--- title: "Novità CRA per i costruttori di macchine | Edge SDN" description: "Cosa è cambiato nel Cyber Resilience Act, cosa significa per i costruttori di macchine e cosa fare questo mese. Ogni notizia rimanda al testo ufficiale." url: https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/ last_updated: 2026-10-20 --- # Novità CRA per i costruttori di macchine Cosa è cambiato nel Cyber Resilience Act, cosa significa per le macchine che costruisci e vendi, cosa fare questo mese. Pubblichiamo solo quando qualcosa cambia ciò che devi fare. Ogni notizia rimanda al testo ufficiale. A cura di Edge SDN. Una sintesi, non una consulenza legale. Verifica sempre il testo ufficiale per il tuo caso. ## [Come si chiude una segnalazione CRA: due nuove risposte nelle FAQ ENISA](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-10-enisa-srp-faq-closing-reports-euvd/) 15 ottobre 2026 · Linee guida · Impatto pratico: Cambia una procedura di segnalazione Il 15 ottobre 2026 l'ENISA ha aggiornato le FAQ della piattaforma unica di segnalazione CRA con due nuove risposte e una risposta rivista. Solo il CSIRT designato come coordinatore, cioè il CSIRT dello Stato membro in cui è stata inviata la notifica, può chiudere una segnalazione. L'ENISA può inoltre inserire nella banca dati europea delle vulnerabilità una vulnerabilità nota al pubblico notificata ai sensi dell'articolo 14, paragrafo 1, d'accordo con il fabbricante (articolo 17, paragrafo 5). ## [La Germania approva la sua legge CRA: il BSI vigilerà sul mercato](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-10-germany-bundestag-passes-cra-law-bsi/) 15 ottobre 2026 · Autorità nazionale · Impatto pratico: Aggiunge o chiarisce un obbligo Il 15 ottobre 2026 il Bundestag ha approvato la legge che attua il Cyber Resilience Act in Germania (disegno di legge del governo 21/6134), con una modifica alla sua entrata in vigore. La legge fa del BSI l'autorità tedesca di vigilanza del mercato e l'autorità di notifica degli organismi di valutazione della conformità. Ora passa al Bundesrat e non è ancora promulgata. ## [Rileggi i manuali: la piattaforma di segnalazione ENISA è alla versione 1.1](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-10-srp-version-1-1-faq-update/) 12 ottobre 2026 · Linee guida · Impatto pratico: Cambia una procedura di segnalazione L'ENISA ha aggiornato la piattaforma unica di segnalazione CRA alla versione 1.1 il 12 ottobre 2026 e dichiara che tutta la documentazione sul suo sito riflette le modifiche. Le FAQ sono state aggiornate il 3 ottobre 2026 e contano ora 33 domande, una delle quali segnalata come aggiornata. Gli aggiornamenti di settembre riguardavano i manuali di registrazione e notifica per i rappresentanti designati, i termini e condizioni datati 10 settembre 2026 e la pagina sulle circostanze particolarmente eccezionali. ## [L'Italia designa l'ACN autorità di vigilanza per il CRA, decreto in esame preliminare](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-10-italy-decree-acn-market-surveillance-authority/) 2 ottobre 2026 · Autorità nazionale · Impatto pratico: Aggiunge o chiarisce un obbligo Il 2 ottobre 2026 il Consiglio dei Ministri ha approvato, in esame preliminare, il decreto legislativo di adeguamento della normativa nazionale al Cyber Resilience Act. Il decreto individua nell'Agenzia per la cybersicurezza nazionale (ACN) l'autorità di notifica degli organismi di valutazione della conformità, la cui valutazione e controllo sono affidati all'organismo nazionale di accreditamento, e l'autorità di vigilanza del mercato, che può avvalersi della Guardia di Finanza. Il decreto deve ancora ricevere i pareri parlamentari prima dell'adozione definitiva. ## [La EN 40000-1-2 va alla ratifica: prima norma orizzontale CRA](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-10-en-40000-1-2-formal-vote-closed/) 1 ottobre 2026 · Norma · Impatto pratico: Tappa di una norma: leggi e allineati Il programma di lavoro CEN-CENELEC mostra la EN 40000-1-2, Principi, gestione del rischio di prodotto e attività del ciclo di vita, e la EN 40000-1-1, Vocabolario, in fase di approvazione con il voto formale chiuso il 1° ottobre 2026 e la ratifica prevista per il 2 novembre 2026. La EN 40000-1-2 risponde alla linea 1 della richiesta di normazione M/606. Segue la norma sulla gestione delle vulnerabilità prEN 40000-1-3, con un voto formale abbreviato a quattro settimane annunciato dal CEN-CENELEC il 2 ottobre 2026. ## [Segnala le vulnerabilità sfruttate dall'11 settembre: la piattaforma ENISA è attiva](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-09-article-14-reporting-applies-srp-live/) 11 settembre 2026 · Atto ufficiale · Impatto pratico: Aggiunge o chiarisce un obbligo Dall'11 settembre 2026 i fabbricanti devono notificare le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza dei loro prodotti con elementi digitali (articolo 14 del CRA, applicabile ai sensi dell'articolo 71, paragrafo 2). L'ENISA ha aperto lo stesso giorno la piattaforma unica di segnalazione. L'allerta precoce va inviata entro 24 ore da quando si viene a conoscenza del fatto, la notifica entro 72 ore, la relazione finale 14 giorni dopo la disponibilità di una misura correttiva per le vulnerabilità o un mese dopo la notifica per gli incidenti. ## [Leggi le 17 bozze di norme ETSI prima della chiusura dell'inchiesta](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-08-etsi-17-vertical-standards-public-enquiry/) 13 agosto 2026 · Norma · Impatto pratico: Tappa di una norma: leggi e allineati · Scadenza: 15 novembre 2026 Il 13 agosto 2026 l'ETSI ha annunciato che 17 bozze finali di norme europee della serie EN 304 6xx, le norme CRA verticali per categorie come router e switch, firewall, VPN, sistemi operativi, hypervisor e interfacce di rete, sono in inchiesta pubblica. Sono state inviate a 41 organizzazioni membri e la procedura di approvazione dura da metà settembre a metà novembre 2026 a seconda della norma. Le bozze sono pubbliche sul docbox ETSI. ## [Leggi le linee guida CRA della Commissione su ambito, modifica e supporto](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-07-commission-guidance-c-2026-5252/) 27 luglio 2026 · Linee guida · Impatto pratico: Aggiunge o chiarisce un obbligo Il 27 luglio 2026 la Commissione ha pubblicato la comunicazione C(2026) 5252 con le linee guida sull'applicazione del Cyber Resilience Act ai sensi dell'articolo 26, dopo una consultazione pubblica su una bozza. Chiarisce quando i prodotti rientrano nell'ambito, compresi il trattamento remoto dei dati e il software libero e open source, cosa è una modifica sostanziale, come fissare i periodi di supporto e gli obblighi di segnalazione, con 67 esempi pratici, diagrammi e grafici. La Commissione le definisce non vincolanti. ## [IA nelle macchine: la valutazione CRA vale anche per l'AI Act](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-07-regulation-2026-1744-ai-omnibus-cra-machinery/) 24 luglio 2026 · Atto ufficiale · Impatto pratico: Aggiunge o chiarisce un obbligo Il regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato nella Gazzetta ufficiale il 24 luglio 2026, modifica l'AI Act, il regolamento (UE) 2018/1139 e il regolamento macchine (UE) 2023/1230. Il nuovo articolo 42, paragrafo 3, dell'AI Act stabilisce che i sistemi di IA ad alto rischio che rientrano nel CRA e soddisfano le condizioni dell'articolo 12 del CRA si considerano conformi ai requisiti di cybersicurezza dell'articolo 15 dell'AI Act. Un considerando chiede inoltre alla Commissione di adottare atti delegati che modificano l'allegato III del regolamento macchine, applicabili entro il 2 agosto 2028. ## [Una bozza sposta le scadenze delle norme CRA al 30 ottobre e al 31 dicembre 2026](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-07-draft-amendment-m606-standards-deadlines/) 7 luglio 2026 · Norma · Impatto pratico: Fissa o sposta una data · Scadenza: 31 dicembre 2026 Il 7 luglio 2026 la Commissione ha notificato una bozza di decisione che modifica la richiesta di normazione M/606 (C(2025) 618), con osservazioni aperte fino al 3 agosto 2026. La bozza sostituisce l'allegato I: i due deliverable orizzontali sul quadro di progettazione (linea 1) e sulla gestione delle vulnerabilità (linea 15) passano dal 30 agosto al 30 ottobre 2026, le 26 norme verticali (linee da 16 a 41) passano dal 30 ottobre al 31 dicembre 2026, le norme sulle proprietà dei prodotti (linee da 2 a 14) restano al 30 ottobre 2027. Al 16 ottobre 2026 la decisione non è adottata. ## [Si applica il capo IV: si possono designare gli organismi notificati](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-06-chapter-iv-notified-bodies-applies/) 11 giugno 2026 · Atto ufficiale · Impatto pratico: Fissa o sposta una data · Scadenza: 11 dicembre 2026 Gli articoli da 35 a 51 del Cyber Resilience Act, su autorità di notifica e organismi di valutazione della conformità, si applicano dall'11 giugno 2026 ai sensi dell'articolo 71, paragrafo 2. Gli Stati membri dovevano designare le autorità di notifica entro quella data e, in base all'articolo 35, paragrafo 2, dovrebbero adoperarsi per avere un numero sufficiente di organismi notificati entro l'11 dicembre 2026. Il 31 luglio 2026 la Commissione scriveva che NANDO elencherà gli organismi notificati CRA "once available", cioè non appena disponibili. ## [Sapere chi vede la tua segnalazione: in vigore le regole sulla diffusione dei CSIRT](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-04-delegated-regulation-2026-881-csirt-delay-dissemination/) 20 aprile 2026 · Atto ufficiale · Impatto pratico: Cambia una procedura di segnalazione Il regolamento delegato (UE) 2026/881 della Commissione, adottato l'11 dicembre 2025 e pubblicato nella Gazzetta ufficiale il 20 aprile 2026, precisa termini e condizioni in base ai quali il CSIRT che riceve la notifica di un fabbricante può rinviarne la trasmissione agli altri CSIRT per motivi di cybersicurezza (articolo 16, paragrafo 2, del CRA). ## [Le apparecchiature radio nelle macchine passano dalle regole RED al CRA l'11 dicembre 2027](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2026-02-delegated-regulation-2026-339-repeals-red-cybersecurity-act/) 16 febbraio 2026 · Atto ufficiale · Impatto pratico: Fissa o sposta una data · Scadenza: 11 dicembre 2027 Il regolamento delegato (UE) 2026/339 della Commissione, del 16 febbraio 2026, abroga il regolamento delegato (UE) 2022/30, l'atto che aveva attivato i requisiti di cybersicurezza della direttiva sulle apparecchiature radio. L'abrogazione ha effetto dall'11 dicembre 2027, il giorno in cui il CRA si applica per intero, per evitare la sovrapposizione dei due insiemi di requisiti. ## [Verifica la classe dei tuoi prodotti sulle nuove descrizioni di legge](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/2025-12-implementing-regulation-2025-2392-important-critical-products/) 1 dicembre 2025 · Atto ufficiale · Impatto pratico: Aggiunge o chiarisce un obbligo Il regolamento di esecuzione (UE) 2025/2392 della Commissione, del 28 novembre 2025, è stato pubblicato nella Gazzetta ufficiale il 1° dicembre 2025. Contiene la descrizione tecnica delle categorie di prodotti elencate nell'allegato III (prodotti importanti) e nell'allegato IV (prodotti critici) del Cyber Resilience Act, come richiesto dagli articoli 7, paragrafo 4, e 8 del CRA. Stato delle norme: https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/norme/ Feed RSS: https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/novita/feed.xml