--- title: "Cyber Resilience Act (CRA): obblighi e scadenze | Edge SDN" description: "Cosa chiede il Cyber Resilience Act ai fabbricanti: segnalazioni in 24 ore dall’11 settembre 2026, SBOM e aggiornamenti dall’11 dicembre 2027, sanzioni." url: https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/ last_updated: 2026-10-30 --- Regolamento (UE) 2024/2847 # Prepara i tuoi prodotti al Cyber Resilience Act Ultimo aggiornamento: 30 ottobre 2026. Una sintesi, non una consulenza legale. Per il tuo caso verifica sempre il testo ufficiale. [Read in English](https://www.edge-sdn.com/regulations/cyber-resilience-act/) · [Auf Deutsch lesen](https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/) Cosa chiede il CRA a un fabbricante? Ogni prodotto con elementi digitali venduto nell’UE deve essere sicuro fin dalla progettazione. Dall’11 settembre 2026 il fabbricante deve segnalare entro 24 ore le vulnerabilità attivamente sfruttate, anche per i prodotti già venduti. Dall’11 dicembre 2027 servono anche una SBOM, la gestione delle vulnerabilità e aggiornamenti di sicurezza gratuiti per tutto il periodo di assistenza. Si applica l’obbligo di segnalazione[Articolo 71, paragrafo 2](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) Il CRA si applica per intero[Articolo 71, paragrafo 2](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) Preallarme per una vulnerabilità attivamente sfruttata[Articolo 14, paragrafo 2, lettera a)](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) O il 2,5% del fatturato mondiale annuo, se superiore[Articolo 64, paragrafo 2](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F64) A chi si applica ## A chiunque immetta sul mercato UE un prodotto con elementi digitali Fabbricanti, importatori e distributori di hardware e software che si collegano a un dispositivo o a una rete. La maggior parte degli obblighi ricade sul fabbricante. Dall’11 settembre 2026 ## Segnala una vulnerabilità attivamente sfruttata in tre passi Le stesse scadenze valgono per un incidente grave, con la relazione finale entro un mese dalla notifica. Le segnalazioni vanno al CSIRT nazionale e all’ENISA tramite la piattaforma unica di segnalazione. 1. **Preallarme entro 24 ore**Dal momento in cui ne vieni a conoscenza. 2. **Notifica entro 72 ore**Il prodotto, lo sfruttamento e le misure che gli utilizzatori possono adottare. 3. **Relazione finale entro 14 giorni**Da quando è disponibile una correzione o una misura di attenuazione. [Articolo 14, paragrafi 2 e 4](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) [Articolo 14, paragrafo 8](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) [Articolo 69, paragrafo 3](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69) Dall’11 dicembre 2027 ## Costruisci ogni nuovo prodotto secondo i requisiti essenziali - Nessuna vulnerabilità sfruttabile nota quando il prodotto è messo a disposizione [Allegato I, parte I, punto 2, lettera a)](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Una SBOM in un formato di uso comune e leggibile da un dispositivo automatico, almeno per le dipendenze di primo livello [Allegato I, parte II, punto 1](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - La gestione delle vulnerabilità per tutto il periodo di assistenza, di almeno cinque anni [Articolo 13, paragrafo 8](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F13) - Aggiornamenti di sicurezza senza ritardo e gratuiti, salvo accordo diverso per un prodotto su misura [Allegato I, parte II, punto 8](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Una politica di divulgazione coordinata delle vulnerabilità [Allegato I, parte II, punto 5](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Documentazione tecnica e dichiarazione di conformità UE conservate per 10 anni o per il periodo di assistenza, se più lungo [Articolo 13, paragrafo 13](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F13) **Cosa il CRA non chiede** I prodotti immessi sul mercato prima dell’11 dicembre 2027 devono rispettare questi requisiti solo se in seguito subiscono una modifica sostanziale ([articolo 69, paragrafo 2](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). L’obbligo di segnalazione vale comunque. ### Da dove cominciare - Elenca i tuoi prodotti e il software contenuto in ciascuno - Decidi chi riceve e chi invia una segnalazione entro 24 ore - Avvia la SBOM di un prodotto - Organizza un modo per raggiungere gli utilizzatori di ogni prodotto consegnato Tu firmi la dichiarazione di conformità. Noi prepariamo le evidenze: quale prodotto consegnato è esposto, cosa dire al cliente e cosa hai fatto. [Guarda la demo](https://www.edge-sdn.com/it/demo/) Resta aggiornato ## Segui cosa cambia, con data e fonte Il CRA continua a muoversi: linee guida, norme, autorità nazionali, piattaforma di segnalazione. Pubblichiamo una breve notizia quando qualcosa cambia ciò che i costruttori di macchine devono fare, con il link al testo ufficiale. [Novità CRA per i costruttori di macchine](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/) [Monitoraggio delle norme CRA](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/norme/) I nostri prodotti ## Quali prodotti ti aiutano, e perché Pensato per questo ### Shield Lifecycle SBOM, gestione delle vulnerabilità e VEX per ogni prodotto consegnato, segnalazioni dell’articolo 14, avvisi ai clienti e documentazione. Articolo 13, articolo 14, allegato I [Scopri Shield Lifecycle](https://www.edge-sdn.com/it/prodotti/shield-lifecycle/) Copre una parte ### Edge Shield Riduce la superficie di attacco del prodotto. Allegato I, parte I, punto 2, lettera j) [Scopri Edge Shield EN](https://www.edge-sdn.com/products/edge-shield/) FAQ ## Domande sul CRA ### Il CRA vale anche per i prodotti venduti prima di dicembre 2027? L’obbligo di segnalazione dell’articolo 14 sì, dall’11 settembre 2026. Gli altri requisiti si applicano a quei prodotti solo se subiscono una modifica sostanziale dall’11 dicembre 2027 ([articolo 69](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Per le macchine già in campo leggi la domanda [2.2 delle nostre FAQ](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/faq/#q-2-2). ### Una macchina è un prodotto con elementi digitali? Una macchina con un PLC, un HMI o un gateway per l’accesso remoto contiene software e si collega a un dispositivo o a una rete. Quindi è un prodotto con elementi digitali, e il suo fabbricante ha gli obblighi del CRA. Alla stessa macchina si applica anche il [Regolamento Macchine](https://www.edge-sdn.com/it/regolamenti/regolamento-macchine/). ### Chi riceve la segnalazione a 24 ore? Il CSIRT designato come coordinatore nello Stato membro del tuo stabilimento principale e, allo stesso tempo, l’ENISA, tramite la piattaforma unica di segnalazione ([articolo 14](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F14)). In Italia è il [CSIRT Italia](https://www.csirt.gov.it/), presso l’Agenzia per la cybersicurezza nazionale. ### Quanto dura il periodo di assistenza? Almeno cinque anni, a meno che il prodotto non sia destinato a restare in uso per meno tempo. Deve rispecchiare il tempo per cui si prevede che il prodotto resti in uso ([articolo 13, paragrafo 8](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F13)). ### Una piccola impresa può essere sanzionata per una segnalazione in ritardo? Non per un preallarme a 24 ore inviato in ritardo. I fabbricanti che sono microimprese o piccole imprese sono esenti da quella sanzione: l’[articolo 64, paragrafo 10](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32024R2847#art%5F64), come corretto il 2 luglio 2025, copre anche il paragrafo 2, dove si trovano le sanzioni dell’articolo 14 ([rettifica](https://eur-lex.europa.eu/eli/reg/2024/2847/corrigendum/2025-07-02/oj/ita)). La notifica a 72 ore e la relazione finale restano obbligatorie e sanzionabili. [Leggi tutte le 97 risposte delle FAQ CRA per costruttori e importatori di macchine ](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/faq/) ## A che punto sei rispetto al 20 gennaio 2027? Sette domande su come lavori oggi. Tre minuti. Ricevi un punteggio su 10 e scopri cosa ti manca.