Cos'è il CRA?
Il CRA (Cyber Resilience Act — Regolamento UE 2024/2847) è una legge europea che impone requisiti minimi di cybersicurezza per qualsiasi prodotto con elementi digitali venduto nell'UE. In breve: se il vostro prodotto si connette a una rete o esegue software, deve essere sicuro by design e restare sicuro per tutta la sua vita utile.
La logica è semplice. Fino ad ora, un macchinario o un apparecchio superava i controlli di sicurezza fisica (il classico marchio CE). La parte digitale — software, connettività, aggiornamenti — era praticamente non regolamentata. Il CRA sposta la responsabilità della sicurezza dall'utente al produttore: il prodotto deve essere sicuro prima di venderlo, non dopo che qualcuno è stato violato.
Chi è interessato
Produttori, importatori e distributori che immettono sul mercato UE prodotti con elementi digitali: macchinari con pannelli di controllo connessi, dispositivi IoT, applicazioni installabili, software distribuito come prodotto autonomo, apparecchiature con aggiornamenti online. La legge si applica indipendentemente da dove si trova il produttore — se un cliente UE può acquistare il prodotto, siete interessati.
Cosa NON rientra nel CRA
Il puro SaaS (tutta l'elaborazione sui server del fornitore, accesso tramite browser/API). Nota: NIS2 e GDPR rimangono applicabili.
Il software open-source sviluppato senza finalità commerciale.
Categorie coperte da altre normative (dispositivi medici, automotive, aviazione).
Date chiave
11 giugno 2026 — inizio dell'accreditamento degli organismi di valutazione della conformità.
11 settembre 2026 — segnalazione obbligatoria di vulnerabilità attivamente sfruttate e incidenti gravi: 24 ore (notifica iniziale), 72 ore (rapporto dettagliato), 14 giorni (rapporto finale).
11 dicembre 2027 — applicazione completa: marchio CE e dichiarazione di conformità richiesti per tutti i nuovi prodotti.
I prodotti devono inoltre ricevere aggiornamenti di sicurezza per almeno 5 anni (o per la durata di vita del prodotto, se inferiore).
Cosa rischiate
Sanzioni fino a 15 milioni di euro o il 2,5% del fatturato globale. Nota: le microimprese e le piccole imprese sono esenti dalla sanzione per il ritardo nella segnalazione delle 24 ore (Art. 64(10)), ma l'obbligo di segnalare rimane.
Cosa fare, in breve
Determinare quali prodotti rientrano nel CRA.
Integrare la sicurezza by design fin dall'inizio.
Mantenere un elenco di componenti software (SBOM) e un processo di gestione delle vulnerabilità.
Preparare la documentazione tecnica e la dichiarazione di conformità.
Stabilire la procedura di segnalazione a 24h / 72h / 14 giorni.