Trova risposte chiare sul CRA per le tue macchine

Il CRA non ha un elenco di tipi di prodotto. Ha un solo criterio: il prodotto contiene software o hardware elettronico che tratta dati, e il suo uso previsto o ragionevolmente prevedibile comprende una connessione dati diretta o indiretta a un dispositivo o a una rete (articolo 2, paragrafo 1). Una macchina con un PLC, un HMI, un azionamento su bus di campo o una porta di servizio soddisfa il criterio. Le macchine non sono tra le esclusioni dell'articolo 2. La macchina resta anche sotto il Regolamento Macchine (UE) 2023/1230: si applicano entrambe le norme (FAQ della Commissione 2.4.2 EN).

Il CRA parla di connessioni dati, non di internet. Una connessione fisica comprende cavi, collegamenti ottici e radio. Una connessione logica comprende qualsiasi interfaccia software (articolo 3, punti 8 e 9). Le FAQ della Commissione citano come esempi di connessione fisica diretta un bus di campo industriale come PROFIBUS che collega un sensore a un PLC, e un cavo USB (FAQ della Commissione 1.3 EN). Una rete isolata riduce il rischio nella tua valutazione del rischio. Non porta la macchina fuori dal CRA.

Una macchina solo meccanica o elettromeccanica, a relè e senza elementi programmabili, non è un prodotto con elementi digitali (articolo 3, punto 1). Appena aggiungi un PLC, un relè programmabile, un azionamento con firmware o un HMI, la macchina rientra nel CRA se quell'elemento può scambiare dati.

Immetti la macchina sul mercato con il tuo nome, quindi sei il fabbricante dell'intera macchina come prodotto con elementi digitali (articolo 3, punto 13). PLC e HMI sono componenti. Su di essi devi esercitare la dovuta diligenza (articolo 13, paragrafo 5) e gestisci le vulnerabilità della macchina nel suo insieme, componenti compresi (FAQ della Commissione 4.3.6 EN). Quando quei componenti sono a loro volta immessi sul mercato secondo il CRA, puoi contare sugli obblighi dei loro fabbricanti, per esempio quello di produrre una patch.

La normativa UE sui prodotti si applica a ogni singolo prodotto, che sia fatto come pezzo unico o in serie (Guida blu 2022, sezioni 2.2 e 2.3). Le macchine su misura hanno una sola deroga: per un prodotto su misura, adattato a uno scopo preciso per un determinato utilizzatore professionale, tu e il cliente potete concordare in modo esplicito di derogare a due requisiti, la configurazione sicura per impostazione predefinita e gli aggiornamenti di sicurezza gratuiti (allegato I, considerando 64). Tutti gli altri obblighi restano. Vedi la domanda 6.3.

Non c'è immissione sul mercato quando un prodotto è fabbricato per uso proprio (FAQ della Commissione 1.5 EN, che richiamano la Guida blu). Due avvertenze. Il Regolamento Macchine si applica anche alle macchine messe in servizio per uso proprio. E una macchina costruita da una società del gruppo e venduta a una consociata può essere un'immissione sul mercato, perché il passaggio avviene tra due persone giuridiche.

Il CRA copre un prodotto insieme alle sue soluzioni di elaborazione dati da remoto (articolo 3, punto 1). L'elaborazione dati da remoto rientra quando l'hai progettata tu, o l'hai fatta progettare sotto la tua responsabilità, e la macchina non può svolgere una delle sue funzioni senza di essa (articolo 3, punto 2). La tua piattaforma che invia ricette, configurazioni o aggiornamenti alla macchina è un caso probabile. Un servizio di accesso remoto di terzi che compri e usi soltanto non è una tua soluzione di elaborazione dati da remoto. Il gateway che monti nella macchina resta però uno dei suoi componenti. Gli orientamenti della Commissione esaminano diversi casi d'uso (C(2026) 5252 EN).

Router, switch e sistemi operativi sono prodotti importanti dell'allegato III. Ma integrare un prodotto del genere non sottopone di per sé il prodotto in cui è integrato alle procedure più severe (articolo 7, paragrafo 1). Decide la funzionalità principale della macchina (FAQ della Commissione 3.2 EN). L'assicurazione tedesca contro gli infortuni del settore metalmeccanico arriva alla stessa conclusione per PLC, azionamenti e interfacce di rete (FAQ BGHM DE). Quasi tutte le macchine sono prodotti senza classe e usano l'autovalutazione (modulo A). Le descrizioni tecniche di ogni categoria sono nel regolamento di esecuzione (UE) 2025/2392.

Dipende dal fatto che l'unità sia già sul mercato UE. L'immissione sul mercato avviene una sola volta per unità in tutta l'UE (Guida blu 2022, sezione 2.3). Una macchina usata già sul mercato UE non viene immessa di nuovo quando la rivendi. Una macchina usata importata nell'UE per la prima volta è immessa sul mercato in quel momento: deve essere conforme se succede dall'11 dicembre 2027 in poi. Un revamping che cambia funzioni o proprietà di sicurezza può essere una modifica sostanziale. Vedi la sezione 3.

Dall'11 settembre 2026 si applica l'obbligo di segnalazione dell'articolo 14. Il 20 gennaio 2027 si applica il Regolamento Macchine. L'11 dicembre 2027 si applica il resto del CRA (articolo 71, paragrafo 2). Vanno ricordate altre due date: il capo IV sugli organismi notificati si applica dall'11 giugno 2026, e la nuova direttiva sulla responsabilità per danno da prodotti difettosi copre i prodotti immessi sul mercato o messi in servizio dal 9 dicembre 2026.

L'obbligo di segnalazione vale già per tutto il parco installato. Le regole sul prodotto partono quindici mesi dopo, l'11 dicembre 2027, e solo per le unità immesse sul mercato da quel giorno o modificate in modo sostanziale dopo quella data.

In Italia. Il CRA e il Regolamento Macchine sono regolamenti: si applicano direttamente, senza attendere le leggi nazionali. I decreti italiani su autorità, controlli e sanzioni sono all'esame del Parlamento. Vedi la domanda IT.1.

No per i requisiti sul prodotto, sì per la segnalazione. Le macchine immesse sul mercato prima dell'11 dicembre 2027 rientrano nei requisiti del CRA solo se subiscono una modifica sostanziale da quella data (articolo 69, paragrafo 2). Tengono la loro marcatura CE (FAQ BGHM DE). Ma l'obbligo di segnalazione dell'articolo 14 vale per tutte, anche per le macchine consegnate anni fa (articolo 69, paragrafo 3).

Ogni unità immessa sul mercato dall'11 dicembre 2027 in poi. Le regole si applicano ai singoli prodotti, non ai modelli. Un modello venduto per la prima volta nel 2025 non protegge un'unità venduta nel 2028 (FAQ della Commissione 7.2 EN, Guida blu 2022, sezione 2.3). La Guida blu è chiara: le unità di un modello più vecchio immesse sul mercato dopo che i nuovi requisiti sono diventati applicabili devono rispettare i nuovi requisiti.

Di solito conta la data in cui la macchina finita viene trasferita per la prima volta al cliente, non la data dell'ordine. Trasferire significa passare la proprietà, il possesso o un altro diritto: la consegna fisica non serve. Un'offerta o un contratto conclusi prima che la fabbricazione sia finita non sono un'immissione sul mercato (Guida blu 2022, sezione 2.3). Per una linea che finisci e collaudi presso il cliente, la fabbricazione finisce lì: conta quella data successiva. Fatturare o trasferire la proprietà di una macchina non finita prima dell'11 dicembre 2027 non aiuta.

Le unità già immesse sul mercato, per esempio vendute a un rivenditore o a un distributore, si possono vendere anche dopo quella data senza adeguarle (FAQ della Commissione 7.2 e 7.5 EN). Le unità ancora nel tuo magazzino, non ancora fornite a nessuno, non sono state immesse sul mercato. Dall'11 dicembre 2027 puoi immetterle solo se sono conformi.

Nessuna data del CRA è cambiata e il regolamento non prevede periodi di tolleranza. Sono cambiate le proposte attorno al CRA. Il 7 luglio 2026 la Commissione ha notificato una bozza di modifica della richiesta di normazione M/606, con nuove scadenze di consegna; al 16 ottobre 2026 non era stata adottata (il nostro monitoraggio delle norme). La proposta di Omnibus digitale del 19 novembre 2025 creerebbe un punto unico di segnalazione degli incidenti gestito dall'ENISA. È ancora una proposta. Oggi la piattaforma unica di segnalazione dell'ENISA EN è l'unico canale per le segnalazioni CRA.

In Italia. Un decreto nazionale non può spostare le date di un regolamento UE. Lo schema di decreto italiano sul CRA infatti non le tocca: designa le autorità e regola controlli e sanzioni (dossier della Camera sull'atto del Governo n. 447).

Sì, quando la macchina ha elementi digitali. Le FAQ della Commissione dicono che rispettare i requisiti di cybersicurezza di un regolamento non basta automaticamente a soddisfare del tutto quelli dell'altro (FAQ della Commissione 2.4.2 EN). Il Regolamento Macchine tutela la sicurezza: l'allegato III, punti 1.1.9 e 1.2.1, chiede la protezione dall'alterazione e la sicurezza e affidabilità dei sistemi di comando (regolamento (UE) 2023/1230). Il CRA tutela i dati, le funzioni e la gestione delle vulnerabilità per tutto il periodo di assistenza. Vanno seguite le procedure di conformità di entrambi (FAQ della Commissione 2.4.3 EN). Redigi un'unica dichiarazione di conformità UE che cita entrambi gli atti (articolo 28, paragrafo 3).

In Italia. Le due norme avranno autorità diverse: l'ACN per il CRA, il Ministero delle imprese e del made in Italy e il Ministero del lavoro per il Regolamento Macchine. Vedi la domanda IT.2.

Per il CRA una modifica è sostanziale quando incide sulla conformità ai requisiti essenziali dell'allegato I, parte I, o cambia l'uso previsto che era stato valutato (articolo 3, punto 30). Per il Regolamento Macchine una modifica è sostanziale solo se non era prevista o pianificata dal fabbricante, incide sulla sicurezza creando un nuovo pericolo o aumentando un rischio esistente, e richiede nuovi ripari o altre misure di protezione (articolo 3, punto 16, del regolamento (UE) 2023/1230). Lo stesso intervento può essere sostanziale per una norma e non per l'altra. Dall'11 dicembre 2027, una modifica sostanziale ai sensi del Regolamento Macchine ti obbliga anche a considerare il CRA per dichiarare la conformità (FAQ BGHM DE).

Solo se l'intervento è una modifica sostanziale. Una macchina immessa sul mercato prima dell'11 dicembre 2027 rientra nel CRA se subisce una modifica sostanziale da quella data (articolo 69, paragrafo 2). Un'azienda diversa dal fabbricante originale che modifica in modo sostanziale una macchina e la mette a disposizione diventa fabbricante per la parte toccata dalla modifica, oppure per l'intero prodotto se la modifica incide sulla cybersicurezza del prodotto nel suo insieme (articolo 22, paragrafo 2). Il limite alla sola parte modificata vale per i terzi che modificano una macchina e la mettono a disposizione. Se sei il costruttore originale, ragiona sull'intera macchina, a meno che un esempio degli orientamenti calzi chiaramente sul tuo caso (C(2026) 5252 EN). La VDMA, l'associazione tedesca dei costruttori, sostiene che i revamping del costruttore originale non dovrebbero contare come modifiche sostanziali (VDMA DE). Trattala come una discussione aperta, non come diritto acquisito.

Un semplice aggiornamento di sicurezza di norma no. Un aggiornamento funzionale può esserlo. L'esempio della Commissione: un aggiornamento che corregge errori su un prodotto venduto nel 2027 non lo porta nel CRA, mentre un aggiornamento successivo che aggiunge nuove funzioni e cambia l'uso previsto sì (FAQ della Commissione 1.4 EN). Gli orientamenti aggiungono che conta l'effetto sul rischio rispetto alla valutazione del rischio originale, non la dimensione della modifica (C(2026) 5252 EN). Una funzione già valutata e consegnata disattivata si può attivare dopo senza modifica sostanziale.

Il CRA non si applica ai pezzi di ricambio che sostituiscono componenti identici e sono fabbricati secondo le stesse specifiche (articolo 2, paragrafo 6). Servono entrambe le condizioni: stesso componente e stesse specifiche. Un ricambio dello stesso modello spedito con un firmware diverso può non soddisfare la seconda. Il considerando 29 cita i ricambi per prodotti immessi prima dell'applicazione del CRA e i ricambi che hanno già superato la valutazione di conformità CRA. Un ricambio non identico, come un modello di PLC più recente, è un prodotto a sé. Deve essere conforme se è immesso sul mercato dall'11 dicembre 2027 (FAQ BGHM DE). Montarlo non rende di per sé la macchina modificata in modo sostanziale, purché uso previsto e rischio restino gli stessi.

Per il CRA il software è un prodotto. Un nuovo software che fa più che correggere errori, venduto a parte per macchine esistenti, è un nuovo prodotto immesso sul mercato, con un proprio periodo di assistenza che parte da quella data (FAQ BGHM DE). Anche i kit di aggiornamento con componenti non identici sono prodotti nuovi. Non conta se li installa il tuo service o il cliente: conta chi li immette sul mercato.

Secondo l'articolo 12, paragrafo 1, del CRA, un prodotto che rientra nel CRA ed è anche un sistema di IA ad alto rischio si considera conforme ai requisiti di cybersicurezza dell'articolo 15 dell'AI Act quando rispetta le parti I e II dell'allegato I e la dichiarazione di conformità UE ne indica il livello richiesto. Accuratezza e robustezza non sono coperte. Il regolamento (UE) 2026/1744 ripete questo collegamento nell'AI Act e chiede alla Commissione di aggiungere requisiti di sicurezza per l'IA al Regolamento Macchine con atti delegati che dovrebbero applicarsi entro il 2 agosto 2028.

Dieci cose, tutte nell'articolo 13 e nei suoi allegati.

1. Valuta i rischi di cybersicurezza e documenta la valutazione.
2. Progetta la macchina per rispettare i requisiti di prodotto dell'allegato I, parte I, che la riguardano.
3. Esercita la dovuta diligenza sui componenti che acquisti, open source compreso.
4. Redigi una SBOM, la distinta base del software, almeno per le dipendenze di primo livello.
5. Fissa un periodo di assistenza e gestisci le vulnerabilità in quel periodo (allegato I, parte II).
6. Istituisci un punto di contatto unico e una politica di divulgazione coordinata delle vulnerabilità.
7. Scrivi la documentazione tecnica dell'allegato VII.
8. Esegui la valutazione della conformità, di solito l'autovalutazione del modulo A.
9. Redigi la dichiarazione di conformità UE e appone la marcatura CE.
10. Fornisci con la macchina le informazioni per l'utilizzatore dell'allegato II.

L'obbligo di segnalazione dell'articolo 14 si aggiunge e vale già oggi.

È un'analisi dei rischi di cybersicurezza della macchina, basata sull'uso previsto, sull'uso ragionevolmente prevedibile e sulle condizioni d'uso, come l'ambiente operativo o i beni da proteggere, tenendo conto di quanto a lungo si prevede che la macchina resti in uso (articolo 13, paragrafo 3). Deve dire quali requisiti dell'allegato I si applicano e come li rispetti (articolo 13, paragrafo 3), e devi motivare quelli che non si applicano (articolo 13, paragrafo 4). Il CRA non impone un metodo (FAQ della Commissione 4.1.2 EN). L'analisi per zone e condotti nello stile della IEC 62443-3-2 è un punto di partenza comune nel settore macchine. Puoi svolgerla insieme alla valutazione dei rischi della macchina, ma ogni fascicolo deve mostrare come copre la propria norma.

No, solo quelli che si applicano in base alla tua valutazione del rischio, e devi motivare gli altri (articolo 13, paragrafo 4, FAQ della Commissione 4.1.3 EN). Questo filtro riguarda i requisiti di prodotto della parte I, punto 2. I requisiti di gestione delle vulnerabilità dell'allegato I, parte II, valgono sempre. L'elenco dell'allegato I, parte I copre vulnerabilità sfruttabili note, configurazione sicura per impostazione predefinita, aggiornamenti di sicurezza, controllo degli accessi, riservatezza, integrità, minimizzazione dei dati, disponibilità, impatto su altri dispositivi, superficie di attacco, mitigazione dello sfruttamento, registrazione degli eventi di sicurezza e cancellazione sicura dei dati. Se un vecchio protocollo di campo non si può proteggere, il considerando 55 consente di trattare il rischio con altri mezzi, per esempio limitando l'uso previsto ad ambienti fidati e informandone l'utilizzatore.

Ti serve una distinta base del software in un formato di uso comune e leggibile da dispositivo automatico, che copra almeno le dipendenze di primo livello (allegato I, parte II, punto 1). CycloneDX e SPDX sono i formati più diffusi. In Germania il BSI fissa regole dettagliate per la SBOM nella TR-03183 DE, che la BGHM raccomanda. Non sei obbligato a pubblicarla né a consegnarla agli utilizzatori: il considerando 77 dice che i fabbricanti non dovrebbero essere obbligati a rendere pubblica la SBOM (considerando 77). Se scegli di condividerla, le informazioni per l'utilizzatore dicono dove trovarla (allegato II, punto 9). Un'autorità di vigilanza del mercato può chiederla con una richiesta motivata (allegato VII, punto 8).

Almeno cinque anni, e di più se si prevede che la macchina resti in uso più a lungo (articolo 13, paragrafo 8). La norma cita in modo esplicito il contesto industriale: i prodotti destinati all'uso industriale, come i sistemi di controllo industriale, restano spesso in uso per periodi molto più lunghi (considerando 60). Cinque anni sono un minimo, non un valore di default (FAQ della Commissione 4.5.1 e 4.5.2 EN). Puoi tenere conto della proporzionalità, dei periodi di assistenza dei componenti principali che acquisti e della disponibilità dell'ambiente operativo. Devi indicare la data di fine, almeno mese e anno, al momento dell'acquisto (articolo 13, paragrafo 19) e scrivere le tue ragioni nella documentazione tecnica.

Dal giorno in cui ogni unità è immessa sul mercato. Le FAQ della Commissione fanno l'esempio di un lotto venduto a gennaio 2028 con assistenza fino a gennaio 2033, e di un secondo lotto dello stesso modello immesso nel 2030 che ha bisogno di un proprio periodo di assistenza (FAQ della Commissione 4.5.3 EN). L'ultima unità che vendi fissa l'ultima data di fine per quel modello.

Sì, durante il periodo di assistenza, salvo diverso accordo con l'utilizzatore professionale per un prodotto su misura (allegato I, parte II, punto 8, considerando 64). Dove tecnicamente possibile, gli aggiornamenti di sicurezza devono essere separati da quelli funzionali (allegato I, parte II, punto 2): puoi quindi continuare a far pagare le nuove funzioni. Ogni aggiornamento di sicurezza deve restare disponibile per almeno 10 anni dal rilascio, o per il resto del periodo di assistenza se più lungo (articolo 13, paragrafo 9).

No, quando un aggiornamento automatico può disturbare la produzione. L'obbligo di aggiornamento automatico non vale per i prodotti per cui gli utilizzatori non si aspetterebbero ragionevolmente aggiornamenti automatici, compresi i prodotti destinati alle reti ICT professionali e soprattutto agli ambienti critici e industriali, dove un aggiornamento automatico potrebbe interferire con l'operatività (considerando 56, FAQ della Commissione 4.3.3 EN). Devi comunque offrire un modo sicuro per distribuire gli aggiornamenti e informare gli utilizzatori senza ritardo (allegato I, parte II, punti 7 e 8).

Devi affrontare e correggere le vulnerabilità senza ritardo e in relazione ai rischi che comportano (allegato I, parte II, punto 2). Una patch è un rimedio. Altri sono le soluzioni temporanee, le istruzioni di configurazione o la disattivazione di una funzione (FAQ della Commissione 4.3.1 EN). L'esempio della Commissione: una libreria vulnerabile le cui funzioni non vengono mai chiamate può richiedere solo di essere documentata e rimossa nella prossima release ordinaria. In una macchina, un servizio vulnerabile che nessun percorso di rete raggiunge è un caso simile, ma devi dimostrare che il percorso è davvero chiuso.

Il contenuto è nell'allegato VII: descrizione del prodotto e versioni software, progetto e architettura del sistema, processi di gestione delle vulnerabilità con la SBOM e la politica di divulgazione, valutazione del rischio, motivazione del periodo di assistenza, norme o altre soluzioni applicate, rapporti di prova e dichiarazione di conformità. Conservala, insieme alla dichiarazione, per almeno 10 anni dall'immissione sul mercato della macchina o per il periodo di assistenza, se più lungo (articolo 13, paragrafo 13).

Il minimo è nell'allegato II: i tuoi recapiti, il punto di contatto unico per le vulnerabilità, l'identificazione del prodotto, l'uso previsto e l'ambiente di sicurezza, i rischi prevedibili, il tipo di assistenza e la data di fine del periodo di assistenza, le istruzioni per una messa in servizio sicura, come le modifiche incidono sulla sicurezza, come installare gli aggiornamenti, la dismissione sicura e, per i componenti, le informazioni che servono a chi li integra. Tieni le istruzioni disponibili per 10 anni o per il periodo di assistenza, se più lungo (articolo 13, paragrafo 18).

In Italia. Scrivi queste informazioni in italiano. Vedi la domanda IT.4.

Devi designare un punto di contatto unico che gli utilizzatori possano raggiungere con i mezzi che preferiscono, non solo con strumenti automatici (articolo 13, paragrafo 17). Devi pubblicare un indirizzo di contatto per le segnalazioni di vulnerabilità e applicare una politica di divulgazione coordinata delle vulnerabilità (allegato I, parte II, punti 5 e 6). Un file security.txt secondo la RFC 9116 EN è il modo usuale per rendere il contatto facile da trovare.

Non c'è una soglia dimensionale. Esistono tre agevolazioni. Le microimprese e le piccole imprese potranno usare un modulo semplificato di documentazione tecnica, che la Commissione deve definire con un atto di esecuzione (articolo 33, paragrafo 5). Le tariffe degli organismi notificati devono essere ridotte in proporzione per le PMI (articolo 32, paragrafo 6). Gli Stati membri devono, se opportuno, offrire alle microimprese e alle piccole imprese formazione, un canale di assistenza e supporto per le prove, e possono istituire spazi di sperimentazione normativa (articolo 33).

Sulle sanzioni, le microimprese e le piccole imprese non possono essere sanzionate se inviano in ritardo il preallarme a 24 ore, che resta comunque dovuto: l'articolo 64, paragrafo 10, come corretto dalla rettifica del 2 luglio 2025, copre anche il paragrafo 2, dove si trovano le sanzioni dell'articolo 14. La notifica a 72 ore e la relazione finale restano obbligatorie e sanzionabili. L'ENISA offre strumenti gratuiti, come il Secure by Design and Default Playbook EN.

In Italia. Secondo lo schema di decreto, ACN e Ministero delle imprese e del made in Italy definiranno le misure di sostegno per le PMI (formazione, canale di assistenza, supporto alle prove); gli organismi di valutazione devono applicare tariffe proporzionate; l'ACN gestirà uno spazio di sperimentazione, la Sandbox-CRA, con accesso prioritario per micro e piccole imprese (articoli 18 e 19 dello schema). Vedi la domanda IT.3 sulle sanzioni.

Due tipi di eventi: una vulnerabilità attivamente sfruttata nella tua macchina e un incidente grave che incide sulla sua sicurezza (articolo 14, paragrafi 1 e 3). Segnali tramite la piattaforma unica di segnalazione dell'ENISA EN al CSIRT designato come coordinatore, e l'ENISA riceve la segnalazione nello stesso momento.

• Preallarme: entro 24 ore da quando ne vieni a conoscenza.
• Notifica: entro 72 ore da quando ne vieni a conoscenza.
• Relazione finale: entro 14 giorni da quando è disponibile una correzione o una mitigazione (vulnerabilità), o entro un mese dalla notifica (incidenti).

L'obbligo vale dall'11 settembre 2026 (FAQ ENISA sulla piattaforma, n. 29 EN). La nostra guida passo per passo: Segnalare all'ENISA in 24 ore EN.

L'articolo 14 si applica a ogni prodotto nell'ambito del CRA presente sul mercato, anche a quelli immessi prima dell'11 dicembre 2027 (articolo 69, paragrafo 3). E continua anche dopo la fine del periodo di assistenza: la gestione delle vulnerabilità si ferma con il periodo di assistenza, la segnalazione no (orientamenti C(2026) 5252, paragrafo 210). C'è un sollievo. Non devi segnalare a ritroso uno sfruttamento di cui sapevi già prima dell'11 settembre 2026 (FAQ ENISA sulla piattaforma, n. 13 EN).

Segnali solo una vulnerabilità attivamente sfruttata: una vulnerabilità per cui ci sono prove affidabili che un attore malevolo l'ha sfruttata in un sistema senza il permesso del proprietario del sistema (articolo 3, punto 42). Una CVE pubblicata o un proof-of-concept senza prove di uso malevolo non fanno scattare l'obbligo. Se la vulnerabilità è in un componente acquistato ed è attivamente sfruttata, la segnali per la tua macchina, e la segnala anche il fabbricante del componente se il componente è stato immesso sul mercato (FAQ della Commissione 5.4 EN). Se la vulnerabilità non si può sfruttare nella tua macchina, non è attivamente sfruttata nel tuo prodotto e non richiede una segnalazione obbligatoria. Per le macchine immesse sul mercato dall'11 dicembre 2027 devi comunque informarne il fabbricante del componente, ed è buona pratica farlo anche per le macchine più vecchie (articolo 13, paragrafo 6).

Quando ne vieni a conoscenza, cioè quando hai prove affidabili dello sfruttamento. La Commissione elenca i canali tipici: un cliente segnala un'attività anomala, un rapporto di threat intelligence, un'agenzia governativa, un hacker etico, la tua telemetria (FAQ della Commissione 5.1 EN). Il CRA non ti obbliga a sorvegliare ogni canale. Ma devi avere un punto di contatto unico e una politica di divulgazione, quindi le segnalazioni ti arriveranno. Un tecnico del service che vede un attacco sulla macchina di un cliente è un modo tipico in cui un costruttore ne viene a conoscenza.

Una persona che nomini come rappresentante incaricato (Assigned Representative). Ognuna ha bisogno di un account personale EU Login con autenticazione a più fattori. Alla tua azienda si possono collegare un rappresentante principale e fino a 20 secondari (FAQ ENISA sulla piattaforma, n. 9 EN). L'ENISA consiglia di registrarsi solo quando serve segnalare: se l'account EU Login esiste, la registrazione richiede pochi minuti. La piattaforma è solo in inglese e non ha API: le segnalazioni si scrivono nell'interfaccia web.

Al CSIRT designato come coordinatore dello Stato membro dove hai lo stabilimento principale, cioè dove si prendono principalmente le decisioni di cybersicurezza sui tuoi prodotti (articolo 14, paragrafo 7). Se non si può stabilire, lo Stato membro con il maggior numero di tuoi dipendenti nell'UE. Scegliere il CSIRT sbagliato può invalidare la segnalazione (FAQ ENISA sulla piattaforma, n. 18 EN). L'ENISA tiene l'elenco dei CSIRT designati come coordinatori EN.

In Italia. Il CSIRT nazionale è il CSIRT Italia, che opera presso l'Agenzia per la cybersicurezza nazionale (ACN). Lo schema di decreto chiede all'ACN di adeguare il proprio Portale segnalazioni agli obblighi del CRA e di collegarlo alla piattaforma dell'ENISA (articolo 17). La segnalazione CRA passa comunque dalla piattaforma unica dell'ENISA. Un gruppo con sedi in più Paesi deve indicare dove si decide davvero sulla sicurezza dei prodotti.

Prima lo Stato membro del tuo rappresentante autorizzato per il maggior numero dei tuoi prodotti. Se non c'è, lo Stato membro dell'importatore che immette la maggior parte dei tuoi prodotti. Poi il distributore, poi lo Stato membro con il maggior numero dei tuoi utilizzatori (articolo 14, paragrafo 7). L'obbligo è tuo come fabbricante. Il tuo importatore non segnala al posto tuo.

Un incidente è grave quando incide, o può incidere, sulla capacità della macchina di proteggere disponibilità, autenticità, integrità o riservatezza di dati o funzioni sensibili o importanti, oppure quando porta, o può portare, all'esecuzione di codice malevolo nella macchina o nei sistemi dell'utilizzatore (articolo 14, paragrafo 5). Un malware nello stabilimento del cliente non è in automatico un incidente grave della tua macchina. La domanda è se incide sulla sicurezza del tuo prodotto.

In Italia. Se il cliente è un soggetto NIS, notifica lui i propri incidenti significativi al CSIRT Italia secondo il decreto legislativo 138/2024. È un obbligo diverso dal tuo: le due segnalazioni possono riguardare lo stesso attacco.

Dopo esserne venuto a conoscenza, devi informare gli utilizzatori colpiti, e se opportuno tutti gli utilizzatori, sulla vulnerabilità o sull'incidente e sulle misure che possono prendere, se opportuno in un formato strutturato e leggibile da dispositivo automatico (articolo 14, paragrafo 8). Se non lo fai in tempo, può informarli il CSIRT. CSAF è il formato leggibile da macchina più diffuso per gli avvisi di sicurezza nell'automazione industriale; BSI e BGHM lo raccomandano (BSI su CSAF DE).

Le violazioni dell'articolo 14 si possono sanzionare fino a 15 milioni di euro o fino al 2,5% del fatturato mondiale annuo, se superiore (articolo 64, paragrafo 2). Le regole concrete le fissano gli Stati membri. I fabbricanti che sono microimprese o piccole imprese non possono essere sanzionati se inviano in ritardo il preallarme a 24 ore, che resta comunque dovuto: lo prevede l'articolo 64, paragrafo 10, come corretto dalla rettifica del 2 luglio 2025. La notifica a 72 ore e la relazione finale restano sanzionabili anche per loro.

In Italia. Chi sanziona e con quale procedura: vedi la domanda IT.3.

Sempre di più, e spesso prima che il CRA si applichi. Molti tuoi clienti rientrano nella NIS2. Devono gestire la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza dei rapporti con i fornitori diretti, e valutare le pratiche di sviluppo sicuro dei fornitori (NIS2, articolo 21, paragrafo 2, lettera d), e paragrafo 3). Nella pratica mandano questionari. Le voci usuali sono una SBOM, il periodo di assistenza, la politica di aggiornamento e patch, un contatto per le vulnerabilità, il progetto dell'accesso remoto, i requisiti di rete della macchina e l'allineamento alla IEC 62443.

In Italia. Dal 2026 i soggetti NIS comunicano ogni anno all'ACN l'elenco dei loro fornitori rilevanti. Vedi la domanda IT.5.

Per le macchine immesse sul mercato dall'11 dicembre 2027, la data di fine del periodo di assistenza deve essere chiara al momento dell'acquisto, con almeno mese e anno (articolo 13, paragrafo 19). L'offerta è il posto naturale. Indica anche questi punti.

• quali aggiornamenti sono gratuiti (gli aggiornamenti di sicurezza durante il periodo di assistenza) e quali a pagamento (nuove funzioni, interventi in sito)
• come vengono consegnati gli aggiornamenti e chi li installa
• cosa deve fornire il cliente: segmento di rete, regole del firewall, account per l'accesso remoto
• come funziona l'accesso remoto e come lo controlla il cliente
• il punto di contatto unico per le vulnerabilità
• che la dichiarazione di conformità citerà il CRA e il Regolamento Macchine

Solo per una macchina su misura, e solo per quei due requisiti. Un prodotto è su misura quando è adattato a uno scopo preciso per un determinato utilizzatore professionale e le parti hanno concordato in modo esplicito condizioni contrattuali diverse (FAQ della Commissione 4.2.5 EN, considerando 64). La Commissione cita i prodotti costruiti per l'ambiente chiuso o isolato di un cliente specifico. Una macchina standard con qualche optional non è su misura. Tutti gli altri requisiti restano, e devi conservare nella documentazione tecnica le prove che la macchina è su misura.

Il CRA non ti obbliga a dare la SBOM ai clienti. Ne incoraggia la condivisione, perché acquirenti e gestori ne traggono vantaggio, ma dice che i fabbricanti non dovrebbero essere obbligati a renderla pubblica (considerando 77). Se la condividi, le informazioni per l'utilizzatore dicono dove trovarla (allegato II, punto 9). Molti costruttori accettano di condividerla con un accordo di riservatezza, perché descrive la superficie di attacco. Se accetti, fissa il formato (CycloneDX o SPDX), il livello di dettaglio, quando mandi una versione aggiornata e se fornisci anche dichiarazioni VEX.

Lo paghi tu, per l'aggiornamento in sé, fino alla fine del periodo di assistenza. Gli aggiornamenti di sicurezza devono essere gratuiti durante il periodo di assistenza (allegato I, parte II, punto 8), e il periodo di assistenza non è il periodo di garanzia. In Italia questo vale anche rispetto alla garanzia per vizi del codice civile: sono due cose diverse, con durate diverse. Il CRA non ti rende responsabile dell'installazione degli aggiornamenti presso il cliente (FAQ della Commissione 4.3.3 EN), quindi la manodopera in sito può essere un servizio a pagamento. Concordalo nel contratto e verificalo con il tuo legale. Gli aggiornamenti funzionali si possono far pagare. Se l'unico rimedio adeguato è sostituire un componente, è una misura correttiva che devi secondo l'articolo 13, paragrafo 21, non un upgrade a pagamento.

Di' la verità su date e prove. Per le macchine immesse sul mercato prima dell'11 dicembre 2027 i requisiti di prodotto del CRA non si applicano ancora. L'obbligo di segnalazione vale già, e puoi descrivere come lo gestisci. Nessuna norma armonizzata è ancora citata nella Gazzetta ufficiale dell'UE, quindi oggi nessuno può rivendicare la presunzione di conformità (il nostro monitoraggio delle norme). Evita parole come «certificato CRA». Non esiste un certificato CRA generale per le macchine. Parla di preparazione al CRA e mostra le prove: valutazione del rischio, SBOM, periodo di assistenza, politica di divulgazione, procedura di segnalazione.

Devi fissare il periodo di assistenza in base al tempo d'uso previsto, e le macchine industriali restano spesso in uso molto più di cinque anni (considerando 60). La norma ti consente di tenere conto della proporzionalità e dei periodi di assistenza dei componenti principali che acquisti (articolo 13, paragrafo 8). Una promessa contrattuale oltre il periodo di assistenza di legge è una scelta commerciale che puoi prezzare come contratto di servizio.

La marcatura CE resta lo stesso simbolo. Per le macchine immesse sul mercato dall'11 dicembre 2027 indica anche la conformità al CRA, e redigi un'unica dichiarazione di conformità UE che cita sia il Regolamento Macchine sia il CRA (articolo 28, paragrafo 3, FAQ BGHM DE). Il contenuto della dichiarazione è nell'allegato V.

Gli obblighi degli articoli 13 e 14 sono tuoi per legge. Nemmeno un rappresentante autorizzato può assumere progettazione, valutazione del rischio, dovuta diligenza o gestione delle vulnerabilità (articolo 18, paragrafo 2). Il contratto può invece definire la parte del cliente: installare gli aggiornamenti che fornisci, tenere la macchina nell'ambiente di rete che specifichi, segnalare i sospetti incidenti al tuo contatto e consentire l'accesso remoto alle condizioni concordate. La tua conformità presuppone che la macchina sia installata e mantenuta correttamente, usata secondo l'uso previsto e, se del caso, con gli aggiornamenti di sicurezza necessari installati (articolo 6).

Il service diventa il luogo in cui gli obblighi CRA si svolgono lungo la vita della macchina. La gestione delle vulnerabilità dura per tutto il periodo di assistenza (articolo 13, paragrafo 8), e la segnalazione copre tutto il parco installato (articolo 69, paragrafo 3). Nella pratica il service deve fare sei cose.

• conoscere il software e il firmware realmente installati su ogni macchina consegnata
• seguire le nuove vulnerabilità e i segnali di sfruttamento per quei componenti
• decidere per ogni macchina se è esposta
• consegnare ai clienti aggiornamenti di sicurezza o mitigazioni, con un avviso
• registrare a ogni intervento cosa è stato installato, cambiato o rifiutato
• scalare in poche ore quando si sospetta uno sfruttamento

Solo con una scheda per ogni macchina consegnata. Conserva il numero di serie (articolo 13, paragrafo 15), la SBOM del software come consegnato e come all'ultimo intervento, e le interfacce raggiungibili. Quando esce una CVE, abbinala prima ai componenti, poi verifica se la parte vulnerabile si può raggiungere attraverso le porte e i protocolli di quella macchina. Scrivi il risultato come dichiarazione VEX per macchina: colpita, non colpita, corretta o in analisi. Se solo un'impostazione del cliente blocca il percorso, lo stato onesto è «colpita» con la mitigazione, non «non colpita». Il nostro caso d'uso Stesso modello, due macchine, una esposta EN spiega il metodo.

Devi rendere disponibile l'aggiornamento senza ritardo e gratuitamente durante il periodo di assistenza. Devi anche informare l'utilizzatore (allegato I, parte II, punto 8). Non sei responsabile della sua installazione presso il cliente (FAQ della Commissione 4.3.3 EN). Il CRA valuta la conformità presupponendo che gli aggiornamenti di sicurezza necessari siano stati installati (articolo 6). La responsabilità per i danni è una questione separata, regolata dalla direttiva sulla responsabilità per danno da prodotti difettosi. Vedi la domanda 11.2.

In Italia. Il cliente, come datore di lavoro, deve mantenere le attrezzature di lavoro sicure nel tempo con un'idonea manutenzione (decreto legislativo 81/2008, articolo 71). Il tuo avviso scritto lo aiuta a decidere e documenta la tua parte.

Sì, il CRA non vieta l'accesso remoto. Si aspetta che sia progettato in base al rischio: protezione dagli accessi non autorizzati con autenticazione e controllo degli accessi, integrità di comandi e configurazione, registrazione degli accessi con possibilità di rinuncia per l'utilizzatore, e una superficie di attacco limitata (allegato I, parte I, punto 2, lettere d), f), j) e l)). Vale anche la regola della configurazione sicura predefinita: le interfacce che non servono non dovrebbero essere aperte di default. Se la piattaforma di teleassistenza è tua e la macchina ne ha bisogno per una funzione, fa parte del prodotto (domanda 1.7).

Finisce il tuo obbligo di gestire le vulnerabilità per quell'unità. Tre cose continuano. L'obbligo di segnalazione continua (orientamenti C(2026) 5252, paragrafo 210). Ogni aggiornamento di sicurezza già rilasciato deve restare disponibile per almeno 10 anni dal rilascio (articolo 13, paragrafo 9). E la documentazione tecnica va conservata per 10 anni dall'immissione sul mercato o per il periodo di assistenza, se più lungo. Dove tecnicamente possibile, la macchina dovrebbe avvisare gli utilizzatori che l'assistenza è finita (articolo 13, paragrafo 19). Il CRA suggerisce anche di valutare il rilascio del codice sorgente alle aziende che si impegnano a continuare la gestione delle vulnerabilità (considerando 61).

Devi comunque gestire le vulnerabilità dell'intera macchina. Se una vulnerabilità del componente non più supportato non si può mitigare in modo adeguato, devi rimediare con altri mezzi, per esempio sostituendo il componente o sviluppando tu una patch (FAQ della Commissione 4.3.7 EN). L'isolamento di rete che rende irraggiungibile la parte vulnerabile è una forma di mitigazione, se la tua valutazione del rischio la sostiene.

Il parco installato è fuori dai requisiti di prodotto del CRA salvo modifiche sostanziali, ma i tuoi clienti NIS2 devono comunque ridurre il rischio. La risposta usuale è isolare la macchina: un dispositivo di segmentazione tra la macchina e la rete di stabilimento che lascia passare solo i flussi che servono alla macchina e blocca il resto. Verifica prima se aggiungerlo cambia la macchina al punto da essere una modifica sostanziale (domande 3.2 e 3.3). Il nostro caso d'uso Proteggere una macchina che non puoi aggiornare EN descrive i passi.

Per la macchina come l'hai immessa sul mercato, sì. Per le modifiche del cliente, in genere no. I tuoi obblighi riguardano l'uso previsto e l'uso ragionevolmente prevedibile che hai valutato. Una persona diversa dal fabbricante che modifica in modo sostanziale una macchina e la mette a disposizione sul mercato ne diventa il fabbricante (articolo 22, paragrafo 1); un cliente che la modifica solo per uso proprio non la mette a disposizione. Le tue informazioni per l'utilizzatore devono spiegare come le modifiche possono incidere sulla sicurezza (allegato II, punto 8, lettera b)).

In Italia. Il collegamento al MES è spesso richiesto per l'iperammortamento, che vuole la macchina interconnessa. È un uso ragionevolmente prevedibile: valutalo nel tuo progetto. Vedi la domanda IT.6.

Sei l'importatore se sei stabilito nell'UE e immetti sul mercato una macchina con il nome o il marchio di un fabbricante stabilito fuori dall'UE (articolo 3, punto 16). Dall'11 dicembre 2027 puoi immettere solo macchine conformi, i cui processi del fabbricante sono conformi (articolo 19, paragrafo 1). Prima di immettere ogni unità devi assicurarti che sia stata svolta la valutazione della conformità, che la documentazione tecnica esista, che la macchina rechi la marcatura CE e sia accompagnata dalla dichiarazione di conformità e dalle informazioni per l'utilizzatore dell'allegato II, e che il fabbricante abbia rispettato gli obblighi di identificazione, contatto e periodo di assistenza (articolo 19, paragrafo 2). Devi essere in grado di dimostrarlo.

In Italia. I controlli sui prodotti che entrano nel mercato UE spettano all'Agenzia delle dogane e dei monopoli e alla Guardia di finanza (decreto legislativo 157/2022, articolo 4). Lo schema di decreto sul CRA consente all'ACN di avvalersi della Guardia di finanza (articolo 10).

Usa questa lista di controllo, costruita sull'articolo 19 e sull'articolo 13, paragrafi da 15 a 20.

• Dichiarazione di conformità UE che cita il CRA e il Regolamento Macchine, in una lingua accettata
• Marcatura CE sulla macchina
• Indicazione della procedura di valutazione della conformità usata (modulo A, B+C o H) e, se serve, il certificato dell'organismo notificato
• Impegno scritto che la documentazione tecnica esiste e sarà inviata alle autorità su richiesta, in una lingua che comprendono
• Informazioni per l'utilizzatore dell'allegato II nelle lingue dei tuoi mercati, in italiano per l'Italia, compresa la data di fine del periodo di assistenza
• Numero di tipo, lotto o serie su ogni macchina
• Nome del fabbricante, recapito postale ed elettronico sulla macchina o nei suoi documenti
• Punto di contatto unico e politica di divulgazione per le vulnerabilità
• Come il fabbricante rispetta l'obbligo di segnalazione dell'articolo 14, e a quale CSIRT segnala
• Come sarai informato di vulnerabilità e aggiornamenti per le unità che hai immesso

La segnalazione dell'articolo 14 è un obbligo del fabbricante. Come importatore devi informare il fabbricante senza indebito ritardo quando vieni a conoscenza di una vulnerabilità, e informare subito le autorità di vigilanza del mercato se la macchina presenta un rischio di cybersicurezza significativo (articolo 19, paragrafo 5). Se il fabbricante cessa l'attività e non può più rispettare i suoi obblighi, devi informarne le autorità e, per quanto possibile, gli utilizzatori (articolo 19, paragrafo 8). Se vendi con il tuo marchio, l'obbligo di segnalazione diventa tuo (domanda 8.5).

In Italia. L'autorità di vigilanza del mercato per il CRA sarà l'ACN. Vedi la domanda IT.2.

Almeno 10 anni dall'immissione sul mercato della macchina, o per il periodo di assistenza se più lungo. Conservi una copia della dichiarazione di conformità e garantisci che la documentazione tecnica si possa mettere a disposizione delle autorità su richiesta (articolo 19, paragrafo 6). Il tuo nome e i tuoi recapiti devono comparire sulla macchina, sull'imballaggio o in un documento di accompagnamento (articolo 19, paragrafo 4).

Un importatore o un distributore che immette sul mercato una macchina con il proprio nome o marchio, o che vi apporta una modifica sostanziale, è considerato fabbricante e assume gli obblighi degli articoli 13 e 14 (articolo 21). Questo comprende la valutazione del rischio, la SBOM, la gestione delle vulnerabilità per il periodo di assistenza e la segnalazione in 24 ore. Una macchina a marchio proprio richiede un contratto con il vero produttore che ti dia l'accesso tecnico di cui avrai bisogno.

Sì, con un mandato scritto (articolo 18). Il rappresentante deve almeno tenere la dichiarazione e la documentazione tecnica a disposizione delle autorità, fornire informazioni su richiesta e cooperare alle misure correttive. Non può assumere progettazione, valutazione del rischio, dovuta diligenza o gestione delle vulnerabilità (articolo 18, paragrafo 2). Un rappresentante autorizzato non è un importatore: tu mantieni i tuoi obblighi dell'articolo 19.

Prima di mettere a disposizione una macchina, verifica che rechi la marcatura CE e che fabbricante e importatore abbiano fornito i documenti richiesti, comprese le informazioni per l'utilizzatore, la data di fine del periodo di assistenza e i loro recapiti (articolo 20, paragrafo 2). Se hai motivo di ritenere che non sia conforme, non venderla. Trasmetti al fabbricante le vulnerabilità di cui vieni a conoscenza. Non devi adeguare le macchine immesse sul mercato prima dell'11 dicembre 2027 (FAQ della Commissione 7.5 EN).

Un'unità immessa sul mercato UE prima dell'11 dicembre 2027 non deve rispettare i requisiti di prodotto del CRA, salvo una successiva modifica sostanziale (articolo 69, paragrafo 2). Per un prodotto importato la data segue di solito la dogana: nell'esempio della Guida blu, l'immissione sul mercato di una stampante spedita a un importatore spagnolo avviene il giorno dell'immissione in libera pratica (Guida blu 2022, sezioni 2.5 e 2.12). Immissione in libera pratica e immissione sul mercato non coincidono sempre, per esempio nelle vendite dirette a utilizzatori UE: controlla ogni consegna. Le unità ancora in viaggio o in un deposito doganale all'11 dicembre 2027 devono essere conformi quando vengono immesse. L'obbligo di segnalazione del fabbricante vale per tutte.

Le violazioni degli obblighi di importatori e distributori degli articoli da 18 a 23 si possono sanzionare fino a 10 milioni di euro o fino al 2% del fatturato mondiale annuo, se superiore (articolo 64, paragrafo 3). Un importatore che diventa fabbricante secondo l'articolo 21 rischia il livello del fabbricante: 15 milioni di euro o il 2,5%.

Il CRA non chiede componenti marcati CE. Puoi integrare componenti immessi sul mercato prima dell'applicazione del CRA, componenti mai immessi sul mercato e software open source, purché eserciti la dovuta diligenza perché non compromettano la tua macchina (articolo 13, paragrafo 5, FAQ della Commissione 4.4.3 e 7.3 EN). La VDMA riferisce che è la domanda più frequente dei suoi associati dopo il campo di applicazione, con la stessa risposta (podcast VDMA DE). I componenti marcati CE ti semplificano la vita, perché puoi contare sulla gestione delle vulnerabilità dei loro fabbricanti.

È proporzionata al rischio del componente (FAQ della Commissione 4.4.2 EN). La Commissione elenca azioni come verificare la marcatura CE, controllare la storia degli aggiornamenti di sicurezza, cercare le vulnerabilità note nelle banche dati pubbliche, esaminare la SBOM del componente, verificarne il periodo di assistenza, controllare che il suo uso previsto sia adatto al tuo, valutare la maturità di sicurezza del fornitore e svolgere prove aggiuntive, come penetration test o analisi del firmware, per le parti ad alto rischio.

Una buona richiesta copre queste voci.

• Periodo di assistenza e data di fine supporto del modello e del firmware esatti
• SBOM in CycloneDX o SPDX, o le condizioni per ottenerla
• Politica di divulgazione delle vulnerabilità, contatto di sicurezza e modalità di pubblicazione degli avvisi (CSAF se possibile)
• Storia degli aggiornamenti di sicurezza degli ultimi anni
• Informazioni di integrazione secondo l'allegato II, punto 8, lettera f): cosa ti serve per mantenere sicuro il componente dentro la tua macchina
• Piani di conformità al CRA e norme seguite, come IEC 62443-4-1 e 4-2

La VDMA pubblica una raccomandazione per un'autodichiarazione dei fornitori sul CRA (VDMA, Lieferantenselbstauskunft DE).

Se il PLC è stato immesso sul mercato secondo il CRA, il suo fabbricante deve gestire la vulnerabilità e puoi contare su di lui, per esempio sulla sua patch. Tu la gestisci comunque per la tua macchina: informi gli utilizzatori, fornisci mitigazioni, aggiorni la documentazione (FAQ della Commissione 4.3.6 EN). Se il componente è più vecchio o il suo fabbricante non aiuta, devi trovare un altro rimedio, come disattivare la funzione, sostituire il componente o isolarlo. Quando trovi una vulnerabilità in un componente devi segnalarla al suo fabbricante o manutentore, e condividere la correzione che sviluppi (articolo 13, paragrafo 6).

Dentro la tua macchina ne sei responsabile. I componenti open source sono ammessi, con la dovuta diligenza (FAQ della Commissione 4.4.4 EN). Vanno nella tua SBOM e nel tuo monitoraggio delle vulnerabilità. Le correzioni che fai vanno condivise con i manutentori (articolo 13, paragrafo 6). I progetti open source forniti al di fuori di un'attività commerciale non rientrano di per sé nel CRA, e i gestori di software open source hanno obblighi più leggeri dall'11 dicembre 2027 (articolo 24).

Sì, quando li immetti sul mercato separatamente. Un componente venduto da solo è un prodotto con elementi digitali con i propri obblighi CRA (articolo 3, punto 1). Se lo vendi solo come ricambio identico per una macchina, si applica l'esenzione per i ricambi (articolo 2, paragrafo 6). Se fornisci componenti ad altri costruttori, ti faranno le domande della 9.3.

Sì, se la tua valutazione del rischio non trova rischi specifici e la macchina finita è conforme nel suo insieme. La Commissione accetta componenti senza marcatura CE quando eserciti la dovuta diligenza (C(2026) 5252 EN). Durante la transizione non puoi verificare la marcatura CE dei componenti, quindi la dovuta diligenza deve usare altri mezzi (considerando 35, FAQ della Commissione 7.3 EN).

Al 16 ottobre 2026 nessuna norma CRA è citata, quindi nessun prodotto può avvalersi della presunzione di conformità dell'articolo 27 (pagina della Commissione sulle norme armonizzate EN). Le prime norme orizzontali sono vicine. EN 40000-1-2 (principi, gestione del rischio e ciclo di vita) ed EN 40000-1-1 (vocabolario) hanno chiuso il voto formale, con ratifica prevista a novembre 2026 (programma di lavoro CEN-CENELEC JTC 13 EN). Segue la norma sulla gestione delle vulnerabilità, prEN 40000-1-3. I requisiti generici di sicurezza, prEN 40000-1-4, sono attesi nel 2027. Il nostro monitoraggio delle norme le segue tutte. In Italia le norme europee vengono recepite da UNI e CEI.

Non da sola, ma è il quadro più vicino ai costruttori di macchine. IEC 62443-4-1 (ciclo di vita dello sviluppo sicuro) e 4-2 (requisiti dei componenti) corrispondono bene a molti requisiti del CRA. Le modifiche legate al CRA alle EN IEC 62443-4-1 e 4-2 sono in approvazione, ma è improbabile che vengano citate nella Gazzetta ufficiale dell'UE. I profili di sicurezza OT del CLC/TC 65X (serie prEN 50770, basata sulla IEC 62443) sono ancora in stesura. Usa la IEC 62443 per strutturare il lavoro e le prove, poi collegala in modo esplicito a ogni requisito dell'allegato I nella documentazione tecnica (allegato VII, punto 5).

Una macchina è di solito un prodotto senza classe, quindi puoi usare il controllo interno, il modulo A (articolo 32, paragrafo 1). Serve un organismo notificato per i prodotti importanti di classe I quando non applichi per intero una norma armonizzata, per i prodotti di classe II e per i prodotti critici (articolo 32, paragrafi da 2 a 4). Questo è solo il percorso CRA. Le macchine dell'allegato I del Regolamento Macchine possono comunque richiedere un organismo notificato secondo quel regolamento. Il percorso CRA conta se vendi anche componenti come router, switch o firewall industriali come prodotti a sé. Gli organismi notificati si possono designare dall'11 giugno 2026, ma il 31 luglio 2026 la Commissione ha detto che il registro NANDO elencherà gli organismi CRA quando saranno disponibili (Commissione, valutazione della conformità CRA EN).

In Italia. Secondo lo schema di decreto, gli organismi chiedono la notifica all'ACN, autorità di notifica, allegando il certificato di accreditamento di Accredia. Le procedure di dettaglio arriveranno con un provvedimento del direttore generale dell'ACN (articoli 4 e 5).

Le 17 bozze verticali ETSI della serie EN 304 6xx sono andate in inchiesta pubblica il 13 agosto 2026 (ETSI EN). Le più vicine ai costruttori di macchine riguardano router e switch (EN 304 627), firewall e rilevamento delle intrusioni (EN 304 636), interfacce di rete (EN 304 625), sistemi operativi (EN 304 626) e hypervisor (EN 304 635). Si applicano ai fabbricanti dei componenti, non alla tua macchina. Chiedi ai tuoi fornitori a quali bozze si allineano.

Lo schema di decreto italiano, approvato in esame preliminare il 2 ottobre 2026, designa l'Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza del mercato (comunicato del Consiglio dei ministri n. 191). In Germania il Bundestag ha approvato la legge sul CRA il 15 ottobre 2026, con il BSI come autorità (la nostra notizia). Su richiesta motivata devi fornire tutte le informazioni e la documentazione che servono a dimostrare la conformità, in una lingua facilmente comprensibile per l'autorità (articolo 13, paragrafo 22). Una richiesta può seguire una vulnerabilità segnalata, un reclamo o un controllo di routine. Per l'Italia vedi la domanda IT.2.

Tre livelli, fissati come massimi nell'articolo 64. Le regole nazionali le fissano gli Stati membri.

Le autorità devono considerare la dimensione dell'azienda, soprattutto per le PMI (articolo 64, paragrafo 5). Le sanzioni possono sommarsi agli ordini di ritiro o richiamo. Per l'Italia vedi la domanda IT.3.

La nuova direttiva sulla responsabilità per danno da prodotti difettosi considera il software un prodotto e si applica ai prodotti immessi sul mercato o messi in servizio dal 9 dicembre 2026 (direttiva (UE) 2024/2853, articolo 2, come corretto dalla rettifica del 7 maggio 2026). Le FAQ della Commissione spiegano che il fabbricante resta responsabile dei difetti introdotti da un aggiornamento e dei difetti dovuti alla mancanza di un aggiornamento (FAQ della Commissione 2.3.1 EN), purché il difetto sia provato e fornire l'aggiornamento fosse sotto il controllo del fabbricante (domanda IT.7). La difettosità tiene conto dei requisiti di cybersicurezza. Un aggiornamento di sicurezza mancato può quindi diventare una questione di responsabilità, non solo di CRA. Per le macchine vendute alle imprese, le domande di risarcimento secondo la direttiva riguardano soprattutto i danni alle persone. La direttiva non risarcisce i danni ai beni usati esclusivamente per scopi professionali né la perdita di dati usati per scopi professionali; restano il contratto e il diritto nazionale.

In Italia. Il recepimento passa per il Codice del consumo. Vedi la domanda IT.7.

Se durante il periodo di assistenza sai che una macchina non è conforme, devi adottare misure correttive, oppure ritirarla o richiamarla (articolo 13, paragrafo 21). La Commissione prevede il richiamo solo in casi eccezionali, tipicamente una grave vulnerabilità hardware che non si può correggere né mitigare (FAQ della Commissione 4.3.4 EN). Le autorità di vigilanza del mercato possono ordinare le stesse misure secondo gli articoli da 54 a 58.

La NIS2 copre le medie e grandi imprese dei settori elencati. La fabbricazione di macchinari e apparecchiature (NACE C28, ATECO 28) è tra questi, nel settore manifatturiero dell'allegato II della direttiva (UE) 2022/2555. La NIS2 riguarda la sicurezza dei sistemi della tua azienda e la notifica degli incidenti che colpiscono i tuoi servizi. Il CRA riguarda i prodotti che vendi. Un costruttore di macchine può avere entrambi. In Italia la NIS2 è recepita dal decreto legislativo 138/2024, con l'ACN come autorità. La nostra pagina NIS2 EN riassume chi è coperto. Anche se non rientri, puoi diventare fornitore rilevante di un cliente NIS: vedi la domanda IT.5.

I due regolamenti hanno requisiti separati, ma condividono la marcatura CE e un'unica dichiarazione di conformità (articolo 28, paragrafo 3). Una debolezza cyber che può alterare le funzioni di sicurezza tocca anche i punti 1.1.9 e 1.2.1 dell'allegato III del Regolamento Macchine (regolamento (UE) 2023/1230). La nostra pagina sul punto 1.1.9 spiega quegli obblighi.

Il CRA e il Regolamento Macchine sono regolamenti UE: si applicano direttamente, alle date fissate dall'UE, anche senza una legge italiana. La legge italiana designa le autorità, organizza i controlli e fissa le sanzioni; lo schema sulle macchine fissa anche la lingua delle istruzioni. La responsabilità da prodotto invece viene da una direttiva, che deve essere recepita. La delega è la legge di delegazione europea 2025, la legge 17 marzo 2026, n. 36. Al 29 ottobre 2026 lo stato è questo.

• CRA: atto del Governo n. 447, approvato in esame preliminare il 2 ottobre 2026 e trasmesso alle Camere il 9 ottobre. È all'esame delle commissioni, con termine per il parere al 18 novembre 2026 (scheda della Camera, testo dello schema, dossier).
• Regolamento Macchine: atto del Governo n. 445, approvato nella stessa seduta e trasmesso il 9 ottobre. Modifica il decreto legislativo 17/2010, che oggi recepisce la direttiva macchine. È all'esame delle commissioni, con termine per il parere al 18 novembre 2026 (scheda della Camera).
• Responsabilità da prodotto: atto del Governo n. 434, trasmesso il 7 agosto 2026. Le commissioni Giustizia di Senato e Camera hanno dato parere favorevole con osservazioni il 15 e il 23 settembre 2026 (scheda della Camera). Il Consiglio dei ministri lo ha approvato in esame definitivo il 28 ottobre 2026 (comunicato n. 195). Entrerà in vigore dopo la pubblicazione in Gazzetta ufficiale, non ancora avvenuta.

Il Governo ha descritto gli schemi su CRA e macchine nel comunicato del Consiglio dei ministri n. 191.

Per il CRA lo schema di decreto designa l'Agenzia per la cybersicurezza nazionale (ACN) come autorità di notifica degli organismi di valutazione della conformità e come autorità di vigilanza del mercato per i prodotti con elementi digitali, macchine comprese (articoli 4, 9 e 22 dello schema). Accredia valuta e controlla gli organismi. L'ACN può avvalersi della Guardia di finanza (articolo 10 dello schema). Solo per i prodotti che sono anche sistemi di IA ad alto rischio vigilano le autorità designate per l'AI Act, ciascuna nel proprio ambito: oltre all'ACN, Banca d'Italia, CONSOB, IVASS e Garante per la protezione dei dati personali (articolo 9, comma 2, dello schema; dossier sull'atto n. 447).

Se gli schemi restano così, l'ACN vigilerà sui requisiti di cybersicurezza del CRA. I requisiti del Regolamento Macchine restano ai ministeri, compresi quelli legati alla cybersicurezza: protezione dall'alterazione e sicurezza e affidabilità dei sistemi di comando (allegato III, punti 1.1.9 e 1.2.1).

Per il Regolamento Macchine lo schema n. 445 conferma come autorità di vigilanza il Ministero delle imprese e del made in Italy (MIMIT) e il Ministero del lavoro, già competenti per la direttiva macchine. Per gli accertamenti tecnici le autorità possono avvalersi dell'INAIL e di enti con competenze specifiche; per le macchine con funzioni di intelligenza artificiale, requisiti di cybersicurezza e comportamento auto-evolutivo lo schema lo prevede espressamente (nuovo articolo 6 del decreto legislativo 17/2010). Il MIMIT resta l'autorità di notifica per le macchine. Le sanzioni del Regolamento Macchine sono irrogate dalla Camera di commercio territorialmente competente (testo dello schema n. 445).

Ai confini UE controllano l'Agenzia delle dogane e dei monopoli e la Guardia di finanza (decreto legislativo 157/2022, articolo 4).

Lo schema di decreto non fissa importi propri: le autorità irrogano le sanzioni dell'articolo 64 del CRA (articolo 15 dello schema). Per la violazione dei requisiti essenziali e degli obblighi degli articoli 13 e 14 la sanzione arriva a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore. La procedura dell'ACN sarà fissata da un regolamento previsto dal decreto-legge 82/2021, che secondo il dossier parlamentare non risulta ancora adottato. Fino ad allora si applica la legge 689/1981: accertamento, contestazione, pagamento in misura ridotta o memorie difensive, ordinanza-ingiunzione, opposizione davanti al giudice. I proventi vanno al bilancio dell'ACN (articolo 16 dello schema). I soggetti pubblici sono esclusi dalle sanzioni (dossier sull'atto n. 447).

I fabbricanti che sono microimprese o piccole imprese non possono essere sanzionati se inviano in ritardo il preallarme a 24 ore, sulle vulnerabilità o sugli incidenti (articolo 14, paragrafo 2, lettera a), e paragrafo 4, lettera a)). Il preallarme resta comunque dovuto. Lo prevede l'articolo 64, paragrafo 10, come corretto dalla rettifica del 2 luglio 2025, che ha esteso la deroga al paragrafo 2: il testo originale su EUR-Lex riporta ancora la formula non corretta. La notifica a 72 ore e la relazione finale restano sanzionabili anche per loro. Lo schema di decreto non aggiunge altre regole per le piccole imprese.

Per il Regolamento Macchine lo schema n. 445 riscrive l'articolo 15 del decreto legislativo 17/2010: da 10.000 a 100.000 euro per le macchine non conformi ai requisiti di sicurezza, da 10.000 a 50.000 euro per gli altri obblighi degli operatori e per la mancata osservanza dei provvedimenti delle autorità, da 3.000 a 30.000 euro per la mancata collaborazione con le autorità. Queste sanzioni le irroga la Camera di commercio territorialmente competente, non l'ACN (testo dello schema n. 445).

Le istruzioni delle macchine vendute in Italia devono essere in italiano già oggi, secondo la direttiva macchine (direttiva 2006/42/CE, allegato I, punto 1.7.4.1). Il Regolamento Macchine lascia agli Stati membri la scelta della lingua, e lo schema n. 445 la conferma: istruzioni almeno in italiano; documentazione tecnica, dichiarazione di conformità e, per le quasi-macchine, dichiarazione di incorporazione in italiano su richiesta motivata delle autorità (testo dello schema n. 445, nuovo articolo 3 del decreto legislativo 17/2010).

Il CRA chiede che informazioni e istruzioni per l'utilizzatore siano in una lingua facilmente comprensibile per utilizzatori e autorità di vigilanza, su carta o in formato elettronico (articolo 13, paragrafo 18). Per la dichiarazione di conformità UE rinvia alle lingue richieste dallo Stato membro (articolo 28, paragrafo 2). Lo schema di decreto sul CRA non fissa una lingua.

Il CRA non impone di mettere le informazioni dell'allegato II nel manuale della macchina: puoi darle in un documento separato o in formato elettronico. Metterle nel manuale in italiano è una scelta organizzativa: un solo documento da tradurre, aggiornare e consegnare. La piattaforma di segnalazione dell'ENISA, invece, oggi è solo in inglese (FAQ ENISA sulla piattaforma EN).

In Italia la NIS2 è recepita dal decreto legislativo 138/2024, il decreto NIS. Con la determinazione ACN 127437/2026 i soggetti NIS comunicano ogni anno all'ACN l'elenco dei loro fornitori rilevanti: denominazione, codice fiscale, Paese, codici CPV e criterio di rilevanza. I criteri sono due e possono ricorrere insieme (FAQ NIS dell'ACN).

• Fornitura ICT: attività o servizi dei settori dell'allegato I, punti 8 e 9, del decreto NIS, cioè infrastrutture digitali e gestione dei servizi TIC.
• Fornitura non fungibile: un'interruzione o una compromissione della fornitura avrebbe un impatto significativo sui servizi NIS del cliente, anche perché mancano fornitori alternativi.

Un costruttore di macchine di solito non è un fornitore ICT in questo senso. Se però offri teleassistenza o gestisci da remoto sistemi del cliente, verifica il punto 9, i servizi gestiti. Una macchina critica e difficile da sostituire può invece rientrare nel secondo criterio.

Essere nell'elenco non rende il fornitore un soggetto NIS. L'ACN usa gli elenchi per selezionare i fornitori che, come elementi sistemici della catena di approvvigionamento, potranno essere individuati come soggetti essenziali o importanti, d'intesa con le autorità di settore (ACN, aggiornamento delle informazioni). Questo avviene solo se l'ACN lo individua come tale, secondo l'articolo 3, comma 9, lettera f), del decreto NIS (ACN, 13 aprile 2026). Un fornitore può anche rientrare nel decreto per la propria attività.

Quanto ai tempi dei tuoi clienti: chi è entrato nell'elenco NIS nel 2025 deve adottare le misure di sicurezza di base entro 18 mesi dalla ricezione della comunicazione di inserimento (decreto NIS, articolo 42), cioè entro ottobre 2026 per chi l'ha ricevuta ad aprile 2025. Chi è entrato nell'elenco nel 2026 ha tempo fino a luglio 2027, secondo la determinazione ACN 127434/2026 (ACN, 13 aprile 2026). Per questo le richieste ai fornitori arrivano adesso.

L'iperammortamento della legge di bilancio 2026 sostituisce i crediti d'imposta Transizione 4.0 e 5.0 per gli investimenti dal 1° gennaio 2026 al 30 settembre 2028. Vale per i beni 4.0 interconnessi al sistema aziendale di gestione della produzione o alla rete di fornitura, e richiede una perizia tecnica asseverata (Ministero delle imprese e del made in Italy).

L'interconnessione è di solito una connessione dati, cioè il criterio di base del CRA (domanda 1.1). Ma l'incentivo e il CRA restano verifiche separate. Per il CRA controlla anche le esclusioni dell'articolo 2, chi è il fabbricante e quando l'unità è immessa sul mercato. I requisiti valgono per le unità immesse dall'11 dicembre 2027. Quelle immesse prima rientrano solo nell'obbligo di segnalazione, salvo una modifica sostanziale da quella data (domanda 2.2). E vale anche il contrario: la perizia attesta le caratteristiche tecniche e l'interconnessione del bene, non la conformità al CRA.

Il decreto che recepisce la direttiva (UE) 2024/2853 riscrive le norme sulla responsabilità per danno da prodotti difettosi del Codice del consumo, oggi agli articoli da 114 a 127 (dossier sull'atto del Governo n. 434). Il Consiglio dei ministri lo ha approvato in via definitiva il 28 ottobre 2026; manca la pubblicazione in Gazzetta ufficiale (domanda IT.1).

La direttiva si applica ai prodotti immessi sul mercato o messi in servizio dopo l'8 dicembre 2026, cioè dal 9 dicembre compreso: la data è stata corretta dalla rettifica del 7 maggio 2026. Lo schema trasmesso al Parlamento riportava ancora la data non corretta: verifica quella del testo pubblicato. Per i prodotti precedenti restano le norme attuali.

Il software è un prodotto, ma un aggiornamento mancato non rende automaticamente responsabile il fabbricante. Chi chiede il risarcimento deve provare il difetto, il danno e il nesso causale tra i due (articolo 10 della direttiva). Ma il difetto si presume in tre casi: il fabbricante non esibisce le prove ordinate dal giudice; il prodotto non rispetta requisiti obbligatori di sicurezza pensati per proteggere dal rischio del danno subito; il malfunzionamento è evidente in un uso ragionevolmente prevedibile (articolo 10, paragrafo 2). Per valutare il difetto contano anche i requisiti di cybersicurezza pertinenti per la sicurezza (articolo 7, paragrafo 2, lettera f)): una lacuna di cybersicurezza che incide sulla sicurezza può quindi pesare anche sulla responsabilità. Poi la direttiva distingue due casi.

• Il fabbricante non ha fornito l'aggiornamento necessario a mantenere la sicurezza, e fornirlo era sotto il suo controllo: non può difendersi dicendo che il difetto è nato dopo la vendita (articolo 11, paragrafo 2).
• Il fabbricante ha fornito l'aggiornamento e il proprietario non l'ha installato: l'installazione non era sotto il controllo del fabbricante. Questo da solo non esclude la responsabilità se il difetto esisteva già alla vendita. Se è il danneggiato stesso a non averlo installato, la responsabilità può essere ridotta o esclusa per sua colpa (articolo 13). Se invece l'aggiornamento non l'ha installato il datore di lavoro e il danneggiato è un suo dipendente, la colpa di un terzo non riduce la responsabilità verso il dipendente: contano le altre difese della direttiva e i rapporti contrattuali tra le parti.

Per le macchine vendute alle imprese la direttiva riguarda soprattutto i danni alle persone (domanda 11.2). Verifica i casi concreti con il tuo legale.

I primi quattro ti proteggono per l'obbligo di segnalazione che vale già.

1. Nomina un responsabile della sicurezza di prodotto e un vice. Crea i loro account EU Login per la piattaforma di segnalazione.
2. Scrivi la procedura di segnalazione di una pagina: chi riceve i segnali, chi decide, chi segnala entro 24 ore, fine settimana compresi.
3. Pubblica un contatto per le vulnerabilità e una breve politica di divulgazione, con un file security.txt sul tuo sito.
4. Elenca le macchine connesse in campo con numeri di serie, componenti principali e versioni software.
5. Mappa ogni famiglia di macchine: interfacce, accesso remoto, back end che gestisci, componenti che sono prodotti importanti.
6. Chiedi ai fornitori di PLC, HMI, azionamenti, PC industriali e accesso remoto SBOM, periodi di assistenza e canali degli avvisi.
7. Fissa una bozza di periodo di assistenza per famiglia di macchine, con la motivazione.
8. Aggiungi una clausola su cybersicurezza e assistenza ai modelli di offerta e di contratto.
9. Prepara un pacchetto di sicurezza standard per i questionari dei clienti.
10. Scegli una famiglia di macchine da consegnare dopo l'11 dicembre 2027 e fai un pilota completo: valutazione del rischio, mappatura sull'allegato I, SBOM, indice della documentazione tecnica.

Autovalutazione gratuita: il nostro Check 2027 fa sette domande su Regolamento Macchine e CRA e ti mostra a che punto sei.

Gli orientamenti della Commissione C(2026) 5252 EN hanno 67 esempi svolti e sono scritti pensando alle PMI. Le FAQ della Commissione EN rispondono alla maggior parte delle domande sul campo di applicazione. L'ENISA pubblica il Secure by Design and Default Playbook EN e gestisce un helpdesk per la piattaforma di segnalazione. In Italia l'ACN ha pubblicato una sintesi degli orientamenti europei sul CRA, e secondo lo schema di decreto ACN e Ministero delle imprese definiranno le misure di sostegno per le PMI. Le associazioni di categoria pubblicano guide pratiche: UCIMU in Italia e VDMA EN in Germania. L'assicurazione tedesca contro gli infortuni BGHM DE ha FAQ specifiche per le macchine. Gli Stati membri devono, se opportuno, istituire canali di assistenza per le microimprese e le piccole imprese (articolo 33).