--- id: CP-370 slug: regolamento-cyber-resilience-act-cra lang: it title: Il Cyber Resilience Act description: "Il regolamento europeo 2024/2847 impone regole di cybersicurezza ai produttori di prodotti digitali: cosa cambia per Lei." canonical_url: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ markdown_url: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il Cyber Resilience Act», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-035 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ fr: https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/ en: https://startbrain.io/cyberpedia/en/articles/cyber-resilience-act-cra-explained/ de: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ es: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ nl: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ sources: - "n": 1 title: Cyber Resilience Act publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act published: "2026-09-07" accessed: "2026-11-03" - "n": 2 title: Secure by Design | CISA publisher: CISA url: https://www.cisa.gov/securebydesign accessed: "2026-11-03" - "n": 3 title: Secure Software Development Framework | CSRC publisher: NIST url: https://csrc.nist.gov/projects/ssdf published: "2026-10-06" accessed: "2026-11-03" - "n": 4 title: Secure-by-Design | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/secure-by-design published: "2023-10-25" accessed: "2026-11-03" --- # Il Cyber Resilience Act Uno smartwatch, un baby monitor, un'app o un programma per il computer: tutti questi prodotti possono presentare un rischio per la sicurezza che gli utenti faticano a vedere. Il Cyber Resilience Act (CRA), il regolamento (UE) 2024/2847, mira a far sì che dispositivi e software siano progettati, aggiornati e mantenuti in modo da proteggere chi li usa [1]. Il testo si rivolge in primo luogo ai produttori. Tuttavia, ciò che i produttori devono fare cambia ciò che l'azienda può acquistare, il modo in cui può confrontare i propri fornitori e ciò che può chiedere loro. ## In 30 secondi - Dove accade: nei prodotti con elementi digitali, hardware o software [1]. - Cosa vuole il testo: ridurre il basso livello di cybersicurezza di molti prodotti e la mancanza di aggiornamenti di sicurezza tempestivi [1]. - Il riflesso: prima di acquistare o installare un prodotto connesso, chiedere al fornitore come gestisce le vulnerabilità e gli aggiornamenti. La marcatura CE ai sensi del CRA arriverà in seguito, con gli obblighi principali che si applicano a partire dall'11 dicembre 2027 [1]. - Se è già stato fatto: un prodotto il cui produttore non risponde sugli aggiornamenti va segnalato al servizio informatico o acquisti prima di qualsiasi uso. ## Domande dirette ### Che cos'è il Cyber Resilience Act? È un regolamento europeo che fissa requisiti di cybersicurezza obbligatori per i produttori di prodotti con elementi digitali. Riguarda la pianificazione, la progettazione, lo sviluppo e la manutenzione di questi prodotti [1]. ### Chi è interessato? Il regolamento tutela i consumatori e le imprese che acquistano software o hardware con elementi digitali [1]. Gli obblighi gravano sui produttori e vanno rispettati in ogni fase della catena del valore [1]. La pagina della Commissione indica inoltre che i produttori presenti lungo tutta la catena di approvvigionamento hanno una responsabilità in materia di sicurezza [1]. ### Come si riconosce un prodotto conforme? I prodotti recheranno la marcatura CE per indicare che rispettano i requisiti del regolamento [1]. Le autorità nazionali di vigilanza del mercato vigileranno sull'applicazione delle norme [1]. ### Il regolamento è già in vigore? È entrato in vigore il 10 dicembre 2024 [1]. Gli obblighi di segnalazione si applicano a partire dall'11 settembre 2026 e gli obblighi principali a partire dall'11 dicembre 2027 [1]. ### Un prodotto a rischio deve essere controllato da una terza parte? Alcuni prodotti particolarmente importanti per la cybersicurezza potranno dover superare una valutazione da parte di un organismo notificato, cioè una terza parte, prima di essere venduti sul mercato dell'Unione [1]. ## Cosa cambia per i dipendenti Il regolamento non assegna compiti al dipendente comune. Il suo effetto è indiretto: la Commissione spiega che consumatori e imprese hanno difficoltà a sapere quali prodotti siano sicuri e a configurarli correttamente, e che il CRA deve facilitare l'individuazione dei prodotti dotati delle giuste funzioni di cybersicurezza [1]. Conviene preferire gli oggetti e i software approvati dall'azienda a un prodotto connesso acquistato o installato di propria iniziativa. Conviene accettare gli aggiornamenti proposti, perché la mancanza di aggiornamenti tempestivi è tra i problemi che il testo intende correggere [1]. Segnalare al proprio servizio informatico un prodotto che non riceve più correzioni resta un consiglio di buon senso, non un obbligo del regolamento. Gli obblighi di segnalazione del CRA riguardano i produttori [1]. ## Cosa cambia per la direzione Per gli acquisti, i prodotti recheranno la marcatura CE [1]: la direzione potrà farne un criterio di controllo man mano che il testo si applicherà. Può inoltre chiedere ai fornitori come gestiscono le vulnerabilità per tutta la vita del prodotto, dato che il regolamento lo richiede ai produttori [1]. Le fonti citate qui non descrivono nel dettaglio i ruoli di produttore, importatore o distributore; la direzione che se lo chiede deve leggere il testo giuridico e la guida pratica pubblicata dalla Commissione il 27 luglio 2026, destinata a produttori, sviluppatori e imprese di tutte le dimensioni [1]. Alcuni riferimenti statunitensi descrivono la stessa tendenza e possono servire da traccia di confronto con un fornitore. Sul versante dell'acquirente, la CISA pubblica una guida, «Secure by Demand», pensata per essere usata da qualsiasi cliente di software nelle trattative d'acquisto con rivenditori o fornitori di servizi [2]. La CISA si aspetta che i prodotti siano sicuri fin dall'apertura della confezione, con autenticazione a più fattori, registrazione degli eventi e accesso unico disponibili senza costi aggiuntivi [2]. Il framework SSDF del NIST è un insieme di pratiche di sviluppo sicuro. Offre un linguaggio comune che permette ai produttori di software e ai loro acquirenti di dialogare meglio negli acquisti [3]. Le sue pratiche sono suddivise in quattro gruppi: preparare l'organizzazione, proteggere il software, produrre software ben protetto e rispondere alle vulnerabilità [3]. Il NIST precisa che questo framework non è una lista di controllo da spuntare [3]. ## Cosa dice il testo Il CRA impone requisiti di cybersicurezza obbligatori ai produttori, dalla pianificazione alla manutenzione del prodotto [1]. I produttori devono gestire le vulnerabilità durante l'intero ciclo di vita dei loro prodotti [1]. Per alcuni prodotti può essere richiesta una valutazione da parte di un organismo notificato [1]. La marcatura CE attesterà la conformità [1]. Le autorità nazionali di vigilanza del mercato faranno applicare le norme [1]. Il CRA si basa sulla strategia di cybersicurezza dell'Unione del 2020 e sulla strategia per l'Unione della sicurezza, e integra la direttiva NIS2 [1]. La Commissione mantiene pagine distinte su produttori, Stati membri, valutazione della conformità, microimprese e PMI, software libero, normazione e obblighi di segnalazione [1]. Non sono state lette per questa scheda. ## A che punto è l'applicazione - 10 dicembre 2024: entrata in vigore del regolamento [1]. - 27 luglio 2026: pubblicazione da parte della Commissione di una guida pratica per aiutare produttori, sviluppatori e imprese di tutte le dimensioni ad adempiere ai loro obblighi [1]. - 11 settembre 2026: inizio degli obblighi di segnalazione. I produttori devono segnalare le vulnerabilità sfruttate attivamente [1]. - 11 dicembre 2027: applicazione degli obblighi principali [1]. La pagina della Commissione è stata aggiornata l'ultima volta il 7 settembre 2026 [1]. Un prodotto immesso oggi sul mercato non è dunque ancora soggetto all'insieme degli obblighi principali, che si applicano solo a partire da dicembre 2027 [1]. La CISA e 17 partner statunitensi e internazionali hanno pubblicato un aggiornamento dei loro principi «Secure by Design», la cui edizione iniziale risale ad aprile 2023 [4]. Questi principi sono: farsi carico dei risultati di sicurezza dei clienti, adottare una trasparenza e una responsabilità radicali, e guidare dall'alto [4]. Si tratta di raccomandazioni [4]. ## Fonti 1. Commission européenne, «Cyber Resilience Act», 7 settembre 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consultato il 3 novembre 2026) 2. CISA, «Secure by Design | CISA». https://www.cisa.gov/securebydesign (consultato il 3 novembre 2026) 3. NIST, «Secure Software Development Framework | CSRC», 6 ottobre 2026. https://csrc.nist.gov/projects/ssdf (consultato il 3 novembre 2026) 4. CISA, «Secure-by-Design | CISA», 25 ottobre 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.