macchine Monitoraggio delle norme CRA
Quali prodotti ti aiutano, e perché
Shield Lifecycle
SBOM, gestione delle vulnerabilità e VEX per ogni prodotto consegnato, segnalazioni dell’articolo 14, avvisi ai clienti e documentazione.
Articolo 13, articolo 14, allegato I
Scopri Shield Lifecycle Copre una parteEdge Shield
Riduce la superficie di attacco del prodotto.
Allegato I, parte I, punto 2, lettera j)
Scopri Edge Shield ENDomande sul CRA
Il CRA vale anche per i prodotti venduti prima di dicembre 2027?
L’obbligo di segnalazione dell’articolo 14 sì, dall’11 settembre 2026. Gli altri requisiti si applicano a quei prodotti solo se subiscono una modifica sostanziale dall’11 dicembre 2027 (articolo 69). Per le macchine già in campo leggi la domanda 2.2 delle nostre FAQ.
Una macchina è un prodotto con elementi digitali?
Una macchina con un PLC, un HMI o un gateway per l’accesso remoto contiene software e si collega a un dispositivo o a una rete. Quindi è un prodotto con elementi digitali, e il suo fabbricante ha gli obblighi del CRA. Alla stessa macchina si applica anche il Regolamento Macchine.
Chi riceve la segnalazione a 24 ore?
Il CSIRT designato come coordinatore nello Stato membro del tuo stabilimento principale e, allo stesso tempo, l’ENISA, tramite la piattaforma unica di segnalazione (articolo 14). In Italia è il CSIRT Italia, presso l’Agenzia per la cybersicurezza nazionale.
Quanto dura il periodo di assistenza?
Almeno cinque anni, a meno che il prodotto non sia destinato a restare in uso per meno tempo. Deve rispecchiare il tempo per cui si prevede che il prodotto resti in uso (articolo 13, paragrafo 8).
Una piccola impresa può essere sanzionata per una segnalazione in ritardo?
Non per un preallarme a 24 ore inviato in ritardo. I fabbricanti che sono microimprese o piccole imprese sono esenti da quella sanzione: l’articolo 64, paragrafo 10, come corretto il 2 luglio 2025, copre anche il paragrafo 2, dove si trovano le sanzioni dell’articolo 14 (rettifica). La notifica a 72 ore e la relazione finale restano obbligatorie e sanzionabili.
Leggi tutte le 97 risposte delle FAQ CRA per costruttori e importatori di macchine
A che punto sei rispetto al 20 gennaio 2027?
Sette domande su come lavori oggi. Tre minuti. Ricevi un punteggio su 10 e scopri cosa ti manca.