Il Cyber Resilience Act è il regolamento europeo che introduce obblighi di sicurezza orizzontali su tutti i prodotti con elementi digitali venduti nel mercato unico. Adottato dal Parlamento europeo nel marzo 2024 e in vigore dal dicembre 2024, applica un calendario a tappe: gli obblighi principali diventano vincolanti a partire dall’11 dicembre 2027. Le scadenze intermedie sono già operative, e per chi produce hardware o software è il momento di verificare l’impianto interno.
Vale la pena ricostruire i punti chiave: chi è coinvolto, cosa cambia in pratica, cosa fare adesso senza aspettare il 2027.
Chi rientra nell’ambito
Il CRA si applica a qualsiasi prodotto con elementi digitali immesso nel mercato UE, indipendentemente dal fatto che il produttore sia europeo o no. Sono inclusi:
- Hardware con software embedded (router, IoT, dispositivi industriali, smart home)
- Software stand-alone, anche distribuito gratuitamente in versione commerciale
- Componenti remoti (server di gestione, API cloud associate al prodotto)
Sono fuori scope il software open source non commercializzato, prodotti coperti da regolamenti settoriali specifici (dispositivi medici, automotive, aviation) e prodotti puramente militari o di sicurezza nazionale. Per il resto, l’ambito è ampio: dal microcontrollore al sistema operativo.
Obblighi principali per i produttori
Il CRA introduce requisiti essenziali su tutto il ciclo di vita del prodotto. I principali:
- Security by design: il prodotto deve essere progettato per essere sicuro fin dall’origine, con valutazione del rischio documentata
- Vulnerability handling: gestione strutturata delle vulnerabilità, con processo di patch e disclosure responsabile
- Aggiornamenti di sicurezza: il produttore deve fornire patch gratuite per tutta la durata del periodo di supporto (almeno 5 anni nella maggior parte dei casi)
- SBOM: software bill of materials disponibile per ogni release
- Notifica incidenti: comunicazione obbligatoria a ENISA entro 24 ore per vulnerabilità attivamente sfruttate, 72 ore per incidenti gravi
- Marcatura CE: il prodotto deve essere CE-marked dopo conformity assessment
Tempistica di applicazione
| Data | Cosa entra in vigore |
|---|---|
| 10 dicembre 2024 | CRA in vigore (entry into force) |
| 11 giugno 2026 | Notifica organismi conformity assessment |
| 11 settembre 2026 | Obblighi reporting vulnerabilità a ENISA |
| 11 dicembre 2027 | Piena applicazione (compresa CE marking) |
Le date intermedie sono già attive a fine 2026. Il reporting su vulnerabilità sfruttate attivamente parte a settembre. Chi gestisce prodotti commerciali con vulnerabilità note deve avere il flusso pronto.
Categorie di prodotti e regime
Non tutti i prodotti seguono lo stesso percorso. Il CRA distingue tre classi:
- Default: 90% dei prodotti, autovalutazione di conformità da parte del produttore
- Importante classe I: prodotti come password manager, sistemi operativi, firewall di rete consumer. Conformity assessment con standard armonizzati o con organismo notificato
- Importante classe II: hypervisor, firewall enterprise, sistemi PKI. Sempre richiesto organismo notificato
- Critico: smart card, hardware security module. Certificazione obbligatoria secondo schema EUCC
Identificare la classe del proprio prodotto è il primo passo concreto del lavoro di compliance. Conviene farlo subito perché determina costi e tempistiche degli step successivi.
Sanzioni
Il CRA prevede sanzioni amministrative significative, su tre livelli a seconda della gravità della violazione. Il massimo è 15 milioni di euro o il 2,5% del fatturato annuo mondiale, per le violazioni più gravi (non conformità ai requisiti essenziali). Per inadempienze procedurali (notifica tardiva di incidenti) il tetto scende a 10 milioni o 2% del fatturato.
L’ammontare effettivo viene calibrato dagli Stati membri, ma il riferimento europeo dà l’idea della serietà con cui il regolamento va trattato.
Cosa fare nei prossimi 12 mesi
Per chi commercializza prodotti con elementi digitali in UE, queste sono le azioni a basso regret da avviare subito:
- Inventario prodotti e classificazione secondo categorie CRA
- Gap analysis sui requisiti essenziali per ciascun prodotto in scope
- Procedura di vulnerability disclosure pubblica e canale di contatto dedicato
- Generazione SBOM automatica per ogni release (CycloneDX o SPDX)
- Piano di supporto sicurezza pluriennale dichiarato al cliente in fase di vendita
Per chi vende anche fuori UE, il CRA è il regolamento più impattante in arrivo dopo NIS2 e GDPR. Anticipare il lavoro di adeguamento di 12-18 mesi è la posizione strategica più sensata: il costo del ritardo nel 2027 sarà superiore al costo dell’adeguamento oggi.
I testi ufficiali sono pubblicati sulla Gazzetta Ufficiale UE (Regolamento UE 2024/2847). ENISA ha già pubblicato linee guida tecniche di indirizzo che vale la pena leggere prima di impostare il programma interno di adeguamento.