Le date
| Data | Cosa si applica |
|---|---|
| 10 dicembre 2024 | Entrata in vigore del regolamento |
| 11 giugno 2026 | Regole sulla notifica degli organismi di valutazione della conformità (capo IV) |
| 11 settembre 2026 | Obblighi di segnalazione dei fabbricanti (art. 14), anche per i prodotti già immessi sul mercato |
| 11 dicembre 2027 | Tutto il resto: requisiti essenziali, valutazione della conformità, documentazione tecnica, dichiarazione UE di conformità e marcatura CE |
A chi si applica
Il regolamento riguarda i prodotti con elementi digitali, hardware o software, messi a disposizione sul mercato europeo, il cui uso previsto o ragionevolmente prevedibile comporta una connessione logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Sono compresi i componenti venduti separatamente e l’elaborazione dei dati da remoto che il fabbricante progetta per il prodotto e senza la quale il prodotto non svolgerebbe una sua funzione. Un servizio cloud che non è legato a un prodotto non rientra nel Cyber Resilience Act; può rientrare nella NIS2.
Gli obblighi ricadono su fabbricanti, importatori e distributori. Chi modifica in modo sostanziale un prodotto, o lo vende con il proprio nome o marchio, è considerato fabbricante.
Sono esclusi i prodotti già regolati da norme di settore: dispositivi medici e diagnostici in vitro, veicoli omologati secondo il Regolamento (UE) 2019/2144, prodotti aeronautici certificati, equipaggiamento marittimo, oltre ai prodotti sviluppati esclusivamente per la sicurezza nazionale o la difesa e ai ricambi identici agli originali. Il software libero e open source sviluppato fuori da un’attività commerciale non rientra; per chi sostiene stabilmente progetti open source destinati ad attività commerciali (gli steward) è previsto un regime più leggero.
Classi di prodotti e valutazione della conformità
| Categoria | Esempi | Valutazione della conformità |
|---|---|---|
| Prodotti senza classe | La maggior parte dei prodotti connessi | Controllo interno del fabbricante (modulo A) o, a scelta, un organismo notificato |
| Importanti, classe I (Allegato III) | 19 categorie, tra cui sistemi operativi, browser, gestori di password, antimalware, VPN, SIEM, router, modem e switch, prodotti di sicurezza per la casa intelligente (serrature, telecamere, antifurto) | Controllo interno solo se si applicano integralmente norme armonizzate, specifiche comuni o una certificazione europea di livello almeno “sostanziale”; altrimenti organismo notificato |
| Importanti, classe II (Allegato III) | Hypervisor e runtime per container, firewall e sistemi di rilevamento e prevenzione delle intrusioni, microprocessori e microcontrollori resistenti alle manomissioni | Sempre con un organismo notificato (moduli B+C o H) o con una certificazione europea di livello almeno “sostanziale” |
| Critici (Allegato IV) | Dispositivi hardware con “security box”, gateway dei sistemi di misurazione intelligenti, smart card ed elementi sicuri | Certificazione europea di cybersicurezza, quando un atto delegato la rende obbligatoria; altrimenti come la classe II |
Le categorie sono descritte in dettaglio dal Regolamento di esecuzione (UE) 2025/2392. Un punto pratico: dalle informazioni disponibili a inizio novembre 2026, nessuna norma armonizzata per il Cyber Resilience Act risulta ancora citata nella Gazzetta ufficiale dell’Unione. Finché non lo sarà, un prodotto di classe I non può contare sul controllo interno e probabilmente dovrà passare da un organismo notificato.
Cosa deve fare il fabbricante
- Valutare il rischio di cybersicurezza del prodotto e usarne i risultati in progettazione, sviluppo, produzione, consegna e manutenzione.
- Rispettare i requisiti essenziali dell’Allegato I, parte I: nessuna vulnerabilità sfruttabile nota alla messa sul mercato, configurazione sicura di default, protezione da accessi non autorizzati, riservatezza e integrità dei dati, riduzione della superficie di attacco, registrazione degli eventi, possibilità di ricevere aggiornamenti di sicurezza.
- Gestire le vulnerabilità (Allegato I, parte II): distinta dei componenti software (SBOM) in formato leggibile da macchina, almeno per le dipendenze di primo livello; correzione senza ritardo; aggiornamenti di sicurezza distribuiti gratuitamente; politica di divulgazione coordinata delle vulnerabilità e un punto di contatto per riceverne la segnalazione.
- Garantire un periodo di supporto pari alla durata d’uso prevista del prodotto e di almeno cinque anni, salvo che il prodotto sia destinato a durare meno. Ogni aggiornamento di sicurezza deve restare disponibile per almeno dieci anni o per il resto del periodo di supporto, se più lungo.
- Segnalare le vulnerabilità trovate nei componenti, open source compresi, a chi li sviluppa o li mantiene.
- Documentare: documentazione tecnica (Allegato VII), dichiarazione UE di conformità (Allegato V), informazioni e istruzioni per l’utilizzatore (Allegato II), comprese la data di fine del supporto e il punto di contatto; poi la marcatura CE.
Le segnalazioni, già in vigore
Lo stato a novembre 2026 e cosa fare adesso →
Dall’11 settembre 2026 il fabbricante deve segnalare, contemporaneamente al CSIRT designato come coordinatore nel Paese in cui ha lo stabilimento principale e all’ENISA, tramite la piattaforma unica di segnalazione:
| Evento | Preallarme | Notifica | Relazione finale |
|---|---|---|---|
| Vulnerabilità attivamente sfruttata | Entro 24 ore | Entro 72 ore | Entro 14 giorni da quando è disponibile una correzione o una misura di mitigazione |
| Incidente grave che incide sulla sicurezza del prodotto | Entro 24 ore | Entro 72 ore | Entro un mese dalla notifica |
I termini decorrono da quando il fabbricante ne viene a conoscenza. Il fabbricante deve anche informare gli utilizzatori interessati e indicare le misure che possono prendere. Se l’azienda è anche un soggetto NIS2, lo stesso evento può richiedere una notifica separata al CSIRT Italia secondo il D.Lgs. 138/2024.
Sanzioni
| Violazione | Massimo |
|---|---|
| Requisiti essenziali dell’Allegato I, obblighi degli artt. 13 e 14 | 15 milioni di euro o 2,5% del fatturato mondiale annuo, se superiore |
| Altri obblighi, tra cui quelli di importatori e distributori | 10 milioni di euro o 2% del fatturato, se superiore |
| Informazioni inesatte, incomplete o fuorvianti alle autorità o agli organismi notificati | 5 milioni di euro o 1% del fatturato, se superiore |
Le micro e piccole imprese non sono sanzionabili per il mancato rispetto del termine di 24 ore del preallarme, ma lo sono per tutto il resto. Gli steward open source sono esclusi dalle sanzioni pecuniarie.
In Italia
Il 2 ottobre 2026 il Consiglio dei ministri ha approvato in esame preliminare lo schema di decreto legislativo di adeguamento. Lo schema designa l’Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza del mercato e come autorità di notifica degli organismi di valutazione della conformità, e prevede una sandbox regolamentare sotto la supervisione dell’ACN. Il testo non è ancora definitivo e può cambiare. Il regolamento europeo, invece, è già direttamente applicabile.
Cyber Resilience Act e NIS2
Le due norme si completano: la NIS2 riguarda l’organizzazione e i servizi che eroga, il Cyber Resilience Act i prodotti che mette sul mercato. Un’azienda manifatturiera può essere soggetta a entrambe, con misure, notifiche e autorità diverse. Conviene gestirle con un solo sistema: stesso registro dei rischi, stessi fornitori, stesso processo per incidenti e vulnerabilità.