La Commissione Europea e l’Agenzia per la Cybersicurezza Nazionale hanno pubblicato le linee guida ufficiali sull’applicazione del Cyber Resilience Act, il Regolamento (UE) 2024/2847 che disciplina la sicurezza informatica dei prodotti con elementi digitali.
Il documento chiarisce l’interpretazione del regolamento e fornisce indicazioni operative e casi d’uso concreti a sviluppatori, fabbricanti e imprese. Arriva in un momento preciso: dall’11 settembre 2026 scattano i primi obblighi operativi.
A chi si applica il Cyber Resilience Act
Prima di tutto il perimetro, perché è la domanda che si fanno tutti. Il CRA si rivolge a chi immette sul mercato europeo prodotti con elementi digitali: hardware, software, dispositivi connessi e componenti. Riguarda quindi chi sviluppa un gestionale, chi produce apparati IoT, chi vende soluzioni software, chi integra firmware nei propri dispositivi.
Non riguarda invece l’impresa che si limita a utilizzare software di terzi per la propria attività. La distinzione è netta e conviene verificarla per tempo: molte PMI manifatturiere scoprono di rientrare nel perimetro per via del software incorporato nei prodotti che vendono.
Le nove sezioni delle linee guida
Il documento è strutturato in nove sezioni pratiche, che accompagnano le imprese lungo l’intero percorso di adeguamento:
- Ambito di applicazione — quali prodotti con elementi digitali ricadono negli obblighi.
- Immissione sul mercato — criteri e adempimenti prima della commercializzazione.
- Software open source — gestione del codice libero e responsabilità degli sviluppatori.
- Modifiche sostanziali — quando un aggiornamento trasforma il prodotto e impone una nuova valutazione di conformità.
- Componenti di ricambio — regole operative per le parti sostitutive.
- Periodo di supporto — come definire e comunicare agli utenti la durata della copertura di sicurezza.
- Gestione delle vulnerabilità — processi di vulnerability management lungo il ciclo di vita del prodotto.
- Segnalazione degli incidenti — obblighi di notifica al CSIRT nazionale e a ENISA.
- Valutazione di conformità — percorsi di conformità e vigilanza del mercato.
La scadenza dell’11 settembre 2026
Dall’11 settembre 2026 entrano in vigore gli obblighi previsti dall’articolo 14 del regolamento. I fabbricanti di prodotti con elementi digitali attivi sul mercato europeo devono segnalare al CSIRT nazionale e a ENISA ogni vulnerabilità attivamente sfruttata e ogni incidente di sicurezza grave.
Le tempistiche sono scandite e non ammettono ritardi:
- Entro 24 ore — preallarme, anche con informazioni parziali. Serve a far scattare la macchina, non a fornire un quadro completo.
- Entro 72 ore — notifica con la valutazione della vulnerabilità o dell’incidente e le misure correttive adottate.
- Entro 14 giorni — relazione finale con descrizione completa, cause, impatto e misure di rimedio applicate.
Ventiquattro ore sono poche se non si sa chi stabilisce che una vulnerabilità è sfruttata attivamente, chi firma la notifica e attraverso quale canale si trasmette. Sono decisioni da prendere prima, non durante un incidente.
L’11 settembre 2026 è comunque solo il primo scalino: la piena applicazione del regolamento è fissata all’11 dicembre 2027, con i requisiti essenziali di cybersicurezza e gli obblighi di valutazione della conformità.
Cosa si rischia
Il regolamento prevede sanzioni proporzionate alla gravità della violazione: per il mancato rispetto dei requisiti essenziali di cybersicurezza si arriva fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale, se superiore. Per gli altri obblighi, inclusa la segnalazione, i massimali scendono ma restano significativi.
Come FinGreenTech affianca la tua conformità
Adeguarsi al CRA richiede due cose insieme: sicurezza tecnica dei prodotti e procedure documentate. FinGreenTech SRL Società Benefit interviene su entrambi i fronti.
Vulnerability assessment e penetration test
Analisi dei prodotti e dell’infrastruttura per individuare le falle prima che vengano sfruttate, con report utilizzabile anche come evidenza del processo di vulnerability management richiesto dal regolamento.
Piani di incident response e notifica
Definizione di ruoli, soglie di attivazione e canali di trasmissione, in modo che il preallarme di 24 ore sia una procedura già scritta e provata, non una corsa improvvisata.
Sistemi di gestione certificati
Accompagnamento verso la ISO/IEC 27001 per la sicurezza delle informazioni e la ISO/IEC 42001 per i sistemi di intelligenza artificiale: due impianti che coprono buona parte di quanto il CRA richiede di documentare.
Cloud e infrastruttura sicura
Data center in Italia e qualifica ACN QC2 come fornitore di servizi cloud per la Pubblica Amministrazione: il dato resta dentro il perimetro nazionale.
Bandi e agevolazioni
Voucher e contributi a fondo perduto per coprire i costi di adeguamento tecnologico e di certificazione. La verifica delle agevolazioni applicabili fa parte del progetto, non è un servizio a parte.
Verifica se il CRA riguarda i tuoi prodotti
Il primo passo è capire se i tuoi prodotti o servizi rientrano nel perimetro del regolamento e quali processi vanno adeguati. Se hai dubbi su ambito di applicazione, obblighi di notifica o tempistiche, scrivici: la verifica iniziale è gratuita.
Fonte: Agenzia per la Cybersicurezza Nazionale, Online le linee guida europee sull’applicazione del Cyber Resilience Act. Per gli aspetti applicativi fa fede il testo del Regolamento (UE) 2024/2847 e la documentazione ufficiale della Commissione europea.
