Cyber Resilience Act è il momento di adeguarsi.

Il CRA nasce per rispondere a due problemi principali: il basso livello di sicurezza di molti prodotti digitali (vulnerabilità diffuse, aggiornamenti di sicurezza assenti o incoerenti) e la scarsa informazione a disposizione di utenti e aziende per valutare la sicurezza dei prodotti che acquistano. Un solo dispositivo compromesso può propagare un attacco a un’intera organizzazione o supply chain: per questo l’UE ha introdotto requisiti minimi comuni, validi per tutto il mercato interno.

Devono adeguarsi al CRA produttori, importatori e distributori di prodotti con elementi digitali immessi sul mercato dell’Unione Europea. In generale rientrano nel perimetro: chi vende software come prodotto (con le funzioni cloud da cui dipende), chi realizza dispositivi connessi o IoT e chi fornisce componenti software o hardware integrabili da terzi. Il CRA si applica sia a contesti B2B sia B2C. Anche le PMI sono coinvolte, pur potendo beneficiare di strumenti di supporto e procedure semplificate previste dal regolamento.

Alcuni prodotti con elementi digitali sono esclusi perché già regolati da normative settoriali più specifiche o stringenti, ad esempio: dispositivi medici e diagnostici in vitro regolamentati da norme dedicate, veicoli a motore soggetti a omologazione, prodotti aeronautici certificati ed equipaggiamenti marittimi, prodotti sviluppati esclusivamente per difesa o sicurezza nazionale, pezzi di ricambio identici a componenti già conformi. Per questo è importante analizzare con attenzione il proprio catalogo, valutando sia le categorie di prodotto sia le normative già applicabili nel settore.

Il CRA (articolo 64) prevede sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore, per chi non rispetta i requisiti essenziali di cybersicurezza o gli obblighi di gestione e notifica delle vulnerabilità. Per gli altri obblighi si arriva a 10 milioni di euro o al 2%, per informazioni inesatte o incomplete alle autorità a 5 milioni o all'1%. Le autorità di vigilanza del mercato possono inoltre imporre misure correttive come il ritiro o il richiamo di prodotti non conformi e il divieto o la limitazione della loro messa a disposizione sul mercato.

Il CRA si applica ai prodotti con elementi digitali immessi sul mercato dall'11 dicembre 2027. La data vale per la singola unità: un modello già in catalogo che continui a vendere dopo quella data deve essere conforme. Un’unità immessa prima di quella data rientra solo se riceve una modifica sostanziale dopo. Fa eccezione l’obbligo di notificare vulnerabilità sfruttate e incidenti gravi, che dall'11 settembre 2026 vale anche per i prodotti già sul mercato. Per questo, se hai prodotti legacy ancora in vendita o manutenzione, conviene valutare per tempo se e come portarli a un livello di sicurezza compatibile con il CRA.

In generale no: il SaaS e i servizi cloud ricadono nella direttiva NIS2, non nel CRA. Il CRA li copre solo quando sono la soluzione di elaborazione dati da remoto di un prodotto con elementi digitali, cioè software sviluppato dal produttore, o sotto la sua responsabilità, senza il quale il prodotto non svolge una delle sue funzioni. Un esempio è il servizio cloud che permette di comandare a distanza un dispositivo smart home. Per capire se le tue soluzioni cloud rientrano serve analizzare il legame tra il servizio e i prodotti che vendi.

Significa integrare la cybersicurezza in tutte le fasi del ciclo di vita del prodotto: analisi del rischio e definizione dei requisiti di sicurezza già in fase di design, sviluppo sicuro con controlli automatizzati (code review, static/dynamic analysis, dependency scanning), gestione delle vulnerabilità lungo tutta la vita del prodotto, pianificazione di aggiornamenti di sicurezza e dell’assistenza minima garantita, monitoraggio in esercizio per rilevare e gestire incidenti. In pratica, si tratta di adottare un vero Secure SDLC supportato da pratiche DevSecOps. Per la maggior parte dei prodotti la conformità si dimostra con l’autovalutazione del produttore. I prodotti importanti di classe I possono usarla solo se applicano norme armonizzate, specifiche comuni o schemi di certificazione; quelli di classe II richiedono un organismo terzo; per i prodotti critici la Commissione può imporre una certificazione europea di cybersicurezza.

Il CRA non vieta l’utilizzo di componenti di terzi o software open source, ma richiede che vengano gestiti in modo consapevole. Questo implica: avere un inventario aggiornato delle dipendenze (SBOM), monitorare le vulnerabilità note dei componenti utilizzati, definire politiche chiare di aggiornamento, sostituzione e deprecazione, valutare l’impatto dei componenti sull’intera architettura di sicurezza del prodotto. La supply chain software diventa parte integrante della valutazione di conformità.

Il panorama normativo europeo sulla sicurezza sta evolvendo su più fronti: il CRA si concentra sulla sicurezza dei prodotti con elementi digitali (hardware e software), la direttiva NIS2 mira alla resilienza di operatori, infrastrutture e servizi essenziali, l’AI Act regola i sistemi di intelligenza artificiale (in particolare quelli ad alto rischio) per garantire sicurezza e tutela dei diritti fondamentali. Molte organizzazioni potrebbero essere soggette a più di una di queste normative. Conviene trattarle insieme, per costruire una strategia di sicurezza coerente lungo tutta la supply chain.