Mancano poche settimane a una data che molti fabbricanti non hanno ancora segnato in agenda: l’11 settembre 2026 entrano in applicazione i primi obblighi operativi del Cyber Resilience Act — il Regolamento (UE) 2024/2847 che introduce requisiti di cybersicurezza obbligatori per tutti i prodotti con elementi digitali venduti nell’Unione Europea. Non riguarda solo chi produce software: riguarda macchine connesse, componenti di automazione, dispositivi IoT, elettronica industriale e di consumo. Se il vostro prodotto ha un microprocessore e comunica con qualcosa, quasi certamente è incluso.
Da quella data si applica l’articolo 14 del Regolamento: i fabbricanti hanno l’obbligo di segnalare alle autorità le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti. Non è una raccomandazione: è un obbligo con tempi strettissimi e sanzioni.
Per una vulnerabilità attivamente sfruttata (un difetto di sicurezza che qualcuno sta già usando per attaccare) la sequenza è:
Per un incidente grave che impatta la sicurezza del prodotto la cascata è analoga: allerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Le segnalazioni passano dalla piattaforma unica europea e raggiungono l’ENISA e il CSIRT nazionale competente — per l’Italia l’Agenzia per la Cybersicurezza Nazionale (ACN).
Il punto pratico è uno: 24 ore sono poche. Chi non ha già un processo interno per raccogliere le segnalazioni, valutarle e inoltrarle, non riuscirà a rispettarle improvvisando.
Il CRA si applica ai «prodotti con elementi digitali»: hardware e software, professionali e consumer, venduti o messi a disposizione sul mercato UE. Per il settore industriale significa, tra l’altro: macchine e quadri con connettività, PLC e componenti di automazione, sensori e strumentazione connessa, HMI, gateway, software industriale e app di supervisione. Restano fuori solo i prodotti già coperti da regole settoriali equivalenti (dispositivi medici, automotive, aeronautica) e alcuni casi particolari.
Attenzione anche alla filiera: gli obblighi principali ricadono sul fabbricante, ma importatori e distributori hanno doveri di verifica propri. E chi appone il proprio marchio su un prodotto altrui ne assume le responsabilità.
Il CRA divide i prodotti in classi, e dalla classe dipende il percorso di conformità:
La classificazione dipende dalla funzione principale del prodotto: il primo passo di qualunque percorso di conformità è capire in quale classe si ricade — e quindi se servirà un organismo notificato.
Il mancato rispetto dei requisiti essenziali può costare fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo, se superiore. Violazioni di altri obblighi (incluse le segnalazioni) hanno massimali inferiori ma comunque significativi. Oltre alle sanzioni: ritiro dal mercato e danno reputazionale.
Xefra affianca i fabbricanti nell’intero percorso: classificazione del prodotto, gap analysis rispetto ai requisiti essenziali, impostazione del processo di gestione e segnalazione delle vulnerabilità, preparazione della documentazione tecnica e valutazione di conformità. L’esperienza da organismo notificato e da laboratorio di prova — dove sicurezza funzionale e cybersicurezza si incontrano — è il punto di partenza per arrivare pronti alle scadenze del CRA. Contattaci per una prima valutazione del vostro portafoglio prodotti.
Sì, se contengono elementi digitali — ed è il caso della quasi totalità delle macchine moderne. Il CRA si affianca al nuovo Regolamento Macchine 2023/1230, che a sua volta introduce requisiti di protezione contro la corruzione per i sistemi di comando: i due regolamenti vanno affrontati insieme.
La violazione degli obblighi di segnalazione è sanzionabile e, in caso di danno, aggrava la posizione del fabbricante anche sul piano della responsabilità civile. Il processo interno di gestione è la vera protezione.
Gli obblighi di segnalazione dall’11 settembre 2026 riguardano anche i prodotti già in commercio con supporto attivo. I requisiti essenziali completi si applicano ai prodotti immessi sul mercato dall’11 dicembre 2027; le modifiche sostanziali a prodotti esistenti possono farli rientrare.
No: per la maggior parte dei prodotti (classe standard) basta l’autovalutazione. Diventa obbligatorio per i prodotti importanti di classe II e, in forma di certificazione, per i critici. Il primo passo è la classificazione.
Dal censimento e dalla classificazione dei prodotti, perché determinano tutto il resto: percorso di conformità, costi e tempi. In parallelo, predisporre il processo di segnalazione: è l’obbligo con la scadenza più vicina.
Articolo aggiornato ad agosto 2026. Riferimenti: Regolamento (UE) 2024/2847 (Cyber Resilience Act).
Vuoi saperne di più o parlare con i nostri esperti? Contattaci: info@xefracert.com oppure chiamaci al +39 010 455 6368.
