Che cos'è il Cyber Resilience Act?

La legge dell'UE che stabilisce regole di cibersicurezza per i prodotti hardware e software, e che cosa chiede alle aziende che li realizzano

Il Cyber Resilience Act (CRA), regolamento (UE) 2024/2847, è un regolamento dell'UE che stabilisce requisiti obbligatori di cibersicurezza per i prodotti con elementi digitali: hardware e software che si connettono a un dispositivo o a una rete, dai router e dai dispositivi per la casa intelligente alle app, ai sistemi operativi e ai componenti software venduti singolarmente. È entrato in vigore il 10 dicembre 2024. Dall'11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, e il resto del regolamento si applica dall'11 dicembre 2027.

La maggior parte degli obblighi ricade sui fabbricanti. Valutano il rischio di cibersicurezza, realizzano i prodotti secondo i requisiti essenziali dell'allegato I, conservano una distinta base del software (SBOM), gestiscono le vulnerabilità per un periodo di assistenza di almeno cinque anni, superano una valutazione della conformità e appongono la marcatura CE. Importatori e distributori verificano che ciò sia stato fatto. Le sanzioni arrivano a €15 milioni o al 2,5% del fatturato mondiale annuo.

CRACI automatizza una parte significativa delle evidenze richieste da questi obblighi: registra come SBOM i componenti introdotti da ogni build, li ricontrolla rispetto alle nuove vulnerabilità dopo il rilascio ed esporta evidenze di audit per la Sua documentazione tecnica. Quando una vulnerabilità deve essere segnalata, CRACI invia per Suo conto le notifiche CRA alle autorità. Veda come CRACI supporta la conformità al CRA.

Miniatura del video: What the Cyber Resilience Act asks manufacturers to do — What the Cyber Resilience Act asks manufacturers to do

L'ambito del Regolamento (UE) 2024/2847, le date di applicazione, le scadenze per le segnalazioni e dove si collocano gli obblighi su SBOM e gestione delle vulnerabilità.

Petteri Pulkkinen e Erika Marttinen a Kubernetes Community Days Helsinki 2026, da 8:03 a 15:20 di SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Date chiave

Data	Che cosa succede
23 ottobre 2024	Regolamento (UE) 2024/2847 adottato dal Parlamento europeo e dal Consiglio
20 novembre 2024	Pubblicazione nella Gazzetta ufficiale dell'Unione europea
10 dicembre 2024	Entrata in vigore
11 giugno 2026	Si applicano le norme sulla notifica degli organismi di valutazione della conformità (capo IV)
11 settembre 2026	Si applica la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi (articolo 14), anche per i prodotti già sul mercato
11 dicembre 2027	Si applica il resto del regolamento

Aspetti chiave del CRA

Requisiti di sicurezza obbligatori

I prodotti devono soddisfare i requisiti essenziali di cibersicurezza dell'allegato I quando vengono immessi sul mercato e per tutto il periodo di assistenza.

Classificazione basata sul rischio

La maggior parte dei prodotti rientra nella categoria predefinita. I prodotti importanti e critici seguono procedure di valutazione della conformità più rigorose.

Gestione delle vulnerabilità

I fabbricanti conservano una SBOM, correggono le vulnerabilità senza ritardo e segnalano quelle attivamente sfruttate entro 24 ore.

Marcatura CE

Dopo una valutazione della conformità, il fabbricante firma una dichiarazione di conformità UE e appone la marcatura CE.

Documentazione e trasparenza

La documentazione tecnica viene conservata per almeno 10 anni o per il periodo di assistenza, e gli utenti vengono informati di quando l'assistenza termina.

Vigilanza del mercato

Le autorità nazionali possono richiedere la documentazione, ordinare azioni correttive o richiami e imporre sanzioni.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply

June 2026

Vulnerability reporting enforcement

September 2026

We are here

Full application of the CRA act

December 2027

Notified body rules apply

June 2026

Vulnerability reporting enforcement

September 2026

We are here

Full application of the CRA act

December 2027

€15M

maximum fine, or 2.5% of global annual turnover

24 hours

to send an early warning of an actively exploited vulnerability

72 hours

to follow up with a full vulnerability notification

Chi è interessato dal CRA?

Fabbricanti

Chiunque sviluppi o fabbrichi un prodotto con elementi digitali, o lo faccia realizzare, e lo commercializzi con il proprio nome o marchio, a titolo oneroso o gratuito. I fabbricanti esterni all'UE sono coperti quando vendono al suo interno.

Importatori e distributori

Importatori e distributori devono verificare che un prodotto rechi la marcatura CE e che il fabbricante abbia rispettato i propri obblighi prima di metterlo a disposizione nell'UE.

Software open source

È coperto solo l'open source fornito nell'ambito di un'attività commerciale. Gli steward del software open source seguono un regime leggero, e i fabbricanti restano responsabili dei componenti open source che integrano.

Fornitori di software e SaaS

Il software venduto come prodotto è coperto, così come il backend cloud di cui un prodotto ha bisogno per funzionare. Il software as a service di per sé rientra nella NIS2 e non nel CRA.

Esclusi dall'ambito: i prodotti già disciplinati dalle norme UE sui dispositivi medici, sui dispositivi diagnostici in vitro e sull'omologazione dei veicoli, i prodotti aeronautici certificati, l'equipaggiamento marittimo, i pezzi di ricambio identici e i prodotti realizzati esclusivamente per la sicurezza nazionale o la difesa (articolo 2).

Categorie di prodotti e valutazione della conformità

Ogni fabbricante effettua una valutazione della conformità prima di immettere un prodotto sul mercato. La procedura dipende dalla categoria del prodotto.

Categoria	Esempi	Valutazione della conformità
Predefinita	La maggior parte dei prodotti con elementi digitali non elencati negli allegati III o IV	È ammessa l'autovalutazione (controllo interno)
Importante, classe I (allegato III)	Gestione delle identità e degli accessi, browser, password manager, VPN, sistemi operativi, router e switch, prodotti di sicurezza per la casa intelligente	Autovalutazione solo se si applicano norme armonizzate, specifiche comuni o un sistema di certificazione; altrimenti un organismo notificato
Importante, classe II (allegato III)	Hypervisor e runtime per container, firewall e sistemi di rilevamento delle intrusioni, microprocessori e microcontrollori resistenti alle manomissioni	Valutazione di terzi da parte di un organismo notificato, oppure un sistema europeo di certificazione della cibersicurezza
Critica (allegato IV)	Dispositivi hardware con cassette di sicurezza, gateway per contatori intelligenti, smart card ed elementi sicuri	Un certificato europeo di cibersicurezza dove la Commissione lo richiede; altrimenti una valutazione di terzi

Requisiti essenziali

L'allegato I stabilisce due gruppi di requisiti essenziali. Il primo riguarda il prodotto stesso, sulla base di una valutazione documentata del rischio di cibersicurezza:

Nessuna vulnerabilità sfruttabile nota al momento dell'immissione sul mercato
Una configurazione sicura per impostazione predefinita
Aggiornamenti di sicurezza, automatici per impostazione predefinita ove applicabile
Protezione dagli accessi non autorizzati e della riservatezza e integrità dei dati
Minimizzazione dei dati, disponibilità delle funzioni essenziali e superficie di attacco limitata
Rimozione sicura e permanente dei dati e delle impostazioni dell'utente

Il secondo riguarda il modo in cui il fabbricante gestisce le vulnerabilità:

Una SBOM che comprenda almeno le dipendenze di primo livello
Correzione delle vulnerabilità senza ritardo, con aggiornamenti di sicurezza separati da quelli funzionali ove possibile
Test e revisioni di sicurezza regolari
Una politica di divulgazione coordinata delle vulnerabilità e un contatto per segnalare le vulnerabilità
Divulgazione pubblica delle vulnerabilità corrette una volta disponibile un aggiornamento
Distribuzione sicura e gratuita degli aggiornamenti, con messaggi di avviso

I fabbricanti stabiliscono inoltre un periodo di assistenza di almeno cinque anni, salvo che si preveda un uso più breve del prodotto, mantengono disponibile ogni aggiornamento di sicurezza per almeno 10 anni e conservano la documentazione tecnica e la dichiarazione di conformità UE per almeno 10 anni o per il periodo di assistenza, se più lungo (articolo 13).

Obblighi di segnalazione e tempistiche

Dall'11 settembre 2026 i fabbricanti notificano le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite la Single Reporting Platform, contemporaneamente al CSIRT designato come coordinatore nel loro principale Stato membro dell'UE e all'ENISA (articolo 14). Questo vale anche per i prodotti già sul mercato.

Fase	Vulnerabilità attivamente sfruttata	Incidente grave
Preallarme	Entro 24 ore dal momento in cui se ne viene a conoscenza	Entro 24 ore dal momento in cui se ne viene a conoscenza
Notifica	Entro 72 ore, con i dettagli del prodotto, dell'exploit e delle eventuali mitigazioni	Entro 72 ore, con una valutazione iniziale e le eventuali mitigazioni
Relazione finale	Entro 14 giorni da quando è disponibile una misura correttiva o di mitigazione	Entro un mese dalla notifica dell'incidente

I fabbricanti devono inoltre informare gli utenti interessati e, se del caso, tutti gli utenti, indicando le misure di mitigazione che possono adottare. Rispettare un termine di 24 ore dipende dal sapere in poche ore quali prodotti e release contengono il componente vulnerabile, ed è a questo che serve una SBOM per release.

Sanzioni

Gli Stati membri stabiliscono le sanzioni, entro questi massimali (articolo 64). Le autorità di vigilanza del mercato possono anche ordinare azioni correttive, il ritiro o il richiamo di un prodotto.

Violazione	Sanzione amministrativa massima
Requisiti essenziali di cibersicurezza (allegato I) e obblighi dei fabbricanti (articoli 13 e 14)	Fino a €15 milioni o al 2,5% del fatturato mondiale annuo totale, se superiore
Altri obblighi, compresi quelli di importatori e distributori, la dichiarazione di conformità, la marcatura CE, la documentazione tecnica e la valutazione della conformità	Fino a €10 milioni o al 2% del fatturato mondiale annuo totale, se superiore
Informazioni inesatte, incomplete o fuorvianti fornite agli organismi notificati o alle autorità di vigilanza del mercato	Fino a €5 milioni o all'1% del fatturato mondiale annuo totale, se superiore

Le microimprese e le piccole imprese non vengono sanzionate per il mancato rispetto del termine di 24 ore del preallarme, e gli steward del software open source non vengono sanzionati per alcuna violazione.

L'open source e il CRA

Il software libero e open source è coperto solo quando viene fornito nell'ambito di un'attività commerciale, e ospitare un progetto in un repository aperto o in un package manager non significa di per sé metterlo a disposizione sul mercato. Gli steward del software open source, persone giuridiche come le fondazioni che sostengono progetti open source destinati all'uso commerciale, devono disporre di una politica di cibersicurezza documentata, cooperare con le autorità di vigilanza del mercato e segnalare le vulnerabilità attivamente sfruttate nella misura in cui sono coinvolti nello sviluppo (articolo 24).

Per i fabbricanti, l'open source è un componente come gli altri. Devono esercitare la dovuta diligenza quando lo integrano, segnalare le vulnerabilità che trovano al progetto che lo mantiene e condividere le correzioni che sviluppano (articolo 13). Ecco perché la SBOM è importante: è il registro di quali componenti open source, in quali versioni, vengono distribuiti in ogni release.

Che cosa significa il CRA per i team di sviluppo

Oggi un prodotto è in gran parte codice altrui: librerie open source, pacchetti scaricati dai registry, immagini base dei container, SDK di terze parti e gli strumenti di build e le pipeline CI/CD che li assemblano. L'attacco a SolarWinds è passato da un sistema di build, e Log4Shell era una vulnerabilità in una libreria ampiamente usata; entrambi hanno raggiunto prodotti finiti. Il CRA rende il fabbricante responsabile di tutto questo, compresa la dovuta diligenza sui componenti di terze parti e open source che integra (articolo 13).

In pratica, i team che si preparano al CRA:

Sanno che cosa viene distribuito in ogni release, producendo una SBOM da ogni build in un formato leggibile da una macchina come CycloneDX o SPDX, invece di una sola volta al momento del rilascio
Monitorano le versioni rilasciate, non solo il branch principale, perché una vulnerabilità trovata dopo il rilascio deve comunque essere corretta senza ritardo durante il periodo di assistenza
Concordano le policy sulle dipendenze: come vengono scelti ed esaminati i nuovi componenti, con quale rapidità arrivano gli aggiornamenti e quali risultati bloccano una release
Si esercitano sul termine di 24 ore: chi conferma lo sfruttamento attivo, chi invia il preallarme e chi informa gli utenti
Conservano le evidenze man mano, poiché i registri di build, le SBOM e i risultati dei test alimentano la documentazione tecnica da conservare per almeno 10 anni

Per i requisiti sotto forma di roadmap passo dopo passo, veda la guida al CRA. Veda anche che cosa chiede il CRA a una SBOM e come CRACI supporta la conformità al CRA.

Domande frequenti sul Cyber Resilience Act

Risposte brevi alle domande che i fabbricanti pongono più spesso sul CRA

Che cos'è il Cyber Resilience Act?

Il Cyber Resilience Act (CRA), regolamento (UE) 2024/2847, è un regolamento dell'UE che stabilisce requisiti obbligatori di cibersicurezza per i prodotti hardware e software con elementi digitali immessi sul mercato dell'UE. Rende i fabbricanti responsabili della sicurezza dalla progettazione e per un periodo di assistenza di almeno cinque anni, compresi la gestione delle vulnerabilità, una SBOM e la segnalazione delle vulnerabilità attivamente sfruttate.

Quando si applica il Cyber Resilience Act?

È entrato in vigore il 10 dicembre 2024. Gli obblighi di segnalazione dell'articolo 14 si applicano dall'11 settembre 2026, le norme sugli organismi di valutazione della conformità dall'11 giugno 2026 e il resto del regolamento dall'11 dicembre 2027.

Il CRA si applica al software e al SaaS?

Il software venduto o fornito come prodotto rientra nell'ambito, comprese app, sistemi operativi, firmware e componenti software immessi sul mercato separatamente. I servizi cloud sono coperti solo in quanto trattamento remoto dei dati di un prodotto, ad esempio il backend cloud che consente di controllare un dispositivo per la casa intelligente. Il software as a service di per sé rientra invece nella NIS2 (considerando 12).

Il CRA si applica al software open source?

Solo all'open source fornito nell'ambito di un'attività commerciale. I progetti open source non commerciali sono esclusi dal suo ambito. Gli steward del software open source, come le fondazioni che sostengono progetti destinati all'uso commerciale, seguono un regime leggero e non possono essere sanzionati. I fabbricanti che integrano componenti open source nei loro prodotti ne restano pienamente responsabili.

Quali sono i requisiti di segnalazione del CRA?

I fabbricanti notificano le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite la Single Reporting Platform al CSIRT coordinatore e all'ENISA: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro 14 giorni da una correzione per le vulnerabilità o entro un mese per gli incidenti. Informano inoltre gli utenti interessati.

Il CRA richiede una SBOM?

Sì. L'allegato I, parte II, richiede una distinta base del software in un formato di uso comune e leggibile da dispositivo automatico, che comprenda almeno le dipendenze di primo livello. Fa parte della documentazione tecnica e viene fornita su richiesta a un'autorità di vigilanza del mercato; non deve essere pubblicata.

Quali sono le sanzioni previste dal CRA?

Fino a €15 milioni o al 2,5% del fatturato mondiale annuo per la violazione dei requisiti essenziali o degli obblighi dei fabbricanti, fino a €10 milioni o al 2% per altri obblighi e fino a €5 milioni o all'1% per aver fuorviato le autorità. Le microimprese e le piccole imprese non vengono sanzionate per il mancato rispetto del termine di 24 ore del preallarme.

Il CRA si applica ai prodotti già sul mercato?

Gli obblighi di segnalazione sì, dall'11 settembre 2026. Per il resto, i prodotti immessi sul mercato prima dell'11 dicembre 2027 rientrano nel CRA solo se vengono sostanzialmente modificati dopo tale data.

Ottenga le evidenze che servono al Suo processo CRA

Veda come CRACI registra le SBOM dalle Sue build, monitora ciò che ha distribuito e invia per Suo conto le notifiche CRA

Prenota una demo Verifichi se il CRA La riguarda