Cyber Resilience Act: obblighi, date e segnalazioni dal 2026

A cura di Silvia Masielli, direttrice tecnica di Emmess. DPO certificata EIPASS e Lead Auditor qualificata CEPAS. Aggiornata il 4 ottobre 2026.

Il Cyber Resilience Act è il Regolamento (UE) 2024/2847 del 23 ottobre 2024. Per la prima volta l’Unione fissa requisiti di cybersicurezza obbligatori per quasi tutti i prodotti che contengono software o si collegano a una rete: dal router alla telecamera, dal gestionale venduto in licenza al sensore industriale, fino all’app che comanda un dispositivo. Senza quei requisiti, dall’11 dicembre 2027 il prodotto non potrà portare la marcatura CE e non potrà essere venduto.

Una parte del regolamento però è già operativa. Dall’11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità sfruttate e gli incidenti gravi, anche per i prodotti venduti negli anni scorsi. In questa guida trovi le date, chi è obbligato, che cosa chiede il regolamento, come funzionano le segnalazioni e un piano per arrivare pronto alla piena applicazione.

Le date da segnare

Chi pensa di avere tempo fino a fine 2027 sbaglia di poco, ma sbaglia. Progettare un prodotto sicuro, scrivere la documentazione tecnica e, se serve, passare da un organismo notificato richiede mesi. E l’obbligo di segnalazione corre già.

Chi tocca: i prodotti con elementi digitali

Il regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell’Unione, quando il loro uso prevede una connessione di dati, diretta o indiretta, con un dispositivo o con una rete. Sono hardware e software, compresi i componenti venduti separatamente e le soluzioni di elaborazione dati da remoto senza cui il prodotto non svolge una sua funzione.

In pratica rientrano quasi tutti: elettronica di consumo, apparati di rete, software installabile, firmware, dispositivi per la casa intelligente, controllori e sensori industriali, macchine connesse. Restano fuori i prodotti già coperti da regole settoriali specifiche, come i dispositivi medici, i veicoli, l’aviazione civile e l’equipaggiamento marittimo, oltre ai prodotti per la sicurezza nazionale e la difesa. Il software offerto come servizio puro resta di norma fuori: se però il servizio da remoto è necessario al funzionamento del prodotto, ne fa parte.

Gli obblighi non riguardano solo chi fabbrica. Il regolamento li assegna a quattro figure:

• Fabbricante: progetta o fa progettare il prodotto e lo vende con il proprio nome o marchio. Porta quasi tutto il peso.
• Importatore: immette sul mercato un prodotto di un fabbricante extra UE. Deve verificare che il fabbricante abbia fatto la sua parte e che ci siano marcatura e documenti.
• Distributore: rivende. Controlla marcatura, istruzioni e dati di contatto, e non vende ciò che sa non conforme.
• Amministratore di software open source: l’ente che sostiene in modo continuativo un software libero destinato ad attività commerciali. Ha obblighi più leggeri, e per lui non sono previste sanzioni pecuniarie.

Attenzione: chi modifica in modo sostanziale un prodotto già sul mercato, o lo rivende con il proprio marchio, diventa fabbricante. È lo stesso meccanismo che trovi nella marcatura CE delle macchine.

Che cosa chiede il Cyber Resilience Act

Il cuore sta nell’allegato I, diviso in due parti. La prima riguarda il prodotto, la seconda il modo in cui gestisci le vulnerabilità per tutta la sua vita.

I requisiti del prodotto

• Viene immesso sul mercato senza vulnerabilità sfruttabili note.
• Ha una configurazione sicura predefinita, con la possibilità di riportarlo allo stato originale.
• Si può aggiornare, con aggiornamenti di sicurezza che, dove possibile, si installano in automatico e che l’utente può rifiutare.
• Protegge dagli accessi non autorizzati con autenticazione e gestione delle identità adeguate.
• Protegge riservatezza e integrità dei dati, per esempio con la cifratura, e tratta solo i dati necessari.
• Resta disponibile anche sotto attacco e limita le superfici di attacco.
• Registra gli eventi rilevanti per la sicurezza, con la possibilità per l’utente di disattivare la registrazione.
• Permette all’utente di cancellare in modo sicuro dati e impostazioni.

La gestione delle vulnerabilità

• Identifichi e documenti i componenti del prodotto, anche con una distinta base del software, la SBOM, in un formato leggibile dalle macchine che copra almeno le dipendenze di primo livello.
• Correggi le vulnerabilità senza ritardo, con aggiornamenti di sicurezza gratuiti.
• Fai prove e verifiche periodiche della sicurezza.
• Pubblichi le informazioni sulle vulnerabilità corrette e adotti una politica di divulgazione coordinata.
• Metti a disposizione un punto di contatto per chi vuole segnalarti una vulnerabilità.

La SBOM non va pubblicata: entra nella documentazione tecnica e la consegni alle autorità se te la chiedono. Serve soprattutto a te, per sapere in poche ore se una vulnerabilità appena scoperta in una libreria tocca i tuoi prodotti.

Valutazione del rischio e periodo di assistenza

Prima di tutto c’è una valutazione dei rischi di cybersicurezza, documentata e aggiornata, che spiega quali requisiti si applicano e come li soddisfi. Poi devi dichiarare un periodo di assistenza: il tempo in cui gestirai le vulnerabilità. Deve essere di almeno cinque anni, salvo che il prodotto abbia una vita d’uso prevista più breve. Le linee guida della Commissione chiariscono che i cinque anni sono un minimo: il periodo giusto dipende da quanto l’utente si aspetta ragionevolmente di usare il prodotto. La data di fine assistenza va indicata in modo chiaro al momento dell’acquisto.

Documentazione tecnica e dichiarazione UE di conformità si conservano per almeno dieci anni dall’immissione sul mercato, o per tutto il periodo di assistenza se è più lungo.

Prodotti ordinari, importanti e critici

Il percorso per dimostrare la conformità dipende dalla categoria del prodotto. Gli elenchi stanno negli allegati III e IV del regolamento; il Regolamento di esecuzione (UE) 2025/2392 ne dà la descrizione tecnica, utile per capire se un prodotto ci rientra davvero.

Conta la funzione principale del prodotto, non il fatto che contenga un componente importante. Una lavatrice con un microcontrollore non diventa un prodotto importante per questo. Se però il tuo prodotto è un router o un sistema di accesso, la strada cambia, e con norme armonizzate non ancora disponibili per tutto vuol dire quasi sempre organismo notificato.

Le segnalazioni: che cosa devi fare già da oggi

L’articolo 14 si applica dall’11 settembre 2026. Riguarda tutti i prodotti che rientrano nel regolamento, compresi quelli immessi sul mercato prima di quella data. Devi segnalare due cose:

• una vulnerabilità attivamente sfruttata: c’è la prova che qualcuno l’ha usata davvero, non basta che esista;
• un incidente grave che incide sulla sicurezza del prodotto, per esempio un attacco che compromette i tuoi sistemi di aggiornamento.

Le segnalazioni passano dalla piattaforma unica di segnalazione gestita da ENISA, attiva dall’11 settembre 2026, e arrivano insieme al CSIRT coordinatore e a ENISA. Per chi ha lo stabilimento principale in Italia il coordinatore è il CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale. Devi anche informare gli utenti colpiti, e se serve il pubblico, con le misure da adottare.

Per microimprese e piccole imprese c’è un’attenuazione: il mancato rispetto del termine delle 24 ore non è punito con sanzione pecuniaria. Il termine resta, e le altre scadenze pure.

Due chiarimenti di settembre 2026 contano. Il Regolamento delegato (UE) 2026/881 consente al CSIRT di ritardare, per motivi di sicurezza, la diffusione della tua notifica agli altri Stati. E secondo le indicazioni di ENISA questa richiesta di riservatezza vale solo per le vulnerabilità e non sospende nessun termine.

Marcatura CE e dichiarazione UE di conformità

Dall’11 dicembre 2027 la cybersicurezza diventa un requisito per apporre la marcatura CE. Il fabbricante sceglie la procedura prevista per la categoria, compila la documentazione tecnica, firma la dichiarazione UE di conformità e appone la marcatura in modo visibile e leggibile. Se interviene un organismo notificato, accanto alla marcatura va il suo numero di identificazione.

Se il prodotto è soggetto anche ad altre norme, la dichiarazione può essere unica e deve citarle tutte. È il caso delle macchine connesse, delle apparecchiature radio e dei prodotti con intelligenza artificiale.

Il rapporto con NIS2, RED, macchine e AI Act

NIS2

La direttiva NIS2, in Italia il D.Lgs. 138/2024, riguarda le organizzazioni: come gestiscono la propria sicurezza e i propri incidenti. Il Cyber Resilience Act riguarda i prodotti che vendi. Un’azienda può essere toccata da entrambi: un produttore di apparati industriali può essere soggetto importante per la NIS2 e, nello stesso tempo, fabbricante ai sensi del regolamento. Le due cose si parlano: i soggetti NIS2 devono curare la sicurezza della catena di fornitura e i prodotti conformi al regolamento li aiutano, e la rete dei CSIRT è la stessa.

Apparecchiature radio

Per i prodotti radio, dal 1° agosto 2025 valgono già i requisiti di cybersicurezza del Regolamento delegato (UE) 2022/30 sulla direttiva 2014/53/UE. La Commissione ha adottato un atto delegato che abroga quel regolamento con effetto dall’11 dicembre 2027: da allora la cybersicurezza dei prodotti radio passa per intero al Cyber Resilience Act. Chi ha già lavorato sulla RED parte avvantaggiato, ma il perimetro del regolamento è più ampio: gestione delle vulnerabilità, SBOM, periodo di assistenza, segnalazioni.

Macchine e intelligenza artificiale

Il nuovo regolamento macchine chiede che la macchina sia protetta dalla corruzione e dagli accessi remoti pericolosi. Se la macchina è connessa, devi soddisfare entrambi i regolamenti: ne parliamo nella guida sul Regolamento Macchine 2023/1230. Per i sistemi di intelligenza artificiale ad alto rischio, rispettare i requisiti essenziali del Cyber Resilience Act permette di presumere rispettati i requisiti di cybersicurezza dell’AI Act.

ISO/IEC 27001

Il regolamento non chiede la certificazione ISO/IEC 27001 e la certificazione non basta a rispettarlo. Però un sistema di gestione della sicurezza delle informazioni ben fatto ti dà già molti pezzi: gestione delle vulnerabilità, sviluppo sicuro, gestione dei fornitori, risposta agli incidenti.

Le sanzioni e chi controlla

L’articolo 64 del regolamento fissa i massimi delle sanzioni amministrative: fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore, per la violazione dei requisiti essenziali e degli obblighi degli articoli 13 e 14; fino a 10 milioni o al 2% per altri obblighi di operatori e organismi; fino a 5 milioni o all’1% per informazioni inesatte o incomplete date alle autorità. Le regole concrete le stabilisce ogni Stato.

In Italia la legge di delegazione europea 2025, legge 17 marzo 2026, n. 36, delega il Governo ad adeguare la normativa nazionale e affida all’Agenzia per la Cybersicurezza Nazionale il ruolo di autorità di vigilanza del mercato. Il quadro nazionale si completa con il decreto legislativo attuativo.

Gli errori da evitare

Pensare che riguardi solo chi fa software. Basta un firmware aggiornabile o una porta di rete: un quadro elettrico con modulo di telecontrollo è un prodotto con elementi digitali.

Aspettare il 2027 per le segnalazioni. L’obbligo c’è dall’11 settembre 2026, anche per i prodotti venduti anni fa.

Non sapere che cosa c’è dentro il prodotto. Senza SBOM non sai se una vulnerabilità di una libreria ti tocca, e le 24 ore passano.

Dichiarare un periodo di assistenza a caso. È un impegno vincolante: se dichiari cinque anni, per cinque anni devi correggere.

Scoprire tardi di avere un prodotto importante. Gli organismi notificati per questo regolamento sono pochi e gli spazi si riempiono.

Da dove cominciare

1. Fai l’inventario. Elenca i prodotti con elementi digitali che vendi o venderai dopo dicembre 2027, compresi componenti e software.
2. Classifica. Per ognuno stabilisci se è ordinario, importante di classe I o II, o critico, usando il Regolamento di esecuzione 2025/2392.
3. Organizza subito le segnalazioni. Chi decide che una vulnerabilità è sfruttata, chi accede alla piattaforma ENISA, con quale modulo, chi avvisa i clienti.
4. Costruisci la SBOM. Parti dai prodotti più venduti e da quelli connessi a internet.
5. Fai la valutazione dei rischi. Confronta ogni prodotto con i requisiti dell’allegato I e annota che cosa manca.
6. Decidi il periodo di assistenza. Coinvolgi commerciale e assistenza: è un costo che dura anni.
7. Prepara documentazione e dichiarazione. E, se il prodotto è importante o critico, prenota l’organismo notificato.
8. Rivedi i contratti con i fornitori. Ti servono informazioni sui componenti e impegni sulle correzioni.

Domande frequenti

Il Cyber Resilience Act si applica anche ai prodotti già venduti?
Per l’obbligo di segnalazione sì: dall’11 settembre 2026 vale per tutti i prodotti che rientrano nel regolamento, anche immessi sul mercato prima. Per i requisiti essenziali no: si applicano ai prodotti immessi dall’11 dicembre 2027, salvo che un prodotto già venduto subisca dopo quella data una modifica sostanziale.

Entro quanto devo segnalare una vulnerabilità sfruttata?
Preallarme entro 24 ore da quando lo sai, notifica entro 72 ore e relazione finale entro 14 giorni dalla disponibilità della correzione. La segnalazione passa dalla piattaforma unica di ENISA e arriva al CSIRT coordinatore, per l’Italia il CSIRT Italia dell’ACN.

Il software in abbonamento rientra?
Il software offerto solo come servizio di norma no. Rientra invece se l’elaborazione da remoto è necessaria perché il prodotto svolga una sua funzione: in quel caso fa parte del prodotto.

Quanto deve durare il periodo di assistenza?
Almeno cinque anni, salvo che il prodotto abbia una vita d’uso prevista più breve. Il periodo va stabilito in base a quanto l’utente si aspetta di usare il prodotto e va comunicato in modo chiaro al momento dell’acquisto.

Serve sempre un organismo notificato?
No. Per i prodotti ordinari basta il controllo interno. Per i prodotti importanti di classe I basta se applichi per intero norme armonizzate o un sistema europeo di certificazione. Per la classe II e per i prodotti critici serve sempre una valutazione di terza parte o la certificazione europea.

Se sono soggetto NIS2 sono già a posto con il Cyber Resilience Act?
No. La NIS2 riguarda la sicurezza della tua organizzazione, il regolamento la sicurezza dei prodotti che vendi. Molte misure si sovrappongono, ma documenti e obblighi sono diversi.

La certificazione ISO/IEC 27001 basta per la marcatura CE?
No. Aiuta molto sul metodo, ma la conformità si dimostra prodotto per prodotto, con valutazione dei rischi, documentazione tecnica e dichiarazione UE di conformità.

Fonti

• Regolamento (UE) 2024/2847 del 23 ottobre 2024 relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali, articoli 13, 14, 64, 69 e 71 e allegati I, III e IV, testo pubblicato su EUR-Lex.
• Regolamento di esecuzione (UE) 2025/2392 sulla descrizione tecnica delle categorie di prodotti importanti e critici.
• Regolamento delegato (UE) 2026/881 sulle condizioni per ritardare la diffusione delle notifiche.
• Commissione europea, pagina di sintesi sul Cyber Resilience Act e linee guida sull’applicazione del 27 luglio 2026.
• ENISA, piattaforma unica di segnalazione e indicazioni di settembre 2026.
• Regolamento delegato (UE) 2022/30 sulle apparecchiature radio e atto delegato di abrogazione con effetto dall’11 dicembre 2027.
• Legge 17 marzo 2026, n. 36, legge di delegazione europea 2025.
• Note di approfondimento di Cybersecurity360, ICT Security Magazine e Hogan Lovells.