C’è una domanda che vale la pena farsi prima di leggere tutto il resto: la tua azienda mette sul mercato prodotti che si collegano a una rete o ad altri dispositivi? Un software, un’app, un macchinario con firmware, un dispositivo IoT, un apparato che comunica via Wi-Fi o Bluetooth. Se la risposta è sì, il Cyber Resilience Act ti riguarda — anche se è la prima volta che ne senti parlare. In questa guida vediamo, sul Cyber Resilience Act, cosa fare e da dove partire.
E no, non serve andare nel panico. Serve però partire per tempo, perché la prima scadenza operativa è vicina.
Cos’è il CRA, in due righe
Il Cyber Resilience Act (Regolamento UE 2024/2847) è la prima legge europea che impone requisiti di cybersecurity obbligatori a tutti i “prodotti con elementi digitali” venduti nell’UE. È entrato in vigore il 10 dicembre 2024 e si applica direttamente in tutti gli Stati membri, senza bisogno di recepimento nazionale.
L’idea di fondo è semplice: la sicurezza non può più essere un optional che l’utente si arrangia a gestire da solo. Deve essere progettata nel prodotto, mantenuta per tutto il suo ciclo di vita e dimostrabile. E a dover apporre la marcatura CE, per attestare la conformità, è il fabbricante che immette il prodotto sul mercato — non chi lo usa.
La differenza che quasi tutti sbagliano
Qui sta il malinteso più comune. Normative come NIS2 e GDPR pesano su chi usa la tecnologia e tratta i dati. Il CRA fa l’opposto: pesa su chi realizza, importa o distribuisce il prodotto.
Questo sposta il perimetro su una platea che spesso non si è mai vista come “soggetto obbligato”:
- chi sviluppa software e applicazioni;
- chi costruisce dispositivi IoT, hardware, sistemi embedded;
- il manifatturiero connesso — macchinari e prodotti con firmware o connettività;
- importatori e distributori che portano sul mercato UE prodotti connessi, anche a proprio marchio.
Se ti riconosci in una di queste categorie, il punto non è se adeguarti, ma quando iniziare.
Le date che contano
Il CRA si applica in modo scaglionato. Tre riferimenti bastano:
- 11 giugno 2026 — entrano in vigore le disposizioni sugli organismi di valutazione della conformità.
- 11 settembre 2026 — scatta l’obbligo di segnalare vulnerabilità attivamente sfruttate e incidenti gravi. È la scadenza più insidiosa, perché richiede processi già pronti e vale anche per i prodotti già sul mercato, non solo per i nuovi.
- 11 dicembre 2027 — piena applicazione. Da qui, senza conformità e marcatura CE, il prodotto non può stare sul mercato UE.
La segnalazione, tra l’altro, ha tempi stretti: prima notifica entro 24 ore. Non è qualcosa che si improvvisa il giorno dell’incidente.
Cosa rischia chi non si muove
Oltre al danno reputazionale e al blocco commerciale, le sanzioni previste arrivano fino a 15 milioni di euro o al 2,5% del fatturato mondiale. Ma la sanzione, come sempre, è solo la punta: il rischio concreto è perdere l’accesso a un mercato su cui magari fondi buona parte del fatturato.
Cyber Resilience Act: cosa fare, da dove si parte
Senza panico, appunto. Ecco, sul Cyber Resilience Act, cosa fare in concreto: una sequenza logica in cui i primi passi contano più di tutti.
- Mappa i tuoi prodotti. Quali si collegano a reti o ad altri dispositivi? Quali potrebbero rientrare in un’esenzione (per esempio alcune soluzioni SaaS o i dispositivi medici, già regolati altrove)?
- Definisci il tuo ruolo. Fabbricante, importatore, distributore, OEM: gli obblighi cambiano a seconda della posizione nella catena del valore.
- Fai una gap analysis rispetto ai requisiti essenziali di sicurezza previsti dal regolamento.
- Prepara i processi di gestione delle vulnerabilità e lo SBOM (l’elenco dei componenti software del prodotto): sono il cuore tecnico della conformità.
- Imposta i workflow di segnalazione per essere operativo entro settembre 2026.
- Verifica sul campo. La “sicurezza by design” va dimostrata: test di sicurezza sul prodotto (vulnerability assessment e penetration testing) trasformano una dichiarazione in una prova.
Quest’ultimo punto è quello che distingue un adeguamento fatto bene da uno solo sulla carta. Dire che un prodotto è sicuro è una cosa; testarlo con gli stessi strumenti di un attaccante e correggere ciò che emerge è un’altra.
Il momento giusto è adesso
Il CRA non è un adempimento da rimandare al 2027. La scadenza di reporting del settembre 2026 richiede processi e documentazione già in piedi, e costruirli richiede mesi — soprattutto se coprono anche i prodotti legacy già venduti.
In Sysup uniamo le due metà del lavoro: l’advisory che ti dice dove sei e cosa manca, e il testing che verifica davvero che i tuoi prodotti reggano. La marcatura CE e la valutazione di conformità restano al fabbricante: noi ti prepariamo perché tu ci arrivi con la documentazione in ordine e la sicurezza già verificata.
Se produci, importi o distribuisci prodotti con elementi digitali, scopri come funziona il nostro servizio di adeguamento al Cyber Resilience Act — oppure prenota una call e in mezz’ora capiamo dove ti trovi.
Questo articolo ha finalità informative e non costituisce consulenza legale. Il perimetro di applicazione del CRA va valutato caso per caso.
