L’Unione Europea continua a costruire il proprio ecosistema normativo digitale. Dopo GDPR, NIS2 e AI Act, entra in scena il Cyber Resilience Act (CRA), il nuovo Regolamento europeo (UE) 2024/2847 che introduce requisiti obbligatori di cybersicurezza per tutti i prodotti con elementi digitali.ù
I primi obblighi del CRA arriveranno prima di quanto si immagini: 11 settembre 2026, una data da evidenziare in agenda e da monitorare con attenzione.
Perché nasce il CRA?
La risposta è semplice: i dispositivi connessi sono ovunque.
Ogni nuovo sensore, software, dispositivo IoT, appliance o prodotto digitale rappresenta una possibile superficie di attacco. Oggi gli incidenti informatici non riguardano più soltanto l’IT: possono compromettere attività economiche, servizi essenziali e la sicurezza delle persone.
I due problemi che il regolamento vuole risolvere:
- Prodotti immessi sul mercato con vulnerabilità note
- Scarsa trasparenza verso clienti e utilizzatori
Tutti gli obblighi previsti dal CRA derivano da questi due principi fondamentali.
Cosa cambia per le aziende?
Il messaggio è chiaro:
- La cybersicurezza non è più una funzionalità aggiuntiva.
- La cybersicurezza diventa un requisito normativo.
I requisiti di sicurezza dovranno essere considerati fin dalle fasi di progettazione, sviluppo, commercializzazione e manutenzione dei prodotti digitali.
In altre parole, la sicurezza dovrà diventare parte integrante del prodotto e del suo ciclo di vita.
Nella prossima newsletter…
Approfondiremo quali obblighi entreranno in vigore l’11 settembre 2026, chi è coinvolto e quali azioni è opportuno iniziare a pianificare già oggi per evitare rischi di non conformità.
CMNEXT accompagna le organizzazioni nel percorso di adeguamento normativo, cybersecurity governance e gestione del rischio digitale. Contattaci per valutare l’impatto del Cyber Resilience Act sulla tua realtà.