Cos’è il CRA e a chi si applica
Il Cyber Resilience Act (CRA), si applica a fabbricanti, importatori e distributori senza alcuna soglia dimensionale: una multinazionale e una micro-impresa con un solo prodotto sono soggette agli stessi requisiti essenziali. Sono coinvolti tutti i prodotti software o hardware con connessione dati diretta o indiretta a un dispositivo o a una rete: l’ambito e quindi molto ampio e, per molte imprese italiane, sottostimato.
Quali prodotti rientrano nel CRA: una mappa per settore
L’errore più comune è pensare che il CRA riguardi solo l’IT o la smart home. In realtà il perimetro tocca in modo trasversale il manifatturiero italiano, l’automazione, l’energia, il software e molte catene di fornitura B2B.
| Settore | Esempi di prodotti coinvolti |
|---|---|
| Manifatturiero e automazione industriale | Quadri elettrici con firmware, PLC, HMI, gateway IoT industriali, inverter e drive, sensori intelligenti, attuatori connessi, sistemi SCADA, encoder e servomotori intelligenti, centraline di controllo per macchinari |
| Energia e utility | Smart meter (potenzialmente Allegato IV), inverter fotovoltaici con monitoraggio remoto, sistemi di accumulo e BMS, stazioni di ricarica per veicoli elettrici, gateway per reti elettriche e gas, sistemi di telecontrollo |
| Agroalimentare e packaging | Linee di confezionamento con PLC e HMI, sistemi di tracciabilità e serializzazione, controllori per macchine alimentari, sistemi di monitoraggio temperatura della catena del freddo, etichettatrici intelligenti, sistemi di visione per controllo qualità, macchine per pasta/forno/dairy connesse |
| Building automation e sicurezza fisica | BMS, termostati intelligenti, sistemi antintrusione, citofoni IP, telecamere di sicurezza, lettori biometrici e di controllo accessi, serrature intelligenti, sistemi di allarme |
| IoT consumer e wearable | Smartwatch e fitness tracker, sistemi di monitoraggio neonatale, giocattoli connessi (Cl. I Allegato III), assistenti vocali smart home, lampadine e prese smart, dispositivi per la casa connessa |
| Software e infrastruttura IT | Sistemi operativi, browser, password manager, VPN, antivirus, firewall e IDS/IPS (Cl. II Allegato III), sistemi SIEM, soluzioni di gestione identita, app desktop e mobile vendute come prodotto, soluzioni cloud integrate con hardware |
| Mobilità non veicolare | Strumentazione aftermarket per veicoli a lenta movimentazione, sistemi telemetrici per flotte, centraline di protezione motore per gruppi elettrogeni e motopompe, sistemi di geolocalizzazione di asset |
I dispositivi medici, i veicoli ex Reg. 2019/2144 e i prodotti aeronautici certificati restano fuori, in quanto disciplinati da normative settoriali equivalenti. Tutti gli altri prodotti con elementi digitali, se messi a disposizione sul mercato UE, sono potenzialmente coinvolti.
I tre pilastri normativi del Cyber Resilience Act
1. Sicurezza by design
Il CRA richiede una valutazione dei rischi di cybersicurezza, configurazioni sicure per impostazione predefinita e misure per ridurre l’esposizione a vulnerabilità note al momento dell’immissione sul mercato. In pratica, la sicurezza deve entrare nel ciclo di progettazione, sviluppo, produzione e manutenzione del prodotto.
2. Gestione delle vulnerabilità
I fabbricanti devono organizzare processi per identificare, documentare, correggere e comunicare le vulnerabilità. Rientrano in questo ambito la Software Bill of Materials, le politiche di Coordinated Vulnerability Disclosure e gli aggiornamenti di sicurezza, che devono essere gestiti in modo distinto dagli aggiornamenti puramente funzionali.
3. Periodo di assistenza
Il Cyber Resilience Act prevede un periodo di supporto coerente con la durata d’uso prevista del prodotto e comunque non inferiore a quanto stabilito dal Regolamento. Per molti prodotti industriali, la durata operativa attesa può essere molto più lunga del ciclo tipico del software consumer: questo rende la gestione continuativa delle vulnerabilità un tema centrale per fabbricanti e importatori.
Scadenze Cyber Resilience Act e obblighi di segnalazione
| Data | Adempimento |
|---|---|
| 10 dicembre 2024 | Entrata in vigore del Regolamento |
| 11 giugno 2026 | Disposizioni sulla notifica degli organismi di valutazione della conformità (Capo IV) |
| 11 settembre 2026 | Obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi al CSIRT e a ENISA: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni |
| 11 dicembre 2027 | Applicazione generale: marcatura CE estesa al CRA per tutti i nuovi prodotti immessi sul mercato |
Sanzioni e raccordo con la NIS2
Le sanzioni amministrative pecuniarie arrivano fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo per la violazione dei requisiti essenziali (art. 64). Sono inoltre previste misure correttive che possono includere il ritiro o il richiamo del prodotto dal mercato.
Il punto strategicamente più rilevante per il manifatturiero italiano e il raccordo con la NIS2: i clienti soggetti essenziali e importanti NIS2 (D.lgs. 138/2024) stanno già chiedendo ai propri fornitori prove documentali di conformità CRA, anche prima delle scadenze del 2027.
Aspettare significa rischiare di essere esclusi dalle short list dei principali clienti già nel 2026.
Cinque azioni da avviare subito
La conformità al Cyber Resilience Act non si costruisce solo a ridosso della marcatura CE. Per fabbricanti, importatori e distributori è opportuno avviare subito cinque attività operative.
- Mappare i prodotti con elementi digitali e classificarli secondo gli Allegati III e IV del CRA.
- Identificare il ruolo aziendale per ciascun prodotto: fabbricante, importatore o distributore.
- Censire i componenti software di terzi, inclusi moduli open source, librerie e firmware, valutando la fattibilità della SBOM.
- Definire i processi interni di vulnerability handling, divulgazione coordinata e segnalazione a CSIRT ed ENISA.
- Mappare i clienti soggetti NIS2 e i requisiti contrattuali di sicurezza della catena di fornitura attesi nel breve termine.
Come PQA può affiancare la tua azienda
PQA assiste fabbricanti, importatori e distributori italiani nell’adeguamento al CRA, integrando le competenze maturate in materia di GDPR, NIS2, AI Act e compliance regolatoria.
L’approccio combina rigore tecnico-normativo e metodo operativo, con particolare attenzione alle specificità del manifatturiero, dell’IoT industriale e della supply chain dei soggetti NIS2.
I servizi PQA sul Cyber Resilience Act
Gap analysis CRA
Inventario dei prodotti con elementi digitali, classificazione ex Allegati III e IV, mappatura dei componenti software di terzi e definizione del piano di adeguamento.
Sistema di gestione cyber di prodotto
Secure Development Lifecycle, Vulnerability Handling Policy, Coordinated Vulnerability Disclosure e preparazione alla registrazione sulla piattaforma ENISA.
Documentazione tecnica e dichiarazione di conformità
Valutazione dei rischi di cibersicurezza, SBOM, documentazione tecnica secondo l’Allegato VII e dichiarazione di conformità UE.
Integrazione CRA-NIS2 per fornitori
Predisposizione delle evidenze richieste dai clienti NIS2, redazione di clausole contrattuali e audit di seconda parte.
Formazione mirata
Percorsi per dirigenti, R&D, qualità, acquisti e team commerciali sulle implicazioni pratiche del CRA.
Prenota una gap analysis CRA
Se vuoi capire come il CRA impatta concretamente i tuoi prodotti, prenota una gap analysis preliminare con un consulente PQA specializzato.
Analizzeremo insieme la classificazione preliminare dei tuoi prodotti, il ruolo della tua azienda nella filiera, le scadenze prioritarie e una prima stima del livello di conformità attuale.
