immagine astratta rossa servizi cybersecurity

Cyber Resilience Act (CRA)

Home » Cybersecurity » cyber-resilience-act-cra

Se produci, importi o distribuisci prodotti con elementi digitali, il CRA ti riguarda — anche se non lo sai ancora. Ti accompagniamo dall’analisi di applicabilità fino alla documentazione pronta per la marcatura CE, con la sicurezza verificata sul campo, non solo dichiarata.

Navigate to the next section

Il problema

Il Cyber Resilience Act (Regolamento UE 2024/2847) è in vigore dal 10 dicembre 2024. Introduce requisiti di cybersecurity obbligatori per qualsiasi prodotto con elementi digitali immesso sul mercato europeo: software, dispositivi IoT, hardware connesso, sistemi embedded, macchinari con firmware.

La maggior parte delle aziende non sa di ricadere nel perimetro. Eppure gli obblighi si spostano proprio sul fabbricante — e in parte su importatori e distributori — lungo tutto il ciclo di vita del prodotto.

01

Cosa facciamo

  • Determiniamo se e come il CRA si applica ai tuoi prodotti e qual è il tuo ruolo (fabbricante, importatore, distributore, OEM)
  • Eseguiamo la gap analysis rispetto ai requisiti essenziali di sicurezza (Allegato I)
  • Definiamo i processi di gestione delle vulnerabilità lungo il ciclo di vita e la produzione dello SBOM (Software Bill of Materials)
  • Prepariamo la documentazione tecnica a supporto della dichiarazione di conformità e della marcatura CE (che resta al fabbricante)
  • Testiamo la sicurezza dei tuoi prodotti (Vulnerability Assessment e Penetration Testing) per validare — non solo dichiarare — la security by design
02

Come funziona

  • Applicability assessment — verifichiamo se i tuoi prodotti rientrano nel CRA e in quale classe di rischio
  • Gap analysis — confrontiamo prodotti e processi con i requisiti essenziali del regolamento
  • Piano di adeguamento — definiamo priorità, azioni e responsabilità con tempi realistici
  • Testing e validazione tecnica — VA/PT sul prodotto, verifica dello SBOM, controllo degli aggiornamenti di sicurezza
  • Documentazione — fascicolo tecnico e supporto alla dichiarazione di conformità, base per la marcatura CE
  • Mantenimento — gestione continua delle vulnerabilità e reporting nel tempo
03

Cosa ottieni

  • Chiarezza sul tuo ruolo e sui tuoi obblighi ai sensi del CRA
  • Prodotti conformi e marcabili CE: accesso al mercato UE preservato
  • Processi di gestione vulnerabilità e reporting pronti per l’11 settembre 2026
  • Sicurezza del prodotto verificata con test reali, non solo autodichiarata
  • Documentazione completa pronta per audit e sorveglianza di mercato
  • Riduzione concreta del rischio di sanzioni e di esclusione dal mercato
  • Un partner unico che copre sia l’advisory sia il testing
04

Per chi è

  • Software house e vendor di applicazioni
  • Costruttori di dispositivi IoT, hardware e sistemi embedded
  • Aziende manifatturiere con macchinari o prodotti connessi / dotati di firmware
  • Importatori e distributori che immettono prodotti connessi sul mercato UE
  • OEM e chi rivende prodotti a proprio marchio
  • Chi esporta in UE e non può permettersi di perdere l’accesso al mercato

L'obbligo di reporting parte l'11 settembre 2026.

Prima si parte, meno costa adeguarsi. Il momento giusto per iniziare è adesso.