Perché il Cyber Resilience Act non riguarda solo i produttori
Per chi guida sicurezza, compliance e governance IT, il Cyber Resilience Act non è solo un nuovo adempimento europeo. Riguarda il modo in cui software, dispositivi connessi, componenti digitali e servizi remoti entrano in azienda, restano aggiornati nel tempo e diventano un punto di esposizione o di controllo. Il regolamento UE 2024/2847 introduce un quadro orizzontale che si applica ai prodotti con elementi digitali immessi sul mercato dell’Unione, includendo sia hardware sia software, anche quando i componenti vengono venduti separatamente.
Per un CIO o un CISO il tema conta perché sposta la cybersecurity più a monte. Non si parla solo di proteggere la rete interna o di reagire agli incidenti. Si parla di chiedere che i prodotti digitali arrivino sul mercato con requisiti di sicurezza già incorporati, con un ciclo di gestione delle vulnerabilità definito e con informazioni più chiare sul periodo di supporto.
Che cos’è il Cyber Resilience Act, in pratica
Il Cyber Resilience Act è il regolamento europeo che impone requisiti di cybersecurity ai prodotti con elementi digitali messi a disposizione sul mercato UE. L’obiettivo è duplice: alzare il livello di sicurezza di software e hardware lungo il loro ciclo di vita e rendere più trasparente, per aziende e utenti, il livello di sicurezza del prodotto che acquistano e usano.
Questo significa che la sicurezza non viene più letta solo come una scelta tecnica del produttore o come una clausola commerciale da inserire nei contratti. Diventa un requisito di mercato, con impatto diretto su progettazione, sviluppo, documentazione, aggiornamenti, vulnerability handling e valutazione di conformità.
Quali prodotti rientrano nel CRA
Il perimetro è ampio. Il regolamento riguarda prodotti hardware e software con una connessione dati diretta o indiretta a un dispositivo o a una rete, purché siano messi a disposizione sul mercato nell’ambito di un’attività commerciale. La Commissione chiarisce che rientrano sia i prodotti finali sia i componenti venduti separatamente, e che la nozione di prodotto copre anche alcune soluzioni di remote data processing quando la loro assenza impedirebbe al prodotto di svolgere una sua funzione.
Per chi governa acquisti, architetture e rischio, questo amplia molto il campo. Non si parla solo di IoT industriale o consumer. Entrano in gioco software applicativi, componenti, apparati di rete, firewall, router, sistemi operativi e una parte dell’ecosistema digitale che spesso viene gestita per silos tra IT, sicurezza, procurement e compliance.
Cosa devono fare produttori, importatori e distributori
Il CRA attribuisce obblighi specifici agli operatori economici della catena: produttori, rappresentanti autorizzati, importatori e distributori. Il produttore resta il soggetto con la responsabilità più ampia: deve progettare, sviluppare e mantenere il prodotto secondo i requisiti essenziali di cybersecurity, gestire le vulnerabilità durante il periodo di supporto, fornire istruzioni e informazioni chiare agli utenti, redigere la documentazione tecnica e la dichiarazione di conformità, poi apporre la marcatura CE quando il prodotto rispetta il regolamento.
Importatori e distributori non sono figure passive. Devono verificare che il prodotto sia conforme e che siano presenti gli elementi richiesti prima della sua messa a disposizione sul mercato. Per molte organizzazioni questo cambia il lavoro di vendor assessment: la domanda non è più solo “il fornitore è affidabile?”, ma anche “il prodotto è stato progettato e mantenuto in modo coerente con i nuovi obblighi europei?”.
I requisiti che cambiano il lavoro di CIO, CISO e compliance
L’Allegato I del regolamento separa due aree: requisiti di sicurezza del prodotto e requisiti per la gestione delle vulnerabilità. In concreto, i produttori devono garantire che il prodotto sia progettato e sviluppato in linea con requisiti essenziali di cybersecurity, e che durante il periodo di supporto le vulnerabilità vengano gestite in modo efficace.
Qui il punto operativo è chiaro. Per il team security non basta più valutare il rischio del prodotto quando entra in azienda. Serve capire come il fornitore gestisce patch, disclosure, test di sicurezza, supporto e informazioni agli utenti. Per la compliance serve trasformare questi elementi in criteri verificabili. Per il CIO serve collegare il tema al governo del ciclo di vita applicativo e infrastrutturale, perché un prodotto non aggiornabile o con supporto opaco può diventare un problema di continuità operativa prima ancora che di conformità.
Le scadenze da tenere sotto controllo
Il CRA è entrato in vigore il 10 dicembre 2024. Le sue principali disposizioni si applicheranno dall’11 dicembre 2027. Alcune parti, però, partono prima: il capitolo sugli organismi notificati si applica dall’11 giugno 2026, mentre gli obblighi di reporting sulle vulnerabilità attivamente sfruttate e sugli incidenti gravi si applicano dall’11 settembre 2026.
Per questo il 2026 e il 2027 non sono una finestra lontana. Sono il periodo in cui molte aziende dovranno chiarire ruoli, classificazione dei prodotti, processi di segnalazione, rapporti con i fornitori e criteri di evidenza documentale. Aspettare l’entrata in applicazione piena rischia di comprimere il lavoro in una fase in cui supply chain, legal, prodotto e security dovrebbero già muoversi in modo coordinato.
Reporting, vulnerabilità e tempi di notifica
Dal 11 settembre 2026 i produttori dovranno notificare vulnerabilità attivamente sfruttate e incidenti gravi che impattano la sicurezza del prodotto. La Commissione indica una early warning entro 24 ore dalla presa di conoscenza, una notifica completa entro 72 ore e un report finale entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità attivamente sfruttate, oppure entro un mese per gli incidenti gravi. La trasmissione avviene tramite la Single Reporting Platform gestita da ENISA.
Per i responsabili compliance questo passaggio ha un peso concreto: non riguarda solo il vendor, ma anche la capacità interna di raccogliere evidenze, capire la gravità di un evento, attivare escalation corrette e mantenere allineate funzioni che spesso lavorano separate. Dove non esiste un flusso tra sicurezza, prodotto, legale e incident management, il rischio non è solo normativo. È operativo.
Valutazione di conformità e categorie di prodotti
Non tutti i prodotti seguono lo stesso percorso. La Commissione distingue tra prodotti ordinari, prodotti importanti e prodotti critici con elementi digitali. Molti prodotti saranno soggetti a un’autovalutazione del produttore. Per alcune categorie importanti il coinvolgimento di un organismo notificato può diventare necessario, specie in assenza di standard armonizzati applicati. Per i prodotti critici il coinvolgimento di un organismo notificato è previsto in ogni caso. Tra gli esempi citati dalla Commissione compaiono sistemi operativi, antivirus, router e firewall tra gli “important”, mentre smart card, secure elements e smart meter gateways rientrano tra i “critical”.
Questo introduce un cambio di passo nel procurement digitale. La conformità non va letta come carta da raccogliere a valle. Va capita a monte, quando si selezionano prodotti, si negoziano contratti o si valutano soluzioni che dovranno restare in esercizio per anni.
Dove il CRA impatta davvero sulla governance aziendale
Il Cyber Resilience Act sembra una norma di prodotto. In realtà tocca almeno quattro snodi organizzativi molto concreti.
Il primo è la supply chain digitale. Chi acquista software, dispositivi o componenti dovrà chiedere più trasparenza su supporto, patching, gestione delle vulnerabilità e dichiarazioni di conformità. Il secondo è il governo del ciclo di vita: introdurre un prodotto senza visibilità sul suo supporto significa creare debito operativo. Il terzo è il coordinamento tra funzioni: sicurezza, compliance, procurement e IT dovranno condividere criteri comuni. Il quarto è la continuità operativa, perché un prodotto vulnerabile o mal gestito può interrompere processi, servizi e integrazioni che l’azienda considera ormai normali.
Per CIO e CISO il punto di arrivo non è “essere in regola”. È avere più controllo su ciò che entra nell’ecosistema digitale dell’impresa e su come quel prodotto resta sicuro nel tempo. Il CRA rende più visibile una cosa che in molte aziende era già vera: la sicurezza del prodotto acquistato è parte della sicurezza del processo aziendale.
Come prepararsi senza ridurre tutto a un adempimento
Un percorso utile parte da poche mosse chiare. Mappare le categorie di prodotti digitali più esposte. Capire quali fornitori saranno toccati dal CRA. Rivedere questionari di qualifica, clausole contrattuali e criteri di vendor risk. Verificare come vengono gestite oggi patch, supporto e incidenti sui prodotti acquistati. Poi costruire un flusso tra security, compliance e procurement che renda queste verifiche ripetibili.
Molte aziende cadranno in un errore prevedibile: leggere il regolamento solo dal lato normativo. Il CRA chiede invece una lettura più ampia. Se il prodotto digitale è una parte del funzionamento aziendale, la sua sicurezza riguarda acquisti, architetture, responsabilità e tempi di reazione. Non basta avere un testo di riferimento. Serve inserirlo nei processi con cui l’azienda seleziona, introduce e mantiene tecnologia.
Le risposte che cerchi: FAQ sul Cyber Resilience Act
Il Cyber Resilience Act riguarda solo i produttori di hardware?
No. Il regolamento copre hardware e software con elementi digitali immessi sul mercato UE, compresi i componenti venduti separatamente. Coinvolge anche importatori e distributori con obblighi specifici lungo la catena di fornitura.
Da quando il CRA produce effetti concreti per le aziende?
Il regolamento è in vigore dal 10 dicembre 2024, ma le principali disposizioni si applicano dall’11 dicembre 2027. Gli obblighi di reporting partono prima, dall’11 settembre 2026, e questo anticipa il bisogno di processi interni più strutturati.
Un’azienda che acquista software e dispositivi, ma non li produce, deve occuparsene?
Sì, perché il CRA cambia il modo in cui vanno valutati fornitori e prodotti. Anche chi non sviluppa direttamente dovrà chiedere più evidenze su supporto, vulnerabilità, aggiornamenti e conformità dei prodotti che entrano nei propri sistemi.
Il CRA sostituisce le normali attività di cyber risk management?
No. Le integra e le sposta più a monte. Il regolamento crea requisiti di mercato sul prodotto, ma resta necessario valutare come quel prodotto viene introdotto, configurato, monitorato e mantenuto dentro l’ambiente aziendale.
Cosa conviene fare nel 2026?
Conviene partire dalla mappatura dei prodotti e dei fornitori più esposti, poi rivedere vendor assessment, gestione delle patch, reporting e responsabilità interne. È la fase in cui trasformare il CRA da tema legale a processo governato.
Per chi deve tenere insieme sicurezza, compliance e continuità dei sistemi, il Cyber Resilience Act è un passaggio da leggere adesso, non a ridosso delle scadenze. Se vuoi capire dove il CRA impatta sui tuoi fornitori, sui prodotti digitali già in uso o sul tuo modello di controllo cyber, confrontati con noi su come rendere più solido questo passaggio.
