Cyber Resilience Act: Guida Completa per Aziende Italiane (2026)

Il Cyber Resilience Act (CRA) è la normativa più ambiziosa mai adottata dall'UE in materia di sicurezza informatica dei prodotti. Per la prima volta, i produttori di software e hardware devono dimostrare che i loro prodotti sono sicuri — prima di metterli sul mercato.

Il problema che il CRA vuole risolvere

Oggi, quasi ogni prodotto tecnologico viene venduto con clausole che escludono qualsiasi responsabilità per problemi di sicurezza. Il produttore vende, il cliente si assume il rischio. Il CRA cambia questa dinamica fondamentalmente.

L'UE ha osservato che:

• I prodotti con elementi digitali vengono spesso immessi sul mercato con vulnerabilità note
• I produttori raramente supportano i prodotti con patch di sicurezza per tutta la loro vita utile
• I consumatori non hanno informazioni per valutare la sicurezza dei prodotti che acquistano

Il CRA impone responsabilità ai produttori per tutta la vita del prodotto.

Chi è soggetto al CRA

Il CRA si applica a qualsiasi prodotto con elementi digitali messo sul mercato UE:

Prodotti hardware con software:

• Router, switch, access point
• Dispositivi IoT (smart home, wearable, sensori industriali)
• PC, laptop, tablet, smartphone
• Telecamere, stampanti, dispositivi di storage
• Dispositivi medici non già coperti da MDR

Software:

• Sistemi operativi
• Software applicativo (ERP, CRM, ecc.)
• Browser e applicazioni desktop
• App mobile
• Software di virtualizzazione e container

Esclusi: prodotti già coperti da regolamenti settoriali specifici (dispositivi medici MDR/IVDR, automotive, aviazione, navigazione, difesa, intelligenza artificiale ad alto rischio AI Act).

Le categorie di prodotti

Il CRA introduce tre categorie con requisiti crescenti:

Categoria Standard (la maggior parte dei prodotti)

Autocertificazione del produttore sulla conformità ai requisiti essenziali. Non richiede organismo notificato.

Categoria Importante (Classe I)

Prodotti con profilo di rischio più elevato: browser, password manager, VPN, sistemi di gestione delle identità, firewall, IDS/IPS, microprocessori generici.

Richiede conformità a standard armonizzati o audit da parte di un organismo notificato.

Categoria Importante (Classe II) e Critica

Prodotti ad alto impatto: sistemi operativi per server, hypervisor, industrial control systems, hardware con funzioni di sicurezza.

Richiede obbligatoriamente audit da organismo notificato.

I requisiti essenziali di cybersecurity

Il CRA stabilisce requisiti che i prodotti devono soddisfare per tutto il ciclo di vita:

Requisiti del prodotto

Secure by design:

• Superficie d'attacco minima
• Configurazioni sicure di default
• Autenticazione robusta
• Protezione dell'integrità
• Cifratura dei dati

Sicurezza dei dati:

• Minimizzazione dei dati raccolti
• Protezione della riservatezza e integrità
• Cancellazione sicura

Resilienza:

• Resistenza agli attacchi DoS
• Meccanismi di aggiornamento sicuro

Requisiti di gestione delle vulnerabilità

• Identificare e documentare le vulnerabilità dei componenti
• Fornire aggiornamenti di sicurezza per tutto il periodo di supporto (almeno 5 anni)
• Notificare le vulnerabilità attivamente sfruttate all'ENISA entro 24 ore
• Gestire un processo di CVD (Coordinated Vulnerability Disclosure)

Requisiti di documentazione

• Documentazione tecnica completa (SBOM incluso)
• Istruzioni per l'uso sicuro
• Informazioni sul periodo di supporto

Le sanzioni

Il CRA prevede sanzioni significative per la non conformità:

• Requisiti essenziali: fino a 15 milioni € o 2,5% del fatturato mondiale annuo
• Obblighi di notifica: fino a 10 milioni € o 2% del fatturato mondiale annuo
• Informazioni false alle autorità: fino a 5 milioni € o 1% del fatturato mondiale annuo

Le autorità di vigilanza nazionali possono anche ritirare i prodotti dal mercato UE.

Come prepararsi al CRA

Fase 1: Assessment del portafoglio prodotti

Identifica quali prodotti rientrano nel perimetro CRA e in quale categoria. Alcune aziende potrebbero scoprire che producono prodotti Classe II che richiedono audit obbligatorio.

Fase 2: Gap analysis dei requisiti

Confronta le pratiche attuali con i requisiti essenziali:

• Processo di gestione delle vulnerabilità
• Processo di rilascio degli aggiornamenti di sicurezza
• Secure development lifecycle (SDL)
• Documentazione tecnica

Fase 3: Implementazione

Le aree tipicamente critiche:

• SBOM: inizia a generare Software Bill of Materials per ogni prodotto
• CVD Policy: pubblica una Vulnerability Disclosure Policy
• SDL: implementa un Secure Development Lifecycle
• Patch management: struttura il processo di rilascio degli aggiornamenti di sicurezza

Fase 4: Documentazione e conformità

Prepara la documentazione tecnica e la dichiarazione di conformità. Per prodotti Classe I e II, avvia il rapporto con un organismo notificato.

Il CRA è un cambiamento paradigmatico: la sicurezza non è più un optional da aggiungere dopo, ma un requisito legale da integrare fin dalla progettazione. Le aziende che si preparano ora avranno un vantaggio competitivo significativo.