Il Cyber Resilience Act
Il regolamento europeo 2024/2847 impone regole di cybersicurezza ai produttori di prodotti digitali: cosa cambia per Lei.
In 30 secondi
- Dove accade
- Nei prodotti con elementi digitali, hardware o software1.
- Cosa vuole il testo
- Ridurre il basso livello di cybersicurezza di molti prodotti e la mancanza di aggiornamenti di sicurezza tempestivi1.
- Il riflesso
- Prima di acquistare o installare un prodotto connesso, chiedere al fornitore come gestisce le vulnerabilità e gli aggiornamenti. La marcatura CE ai sensi del CRA arriverà in seguito, con gli obblighi principali che si applicano a partire dall'11 dicembre 20271.
- Se è già stato fatto
- Un prodotto il cui produttore non risponde sugli aggiornamenti va segnalato al servizio informatico o acquisti prima di qualsiasi uso.
Di cosa si tratta
Uno smartwatch, un baby monitor, un'app o un programma per il computer: tutti questi prodotti possono presentare un rischio per la sicurezza che gli utenti faticano a vedere. Il Cyber Resilience Act (CRA), il regolamento (UE) 2024/2847, mira a far sì che dispositivi e software siano progettati, aggiornati e mantenuti in modo da proteggere chi li usa1.
Il testo si rivolge in primo luogo ai produttori. Tuttavia, ciò che i produttori devono fare cambia ciò che l'azienda può acquistare, il modo in cui può confrontare i propri fornitori e ciò che può chiedere loro.
Domande dirette
Che cos'è il Cyber Resilience Act?
È un regolamento europeo che fissa requisiti di cybersicurezza obbligatori per i produttori di prodotti con elementi digitali. Riguarda la pianificazione, la progettazione, lo sviluppo e la manutenzione di questi prodotti1.
Chi è interessato?
Il regolamento tutela i consumatori e le imprese che acquistano software o hardware con elementi digitali1. Gli obblighi gravano sui produttori e vanno rispettati in ogni fase della catena del valore1. La pagina della Commissione indica inoltre che i produttori presenti lungo tutta la catena di approvvigionamento hanno una responsabilità in materia di sicurezza1.
Come si riconosce un prodotto conforme?
I prodotti recheranno la marcatura CE per indicare che rispettano i requisiti del regolamento1. Le autorità nazionali di vigilanza del mercato vigileranno sull'applicazione delle norme1.
Il regolamento è già in vigore?
È entrato in vigore il 10 dicembre 20241. Gli obblighi di segnalazione si applicano a partire dall'11 settembre 2026 e gli obblighi principali a partire dall'11 dicembre 20271.
Un prodotto a rischio deve essere controllato da una terza parte?
Alcuni prodotti particolarmente importanti per la cybersicurezza potranno dover superare una valutazione da parte di un organismo notificato, cioè una terza parte, prima di essere venduti sul mercato dell'Unione1.
1Cosa cambia per i dipendenti1 min
Il regolamento non assegna compiti al dipendente comune. Il suo effetto è indiretto: la Commissione spiega che consumatori e imprese hanno difficoltà a sapere quali prodotti siano sicuri e a configurarli correttamente, e che il CRA deve facilitare l'individuazione dei prodotti dotati delle giuste funzioni di cybersicurezza1.
Conviene preferire gli oggetti e i software approvati dall'azienda a un prodotto connesso acquistato o installato di propria iniziativa. Conviene accettare gli aggiornamenti proposti, perché la mancanza di aggiornamenti tempestivi è tra i problemi che il testo intende correggere1. Segnalare al proprio servizio informatico un prodotto che non riceve più correzioni resta un consiglio di buon senso, non un obbligo del regolamento. Gli obblighi di segnalazione del CRA riguardano i produttori1.
2Cosa cambia per la direzioneDirezione2 min
Per gli acquisti, i prodotti recheranno la marcatura CE1: la direzione potrà farne un criterio di controllo man mano che il testo si applicherà. Può inoltre chiedere ai fornitori come gestiscono le vulnerabilità per tutta la vita del prodotto, dato che il regolamento lo richiede ai produttori1.
Le fonti citate qui non descrivono nel dettaglio i ruoli di produttore, importatore o distributore; la direzione che se lo chiede deve leggere il testo giuridico e la guida pratica pubblicata dalla Commissione il 27 luglio 2026, destinata a produttori, sviluppatori e imprese di tutte le dimensioni1.
Alcuni riferimenti statunitensi descrivono la stessa tendenza e possono servire da traccia di confronto con un fornitore. Sul versante dell'acquirente, la CISA pubblica una guida, «Secure by Demand», pensata per essere usata da qualsiasi cliente di software nelle trattative d'acquisto con rivenditori o fornitori di servizi2. La CISA si aspetta che i prodotti siano sicuri fin dall'apertura della confezione, con autenticazione a più fattori, registrazione degli eventi e accesso unico disponibili senza costi aggiuntivi2.
Il framework SSDF del NIST è un insieme di pratiche di sviluppo sicuro. Offre un linguaggio comune che permette ai produttori di software e ai loro acquirenti di dialogare meglio negli acquisti3. Le sue pratiche sono suddivise in quattro gruppi: preparare l'organizzazione, proteggere il software, produrre software ben protetto e rispondere alle vulnerabilità3. Il NIST precisa che questo framework non è una lista di controllo da spuntare3.
3Cosa dice il testoTesto ufficiale1 min
Il CRA impone requisiti di cybersicurezza obbligatori ai produttori, dalla pianificazione alla manutenzione del prodotto1. I produttori devono gestire le vulnerabilità durante l'intero ciclo di vita dei loro prodotti1. Per alcuni prodotti può essere richiesta una valutazione da parte di un organismo notificato1.
La marcatura CE attesterà la conformità1. Le autorità nazionali di vigilanza del mercato faranno applicare le norme1. Il CRA si basa sulla strategia di cybersicurezza dell'Unione del 2020 e sulla strategia per l'Unione della sicurezza, e integra la direttiva NIS21.
La Commissione mantiene pagine distinte su produttori, Stati membri, valutazione della conformità, microimprese e PMI, software libero, normazione e obblighi di segnalazione1. Non sono state lette per questa scheda.
4A che punto è l'applicazione1 min
- 10 dicembre 2024: entrata in vigore del regolamento1.
- 27 luglio 2026: pubblicazione da parte della Commissione di una guida pratica per aiutare produttori, sviluppatori e imprese di tutte le dimensioni ad adempiere ai loro obblighi1.
- 11 settembre 2026: inizio degli obblighi di segnalazione. I produttori devono segnalare le vulnerabilità sfruttate attivamente1.
- 11 dicembre 2027: applicazione degli obblighi principali1.
La pagina della Commissione è stata aggiornata l'ultima volta il 7 settembre 20261. Un prodotto immesso oggi sul mercato non è dunque ancora soggetto all'insieme degli obblighi principali, che si applicano solo a partire da dicembre 20271.
La CISA e 17 partner statunitensi e internazionali hanno pubblicato un aggiornamento dei loro principi «Secure by Design», la cui edizione iniziale risale ad aprile 20234. Questi principi sono: farsi carico dei risultati di sicurezza dei clienti, adottare una trasparenza e una responsabilità radicali, e guidare dall'alto4. Si tratta di raccomandazioni4.
Scheda
- Identificativo
- CP-370
- Ala
- 6. Governance e GRC
- Competenza Brain
- Proteggere i dati (safeguard_data)
- Riflesso Brain
- cr-035
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 4 fonti verificate il 3 novembre 2026
Fonti4 fonti
- Commission européenne, «Cyber Resilience Act», 7 settembre 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consultato il 3 novembre 2026)
- CISA, «Secure by Design | CISA». https://www.cisa.gov/securebydesign (consultato il 3 novembre 2026)
- NIST, «Secure Software Development Framework | CSRC», 6 ottobre 2026. https://csrc.nist.gov/projects/ssdf (consultato il 3 novembre 2026)
- CISA, «Secure-by-Design | CISA», 25 ottobre 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Il Cyber Resilience Act», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp370_it_2026,
author = {Brain},
title = {Il Cyber Resilience Act},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/},
note = {CC BY 4.0}
}