Il Cyber Resilience Act introduce, per la prima volta, requisiti di cybersicurezza obbligatori per tutti i prodotti con elementi digitali venduti nell’Unione Europea: macchine connesse, componenti di automazione, dispositivi IoT, software. Gli obblighi di segnalazione delle vulnerabilità si applicano dall’11 settembre 2026; l’insieme completo dei requisiti dall’11 dicembre 2027, con sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale. Prepararsi non è più un’opzione: è una condizione per restare sul mercato europeo.
A fabbricanti, importatori e distributori di prodotti con elementi digitali: costruttori di macchine e impianti connessi, produttori di componenti di automazione e strumentazione, sviluppatori di software e dispositivi IoT industriali e consumer. Se il vostro prodotto contiene un microprocessore, comunica in rete o esegue software, il CRA con ogni probabilità lo riguarda.
Determiniamo la classe CRA di ogni prodotto — standard, importante (classe I o II) o critico — analizzandone la funzione principale. Dalla classe dipende tutto: per i prodotti standard basta l’autovalutazione; per gli importanti di classe II è obbligatoria la valutazione di un organismo notificato; per i critici serve la certificazione europea di cybersicurezza.
Confrontiamo il prodotto e i processi aziendali con i requisiti dell’allegato I del Regolamento: sicurezza fin dalla progettazione, gestione delle vulnerabilità, aggiornamenti di sicurezza, protezione dei dati. Il risultato è un piano di adeguamento con priorità, tempi e costi stimati.
Impostiamo con voi il processo richiesto dall’articolo 14: punto di contatto, flusso interno di valutazione, tempistiche di segnalazione (allerta in 24 ore, notifica in 72, relazione finale), predisposizione della SBOM (Software Bill of Materials) e della politica di divulgazione coordinata.
Prepariamo la documentazione tecnica richiesta e vi accompagniamo nel percorso di valutazione più adatto alla classe del prodotto, fino alla dichiarazione UE di conformità e alla marcatura CE.
Un incontro preliminare per classificare i vostri prodotti e stimare percorso, tempi e costi della conformità CRA.
Dipende dalla classe del prodotto e dal punto di partenza: da poche settimane (prodotto standard con buone pratiche già in essere) a 6–12 mesi (prodotti di classe II o portafogli ampi). Per questo conviene partire dalla gap analysis adesso: dicembre 2027 è vicino per chi parte da zero.
Dal censimento e dalla classificazione dell’intero portafoglio, che permette di raggruppare i prodotti per famiglie e requisiti comuni: la maggior parte delle attività (processi, SBOM, documentazione) si progetta una volta e si riusa.
Il software open source integrato nei vostri prodotti rientra nel perimetro della vostra responsabilità di fabbricanti: va censito nella SBOM e coperto dal processo di gestione delle vulnerabilità. Obblighi specifici per chi sviluppa open source si applicano solo in casi particolari.
Sono complementari: il Regolamento Macchine 2023/1230 (applicabile dal 20 gennaio 2027) richiede la protezione dei sistemi di comando contro la corruzione; il CRA copre la cybersicurezza del prodotto in senso ampio. Chi produce macchine connesse deve rispettarli entrambi — e conviene affrontarli in un unico progetto.
Pagina aggiornata ad agosto 2026
