Sul Cyber Resilience Act la maggior parte delle aziende italiane ha in testa una data: dicembre 2027. È quella che compare nelle slide, quella che i consulenti usano per dire che c'è tempo.
È vera, ma è la seconda. La prima è l'11 settembre 2026, cioè fra poche settimane, e riguarda un obbligo che non richiede certificazioni né marcature: richiede di accorgersi di una cosa e di comunicarla in fretta.
Se producete, importate o rivendete qualcosa che ha dentro del software, questo articolo vi riguarda anche se non ve ne siete ancora occupati.
Le tre date, in ordine
Il Cyber Resilience Act è il Regolamento (UE) 2024/2847. È entrato in vigore il 10 dicembre 2024 e si applica per gradi.
| Data | Cosa scatta |
|---|---|
| 11 giugno 2026 | Disposizioni sulla notifica degli organismi di valutazione della conformità |
| 11 settembre 2026 | Obblighi di segnalazione: vulnerabilità attivamente sfruttate e incidenti gravi |
| 11 dicembre 2027 | Piena applicazione: requisiti essenziali di sicurezza, valutazione di conformità, marcatura, distinta dei componenti software, supporto minimo |
La logica dello scaglionamento è che la segnalazione non richiede di riprogettare nulla: richiede di sapere cosa avete venduto, di accorgervi se qualcuno lo sta attaccando e di dirlo. È la parte che si può attivare subito, ed è per questo che arriva prima.
Chi riguarda davvero
Qui casca la maggior parte delle aziende, perché il perimetro è più largo di quanto suggerisca il nome.
Il regolamento si applica ai prodotti con elementi digitali. Non "prodotti informatici": prodotti che contengono software o che si connettono. E gli obblighi non dipendono dalla dimensione dell'azienda, ma dal ruolo nella catena di fornitura.
Vi riguarda se:
- Costruite macchine o impianti con PLC, HMI, telecontrollo o telemetria. È il caso più diffuso nel manifatturiero italiano ed è quello che sorprende di più, perché l'azienda si percepisce come meccanica, non come informatica.
- Sviluppate e vendete software, anche verticale, anche a pochi clienti.
- Importate prodotti connessi da fuori dall'Unione europea.
- Distribuite prodotti connessi di altri.
- Mettete il vostro marchio su un prodotto fabbricato da qualcun altro. In questo caso, ai fini del regolamento, il fabbricante siete voi. È il punto che costa più caro a chi non lo sa.
Non vi riguarda, come obbligo diretto, se usate e basta prodotti connessi acquistati da altri. Ma vi riguarderà lo stesso di riflesso, perché i vostri fornitori inizieranno a chiedervi cose e i vostri clienti inizieranno a chiederle a voi.
Cosa va segnalato, e cosa no
Il regolamento non chiede di segnalare qualunque vulnerabilità. Chiede due cose specifiche, ed è importante non confonderle con il resto del rumore.
Le vulnerabilità attivamente sfruttate. Non una vulnerabilità teorica trovata in un componente, non un avviso di sicurezza di un fornitore: una vulnerabilità nel vostro prodotto che qualcuno sta usando per attaccare.
Gli incidenti gravi che impattano sulla sicurezza del prodotto. Il caso tipico è la compromissione di un vostro sistema che si riflette sui prodotti che avete già consegnato — per esempio il canale di aggiornamento firmware.
Non rientrano: le vulnerabilità trovate internamente e corrette prima che qualcuno le sfrutti, i problemi di qualità che non hanno impatto di sicurezza, gli incidenti che riguardano solo la vostra rete aziendale senza toccare i prodotti sul campo. Questi ultimi possono ricadere sotto altre normative — NIS2 se siete un soggetto in perimetro, GDPR se ci sono dati personali — ma non sotto il CRA.
I tempi, che sono la parte difficile
I termini sono stretti e vale la pena guardarli con attenzione, perché sono ciò su cui si costruisce la procedura interna.
Preallarme entro 24 ore da quando venite a conoscenza del fatto. Non serve avere capito tutto: serve dire che è successo qualcosa.
Notifica completa entro 72 ore, con quello che avete ricostruito e le misure correttive o di mitigazione adottate o previste.
Relazione finale: entro 14 giorni da quando è disponibile una misura correttiva, nel caso di vulnerabilità attivamente sfruttata; entro un mese, nel caso di incidente grave.
Il vincolo vero non è scrivere la notifica: sono le 24 ore. Ventiquattr'ore includono la notte, il sabato e la settimana di ferragosto. Il che significa che serve stabilire chi riceve la segnalazione quando arriva, su quale canale, e chi ha l'autorità di far partire l'orologio senza dover trovare l'amministratore delegato. Nelle aziende dove abbiamo visto funzionare questa cosa, la decisione è stata presa prima e scritta su una pagina.
Cosa serve avere pronto entro settembre
L'obbligo che scatta è di processo, non di prodotto. In un mese si può fare, e queste sono le cose da mettere a posto.
Sapere cosa avete là fuori. Un elenco dei prodotti con elementi digitali che avete immesso sul mercato, con versione del firmware o del software, e con l'indicazione di quali componenti di terze parti contengono. La distinta software formale (SBOM) è un obbligo del 2027, ma un elenco ragionevole vi serve adesso: senza sapere cosa contiene un prodotto non potete accorgervi che una vulnerabilità nota lo riguarda.
Un canale per ricevere le segnalazioni. Un indirizzo pubblicato, presidiato, e una persona che lo guarda. La maggior parte delle vulnerabilità arriva da fuori: un ricercatore, un cliente, un fornitore. Se l'unico canale è il centralino, la notizia vi arriva in ritardo.
Una procedura scritta di gestione. Chi valuta, con quale criterio si decide che è "attivamente sfruttata", chi autorizza la notifica, chi la redige, chi informa i clienti. Due pagine sono sufficienti; zero pagine non lo sono.
Il monitoraggio delle vulnerabilità sui componenti che usate. Se il vostro HMI monta una libreria open source, qualcuno deve accorgersi quando esce un avviso su quella libreria.
Un canale verso i clienti. Perché segnalare all'autorità non basta: chi ha il vostro prodotto in linea deve sapere cosa fare.
Il quadro più ampio, per non fare tre volte lo stesso lavoro
Se siete un costruttore di macchine connesse che fornisce anche aziende soggette a NIS2, nei prossimi diciotto mesi vi arrivano addosso quattro fronti che sembrano diversi e in gran parte non lo sono.
Le clausole contrattuali NIS2 dai clienti in perimetro, che vi chiedono evidenze su accessi, backup, incidenti e subfornitori. Le segnalazioni CRA dall'11 settembre 2026 e i requisiti pieni dall'11 dicembre 2027. Il Data Act, che dal settembre 2026 impone la progettazione orientata all'accessibilità dei dati per i nuovi prodotti connessi. E il nuovo Regolamento Macchine, applicabile dal 20 gennaio 2027, che introduce requisiti di cybersicurezza per le macchine connesse — con la complicazione, nota e non risolta, che le norme armonizzate non sono ancora state pubblicate.
Le evidenze tecniche che questi quattro fronti richiedono sono in larga parte le stesse: sapere cosa c'è dentro i vostri prodotti, gestire le vulnerabilità, aggiornare in modo sicuro, tracciare chi accede a cosa, saper reagire a un incidente in tempi definiti.
Conviene costruirle una volta sola, con un impianto che risponda a tutti e quattro, invece di aprire quattro progetti scollegati con quattro consulenti diversi. È il consiglio più concreto che possiamo dare su questo tema, ed è anche quello che fa risparmiare di più.
Le sanzioni
Le violazioni del CRA sono sanzionabili fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, secondo l'importo più elevato, per le violazioni dei requisiti essenziali. Come sempre, i massimali sono tarati sulle grandi imprese e l'applicazione è proporzionale — ma il punto pratico, per una PMI, non è la multa: è che un prodotto non conforme non si può immettere sul mercato dell'Unione, e questa è una conseguenza che si sente subito.
Le domande che ci fanno
Costruiamo macchine, non software. Il CRA ci riguarda davvero?
Se le macchine hanno un PLC, un pannello operatore, telecontrollo o telemetria, sì. Il regolamento parla di prodotti con elementi digitali, non di aziende informatiche, ed è il punto che sorprende di più il manifatturiero italiano.
Cosa devo segnalare esattamente?
Solo due cose: le vulnerabilità del vostro prodotto che qualcuno sta attivamente sfruttando, e gli incidenti gravi che si riflettono sulla sicurezza dei prodotti già consegnati. Non ogni vulnerabilità trovata, non ogni problema di qualità, non gli incidenti che restano dentro la vostra rete.
Le 24 ore includono il sabato e la settimana di ferragosto?
Sì. È il motivo per cui la parte difficile non è scrivere la notifica, ma decidere in anticipo chi la riceve, su quale canale, e chi ha l'autorità di far partire l'orologio senza dover rintracciare l'amministratore delegato.
Mettiamo il nostro marchio su un prodotto fabbricato da altri. Chi è il fabbricante?
Voi. Ai fini del regolamento, apporre il proprio marchio su un prodotto altrui vi rende fabbricanti con tutti gli obblighi connessi. È l'errore che costa più caro fra quelli che vediamo.
Abbiamo già la marcatura CE. Non basta?
No. La marcatura attuale copre altri requisiti; quelli di cybersicurezza del CRA arrivano con la piena applicazione a dicembre 2027, e nel frattempo l'obbligo di segnalazione vale comunque. Va aggiunto anche che dal 20 gennaio 2027 il nuovo Regolamento Macchine introduce a sua volta requisiti di cybersicurezza.
Devo fare la distinta dei componenti software adesso?
Formalmente no, è un obbligo del dicembre 2027. Ma un elenco ragionevole di cosa contengono i vostri prodotti vi serve già a settembre: senza sapere quali librerie ci sono dentro non potete accorgervi che un avviso di sicurezza vi riguarda.
Nota sulle fonti
Le date e i termini riportati in questo articolo sono verificati sulle pagine ufficiali della Commissione europea dedicate al Cyber Resilience Act, che indicano l'11 settembre 2026 per l'entrata in applicazione degli obblighi di segnalazione dell'articolo 14 e l'11 dicembre 2027 per la piena applicazione, con i termini di 24 ore, 72 ore, 14 giorni e un mese. Non siamo riusciti a estrarre il testo integrale degli articoli dal portale EUR-Lex al momento della stesura, quindi se dovete costruire una procedura formale fate verificare il testo del Regolamento (UE) 2024/2847 a chi vi segue sugli aspetti legali.
Il dato sulle sanzioni proviene da fonti professionali secondarie e non dalla nostra lettura diretta dell'articolo.
Se costruite macchine connesse
Lavoriamo con aziende manifatturiere del Triveneto che si sono accorte, negli ultimi due anni, di essere diventate anche aziende di software senza averlo deciso. Il lavoro utile è quasi sempre lo stesso: capire cosa c'è dentro i prodotti già venduti, mettere in piedi un processo che regga i tempi, e farlo una volta per tutte e quattro le normative invece che quattro volte.
Se l'11 settembre vi trova senza una procedura, scriveteci: in un mese si mette insieme quello che serve.
Articoli correlati: