Guida al Cyber Resilience Act
Una roadmap pratica per i team che realizzano prodotti con elementi digitali: che cosa fare, chi ne è responsabile e quali evidenze conservare. Per sapere che cosa dice la legge, legga che cos'è il Cyber Resilience Act.
Ultimo aggiornamento: 15 ottobre 2026
What the Cyber Resilience Act asks manufacturers to do
L'ambito del Regolamento (UE) 2024/2847, le date di applicazione, le scadenze per le segnalazioni e dove si collocano gli obblighi su SBOM e gestione delle vulnerabilità.
Petteri Pulkkinen e Erika Marttinen a Kubernetes Community Days Helsinki 2026, da 8:03 a 15:20 di SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
I passaggi seguono più o meno quest'ordine, ma per i prodotti già sul mercato contano prima i passaggi da 5 a 8, perché la segnalazione si applica già a essi.
Elenchi ogni prodotto con elementi digitali che mette a disposizione nell'UE, compresi il software venduto singolarmente e i backend cloud di cui i prodotti hanno bisogno per funzionare. Per ciascuno, confermi che non sia escluso (dispositivi medici, veicoli, aviazione, equipaggiamento marittimo, difesa) e se Lei ne è fabbricante, importatore o distributore.
Verifichi un prodotto con il CRA Checker →La maggior parte dei prodotti rientra nella categoria predefinita. Confronti i Suoi con gli elenchi dei prodotti importanti (allegato III) e critici (allegato IV); il regolamento di esecuzione (UE) 2025/2392 ne fornisce le descrizioni tecniche. La categoria determina se può ricorrere all'autovalutazione o se Le serve un organismo notificato o una certificazione.
Scriva una valutazione del rischio di cibersicurezza per ogni prodotto. Determina come si applicano i requisiti essenziali dell'allegato I e fa parte della documentazione tecnica. La aggiorni quando cambiano il prodotto o le minacce.
Decida per quanto tempo gestirà le vulnerabilità di ogni prodotto: almeno cinque anni, salvo che si preveda un uso più breve del prodotto. Informi gli utenti di quando l'assistenza termina e mantenga disponibile ogni aggiornamento di sicurezza per almeno 10 anni.
Il CRA richiede una distinta base del software in un formato di uso comune e leggibile da dispositivo automatico, che comprenda almeno le dipendenze di primo livello. Generarla nella build che produce la release, anziché una volta a mano, la mantiene fedele a ciò che è stato distribuito.
Il ruolo di CRACI: CRACI registra la SBOM durante l'esecuzione di ogni build, comprese le dipendenze transitive e i pacchetti ripristinati dalle cache, e la esporta in CycloneDX o SPDX.
Tenga sotto controllo le versioni rilasciate, non solo il branch principale, per individuare nuove vulnerabilità durante tutto il periodo di assistenza. Le corregga senza ritardo, distribuisca gratuitamente gli aggiornamenti di sicurezza e, ove possibile, separatamente dagli aggiornamenti funzionali.
Il ruolo di CRACI: CRACI ricontrolla le SBOM monitorate rispetto alle nuove vulnerabilità dopo il rilascio, e i team di sicurezza esaminano i rilevamenti e li inviano ai team responsabili della correzione. I policy gate possono bloccare una build in base ai rilevamenti.
Fornisca a ricercatori e clienti un contatto per segnalare le vulnerabilità e una politica di divulgazione coordinata delle vulnerabilità. Quando un aggiornamento è disponibile, pubblichi le informazioni sulle vulnerabilità che corregge.
Dall'11 settembre 2026, una vulnerabilità attivamente sfruttata o un incidente grave richiede un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale, tramite la Single Reporting Platform. Stabilisca chi conferma lo sfruttamento attivo, chi invia la segnalazione e chi informa gli utenti. La parte difficile è sapere nel giro di poche ore quali prodotti e release contengono il componente vulnerabile.
Il ruolo di CRACI: La cronologia delle build di CRACI mostra quali build contenevano una dipendenza vulnerabile, la vista dell'inventario mostra quali versioni sono distribuite su quali prodotti e CRACI invia le notifiche CRA per Suo conto.
Rilasci senza vulnerabilità sfruttabili note e con una configurazione sicura per impostazione predefinita, protegga dati e accessi, limiti la superficie di attacco e renda possibili gli aggiornamenti di sicurezza, automatici per impostazione predefinita ove applicabile. Testi e riesamini regolarmente la sicurezza.
Il ruolo di CRACI: CRACI applica una policy di egress su ciò che le build possono scaricare, e i policy gate possono bloccare una build in base ai rilevamenti.
Raccolga la documentazione tecnica descritta nell'allegato VII, svolga la valutazione della conformità per la Sua categoria, rediga la dichiarazione di conformità UE e apponga la marcatura CE. Conservi documentazione e dichiarazione per almeno 10 anni o per il periodo di assistenza, se più lungo.
Il ruolo di CRACI: CRACI esporta le SBOM in CycloneDX o SPDX, comprese le vulnerabilità trovate nei loro componenti, e la sua API restituisce SBOM, tracce di rete e provenance per la Sua documentazione tecnica. La valutazione e la dichiarazione restano un Suo processo.
Le autorità di vigilanza del mercato possono chiedere la Sua documentazione tecnica. Ecco quale traccia lascia ogni requisito e dove CRACI la registra dalle Sue build.
| Requisito | Dove | Evidenze da conservare | Da CRACI |
|---|---|---|---|
| Valutazione del rischio di cibersicurezza | Articolo 13, allegato I | Valutazione documentata per prodotto | Un Suo processo |
| Nessuna vulnerabilità sfruttabile nota al rilascio | Allegato I, parte I | Stato delle vulnerabilità della build di release | SBOM della build di release controllata rispetto agli advisory; policy gate |
| Distinta base del software | Allegato I, parte II | SBOM leggibile da dispositivo automatico per release | Registrata da ogni build, in CycloneDX o SPDX |
| Gestione delle vulnerabilità per il periodo di assistenza | Articolo 13, allegato I, parte II | Rilevamenti, decisioni di triage, correzioni, advisory | Rivalutazione continua, triage, VEX |
| Dovuta diligenza sui componenti di terze parti | Articolo 13 | Registri dei componenti, compreso il software acquistato | SBOM dei vendor monitorate insieme alle Sue; licenze dichiarate |
| Segnalazione di vulnerabilità sfruttate e incidenti gravi | Articolo 14 | Preallarmi, notifiche, relazioni finali | Invia le notifiche per Suo conto |
| Periodo di assistenza | Articolo 13 | Data di fine assistenza pubblicata | Un Suo processo |
| Documentazione tecnica e dichiarazione | Articolo 13, allegato VII | Conservate per 10 anni o per il periodo di assistenza | Esportazione SBOM e dati API per la documentazione |
Cyber Resilience Act
Usi questa checklist per assegnare le responsabilità e raccogliere le evidenze mentre prepara i prodotti con elementi digitali per il CRA.
Domande pratiche che i team si pongono quando iniziano a occuparsi del CRA
Soddisfare i requisiti essenziali dell'allegato I sulla base di una valutazione del rischio di cibersicurezza, conservare una SBOM, gestire le vulnerabilità per un periodo di assistenza di almeno cinque anni, segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, conservare la documentazione tecnica, superare una valutazione della conformità e apporre la marcatura CE.
Dall'ambito e dalla segnalazione. Scopra quali prodotti copre il CRA, poi si assicuri di poter rispettare il preallarme entro 24 ore per una vulnerabilità attivamente sfruttata, perché la segnalazione si applica dall'11 settembre 2026, anche per i prodotti già sul mercato. Il resto si applica dall'11 dicembre 2027.
L'elenco è nell'allegato VII. Comprende la valutazione del rischio di cibersicurezza del prodotto, la SBOM e le informazioni su come il fabbricante gestisce le vulnerabilità. Viene conservata per almeno 10 anni o per il periodo di assistenza, se più lungo, e fornita su richiesta alle autorità di vigilanza del mercato.
No. La SBOM fa parte della documentazione tecnica e viene fornita su richiesta a un'autorità di vigilanza del mercato. Il regolamento non ne richiede la pubblicazione.
Sì. Il 27 luglio 2026 la Commissione europea ha pubblicato orientamenti non vincolanti, C(2026) 5252, con 67 esempi pratici. Riguardano il trattamento dati da remoto, il software libero e open source, la modifica sostanziale, i periodi di assistenza, la segnalazione e la valutazione del rischio. Il regolamento di esecuzione (UE) 2025/2392 descrive le categorie di prodotti importanti e critici.
Gli obblighi sono gli stessi, ma le microimprese e le piccole imprese non vengono sanzionate per il mancato rispetto del termine di 24 ore del preallarme, e gli orientamenti della Commissione sono scritti tenendo conto delle microimprese e delle PMI.
No. Rispettare il CRA è un processo del fabbricante, che comprende la valutazione del rischio, la valutazione della conformità e la dichiarazione. CRACI automatizza una parte significativa della visibilità sulla supply chain e delle evidenze di cui quel processo ha bisogno: SBOM da ogni build, tracciamento delle vulnerabilità dopo il rilascio e notifiche CRA.
Scopra come CRACI registra una SBOM da ogni build, monitora ciò che ha distribuito e invia le notifiche CRA per Suo conto