Ed ora chiudiamo il nostro ciclo di approfondimenti sul Cyber Resilience Act (CRA), il regolamento europeo che ridisegna le regole della sicurezza dei prodotti digitali. Ecco il quadro completo, in sintesi.
Il cambio di paradigma. Fino a oggi la normativa si concentrava su come reagire agli incidenti. Il CRA guarda invece al prodotto stesso: sicurezza obbligatoria fin dalla progettazione e per tutto il ciclo di vita, non solo il giorno in cui esce dalla fabbrica.
A chi si applica. In pratica, a quasi ogni prodotto — software o hardware — che contiene software ed è progettato per connettersi a una rete o a un dispositivo. Tre i livelli di rischio: default (circa il 90% dei prodotti, autovalutazione), importanti (Allegato III, regole più severe), critici (Allegato IV, possibile certificazione UE obbligatoria). Tre i ruoli coinvolti: fabbricante, importatore, distributore.
Gli obblighi, in due parole.
- By design & by default: nessuna vulnerabilità sfruttabile nota, dati protetti e cifrati, configurazioni sicure, aggiornamenti. E tutto va documentato (analisi dei rischi + fascicolo tecnico).
- Dopo la vendita: SBOM (sai cosa c’è nel tuo prodotto), patch tempestive e gratuite, test periodici, canale per le segnalazioni.
La data che conta davvero. Non è l’11 dicembre 2027, ma l’11 settembre 2026. Da quel giorno scattano gli obblighi di segnalazione di vulnerabilità sfruttate e incidenti gravi, con tempi rigidi: avviso entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni (o 1 mese per gli incidenti), tramite la piattaforma ENISA/CSIRT. E valgono anche per i prodotti già sul mercato — compreso un software del 2019 ancora in distribuzione.
Le sanzioni. Fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore.
Cosa fare ora. La vera prima prova è tra pochi mesi. Serve mappare i prodotti in scope, predisporre l’analisi dei rischi e il fascicolo tecnico, e attivare un processo interno di rilevamento e notifica già pronto a settembre 2026.
Noi di CMNEXT affianchiamo le aziende su tutto questo, dalla cybersecurity alla compliance, fino alla formazione dei team.
Vuoi capire se e come il CRA impatta i tuoi prodotti? Scrivici a marketing@cmnext.it: partiamo con una verifica insieme.