Con il Cyber Resilience Act l’Unione europea fissa regole di sicurezza per tutti i prodotti hardware e software con una componente digitale. Il primo obbligo è già operativo: dall’11 settembre 2026 chi fabbrica questi prodotti deve segnalare entro 24 ore le vulnerabilità attivamente sfruttate e gli incidenti gravi, anche per i prodotti già in commercio. Gli altri requisiti, dalla sicurezza fin dalla progettazione agli aggiornamenti, arrivano l’11 dicembre 2027.
In breve
- Il regolamento (UE) 2024/2847 è in vigore dal 10 dicembre 2024 e si applicherà per intero dall’11 dicembre 2027.
- Dall’11 settembre 2026 i fabbricanti inviano un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale, tramite la piattaforma unica dell’ENISA.
- L’obbligo vale per tutti i prodotti con elementi digitali presenti sul mercato UE, compresi quelli venduti prima.
- In Italia il decreto di adeguamento, approvato in esame preliminare il 2 ottobre 2026, indica l’ACN come autorità di vigilanza del mercato.
Cos’è il Cyber Resilience Act e quali prodotti riguarda
Il regolamento definisce prodotto con elementi digitali un prodotto software o hardware, insieme alle sue soluzioni di elaborazione dati da remoto. Riguarda i prodotti che, per uso previsto o ragionevolmente prevedibile, si collegano direttamente o indirettamente a un dispositivo o a una rete. La Commissione europea cita baby monitor e smartwatch; per capirci, possono rientrare anche un’app, un gestionale venduto in licenza, una telecamera connessa o un sensore industriale.
L’elaborazione dati da remoto è quella progettata dal fabbricante e necessaria a una funzione del prodotto, come il servizio online che fa dialogare un termostato con la sua app. Restano fuori i servizi in quanto tali, alcuni software open source e i prodotti coperti da regole specifiche, come dispositivi medici, aviazione e automobili.
Fabbricanti, importatori e distributori: chi deve fare cosa
Il fabbricante è chi sviluppa o produce un prodotto con elementi digitali, o lo fa progettare e produrre, e lo commercializza con il proprio nome o marchio, a pagamento o gratis. Spettano a lui progettazione sicura, gestione delle vulnerabilità, aggiornamenti e, da settembre 2026, le segnalazioni.
L’importatore immette sul mercato UE prodotti con il marchio di un soggetto extra UE; il distributore li rende disponibili senza modificarne le proprietà. Dal dicembre 2027 entrambi, se vengono a conoscenza di una vulnerabilità, devono informare il fabbricante senza ingiustificato ritardo. Qualche esempio ipotetico:
- una PMI che vende con il proprio marchio un software per studi professionali è fabbricante;
- un’azienda che importa telecamere connesse prodotte fuori UE e le rivende è importatore;
- un negozio che rivende router di marche europee è distributore;
- un’impresa che usa soltanto software di terzi non ha obblighi diretti, ma ha interesse a chiedere ai fornitori come li rispettano.
Cosa cambia dall’11 settembre 2026: le segnalazioni
Gli eventi da segnalare sono due. Una vulnerabilità attivamente sfruttata è una falla per cui ci sono prove affidabili che qualcuno l’abbia usata in un sistema senza il permesso del proprietario. Un incidente grave compromette, o può compromettere, la capacità del prodotto di proteggere disponibilità, autenticità, integrità o riservatezza di dati e funzioni importanti, oppure porta all’esecuzione di codice malevolo. I tempi:
- preallarme entro 24 ore da quando il fabbricante ne viene a conoscenza;
- notifica entro 72 ore;
- relazione finale entro 14 giorni da quando è disponibile una correzione, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti gravi.
Si segnala una sola volta sulla Single Reporting Platform dell’ENISA, operativa dall’11 settembre 2026. La notifica arriva al CSIRT del Paese in cui il fabbricante ha lo stabilimento principale e, insieme, all’ENISA; il CSIRT la gira a quelli degli altri Paesi in cui il prodotto è venduto. ENISA offre FAQ, manuali e un help desk.
Il fabbricante deve anche informare gli utilizzatori colpiti e indicare le misure per ridurre il rischio; se non lo fa in tempo, può farlo il CSIRT. Per micro e piccole imprese il regolamento esclude le sanzioni pecuniarie per il solo mancato rispetto delle 24 ore del preallarme: gli altri obblighi restano.
Cosa arriva l’11 dicembre 2027
Da quella data si applicano i requisiti principali: sicurezza per tutto il ciclo di vita, gestione delle vulnerabilità, aggiornamenti di sicurezza e marcatura CE. Il periodo di supporto, in cui il fabbricante garantisce gli aggiornamenti, deve durare almeno cinque anni, salvo prodotti pensati per un uso più breve. I prodotti critici dovranno superare una valutazione di terza parte prima della vendita.
Intanto la Commissione ha pubblicato il 27 luglio 2026 una prima serie di linee guida, e gli Stati devono assicurare entro l’11 dicembre 2026 un numero sufficiente di organismi di valutazione della conformità.
La situazione in Italia: il decreto di adeguamento
Il 2 ottobre 2026 il Consiglio dei ministri ha approvato, in esame preliminare, il decreto legislativo di adeguamento al regolamento. Il testo prevede che:
- l’ACN sia autorità di notifica degli organismi di valutazione e autorità di vigilanza del mercato, anche con la Guardia di finanza;
- altre autorità vigilino nei propri ambiti, come Banca d’Italia, CONSOB e IVASS per gli istituti finanziari e il Garante privacy;
- i consumatori possano segnalare vulnerabilità, incidenti e minacce direttamente al CSIRT Italia;
- per le PMI ci siano un canale di consulenza definito da ACN e Ministero delle imprese, tariffe proporzionate per la valutazione di conformità e una Sandbox-CRA con accesso prioritario per micro e piccole imprese.
Il testo deve ancora completare l’iter prima dell’approvazione definitiva.
Cosa fare adesso
- Fai l’inventario dei prodotti con elementi digitali che metti sul mercato con il tuo nome, comprese le versioni vecchie ancora usate dai clienti.
- Nomina chi decide entro 24 ore: una persona e un sostituto che ricevono le segnalazioni di vulnerabilità e valutano se notificarle.
- Prepara un modello di preallarme e familiarizza con la piattaforma ENISA prima di averne bisogno.
- Controlla i componenti di terzi, come librerie e moduli integrati nel prodotto: anche lì possono nascondersi vulnerabilità sfruttate.
- Se commissioni software su misura da distribuire ai clienti, come quelli che sviluppiamo con Ecosystem, chiarisci nel contratto chi è il fabbricante e chi gestisce segnalazioni e aggiornamenti.
- Se rivendi o importi, chiedi ai fornitori quanto dura il periodo di supporto e come comunicano le vulnerabilità.
Informazioni aggiornate a ottobre 2026. Non è una consulenza legale: verifica il tuo caso sulle linee guida della Commissione e con un consulente.
Domande frequenti
Il Cyber Resilience Act vale anche per i servizi in cloud?
I servizi in quanto tali sono esclusi. Rientrano però le soluzioni di elaborazione dati da remoto progettate dal fabbricante e necessarie al funzionamento di un prodotto, come il servizio online senza cui un dispositivo connesso non svolgerebbe una sua funzione.
Devo segnalare anche per prodotti venduti prima del 2026?
Sì. La Commissione europea precisa che l’obbligo vale per tutti i prodotti con elementi digitali immessi sul mercato dell’UE, anche quelli già in commercio prima dell’11 settembre 2026.
Sono un rivenditore: cosa devo fare?
Le segnalazioni all’ENISA spettano al fabbricante. Dall’11 dicembre 2027 importatori e distributori che vengono a conoscenza di una vulnerabilità devono informarne il fabbricante senza ingiustificato ritardo: conviene già ora chiedere ai fornitori come gestiscono falle e aggiornamenti.
Chi controllerà il rispetto del regolamento in Italia?
Secondo il decreto approvato in esame preliminare il 2 ottobre 2026, l’autorità di vigilanza del mercato sarà l’ACN, affiancata da altre autorità nei rispettivi ambiti. Il testo non è ancora definitivo.
Fonti
- EUR-Lex, «Regolamento (UE) 2024/2847», Gazzetta ufficiale dell’UE, 20 novembre 2024
- Commissione europea, «Cyber Resilience Act - Reporting obligations», consultata a ottobre 2026
- Commissione europea, «Cyber Resilience Act - Implementation», aggiornata al 27 luglio 2026
- Commissione europea, «Cyber Resilience Act», consultata a ottobre 2026
- Commissione europea, «Safer and more secure digital products», 11 settembre 2026
- ENISA, «The CRA Single Reporting Platform is launched», 11 settembre 2026
- Governo italiano, «Comunicato stampa del Consiglio dei Ministri n. 191», 2 ottobre 2026