Le scadenze del CRA, e cosa devi aver fatto per ciascuna
29 luglio 2026·6 min di lettura·Alberto Scarpa
Il CRA non entra in vigore tutto insieme, ed è qui che nasce il malinteso più costoso. Chi legge “obblighi dal dicembre 2027” archivia la pratica come un problema di domani. Poi scopre che una parte del regolamento, quella che comporta il rischio operativo più immediato, è già scattata prima. Le scadenze del CRA non sono un calendario da segnare: sono tre stati di prontezza, ciascuno con un cosa devi aver fatto preciso.
Il regolamento (UE 2024/2847) è in vigore dal 10 dicembre 2024, ma la sua applicazione è scaglionata. L’articolo 71, paragrafo 2 fissa tre momenti: il regolamento si applica dall’11 dicembre 2027; l’articolo 14 si applica dall’11 settembre 2026; il capo IV (articoli da 35 a 51, notifica degli organismi di valutazione della conformità) dall’11 giugno 2026. Vanno letti in ordine di urgenza, non di data. Se il quadro generale, cos’è un prodotto con elementi digitali e quali obblighi porta, non è ancora a fuoco, il punto di partenza è Il CRA in un’ora.
11 settembre 2026, la segnalazione
Da questa data si applica l’articolo 14: l’obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi. È la scadenza più vicina e quella che sorprende di più, per due motivi.
Il primo: riguarda anche i prodotti già sul mercato. Gli orientamenti della Commissione (documento C(2026) 5252, non vincolanti) chiariscono che l’obbligo di segnalazione decorre dall’11 settembre 2026 a prescindere da quando il prodotto è stato immesso sul mercato. Non riguarda solo quello che progetti da domani, ma tutto ciò che hai venduto e che è ancora in campo. Il secondo: i tempi sono in ore. Alla scoperta di una vulnerabilità sfruttata, il preallarme va inviato entro 24 ore (art. 14, par. 2, lett. a), la notifica entro 72 ore (lett. b), la relazione finale entro 14 giorni dalla correzione (lett. c). Il canale è la piattaforma unica di segnalazione di ENISA (art. 16), con smistamento al CSIRT nazionale coordinatore.
Nota operativa (mia indicazione, non testo di legge). Cosa devi aver fatto per questa data non è “avere il prodotto conforme”. È molto più concreto: sapere chi in azienda è autorizzato a notificare, avere un account EU Login già creato, avere un processo, anche minimo, che nelle prime 24 ore non ti faccia perdere tempo a decidere chi chiama chi, e un registro dove resti tracciabile cosa hai notificato e quando. Un’azienda senza questo processo non è “in ritardo sul CRA”: è esposta a una scadenza già attiva.
11 dicembre 2027, gli obblighi pieni
È la data che quasi tutti conoscono, e infatti è quella che dà il falso senso di tempo. Da qui si applicano i requisiti sostanziali: i requisiti essenziali dell’Allegato I (sicurezza del prodotto nella parte I, gestione delle vulnerabilità nella parte II), la valutazione dei rischi di cibersicurezza (art. 13, par. 2 e 3), la procedura di valutazione della conformità (art. 32) e la marcatura CE (art. 30). Da questa data, un prodotto con elementi digitali che non li soddisfa non può essere immesso sul mercato.
Cosa richiede il regolamento è un processo, non una cartella di documenti. La valutazione dei rischi va documentata e mantenuta per tutto il periodo di assistenza (art. 13, par. 3, e Allegato I, parte II). Chi ha già un sistema qualità certificato parte avvantaggiato su questo impianto documentale, ma non su tutto: la mappa di cosa riusare e cosa costruire è in Hai già la ISO 9001?. Per i prodotti “importanti” (art. 7, Allegato III) e “critici” (art. 8, Allegato IV) serve in più l’applicazione delle norme armonizzate, che dà presunzione di conformità (art. 27), o l’intervento di un organismo notificato (art. 32, par. 2 e 3): è qui che entra in gioco la terza data, l’11 giugno 2026, da cui gli organismi notificati possono essere designati. Sono percorsi con tempi propri, che non si improvvisano nelle ultime settimane.
Il punto che sfugge sul 2027 è la retrocompatibilità del lavoro. Le decisioni che prendi oggi su un prodotto in sviluppo, un device che sarà ancora in produzione nel 2028, sono già decisioni CRA. Un timore, però, gli orientamenti della Commissione (C(2026) 5252) lo alleggeriscono: un prodotto progettato prima del CRA può restare sul mercato dopo il 2027 sulla base di una valutazione del rischio attuale, senza obbligo di ricostruire documentazione storica di progetto che non esiste più. Il vincolo è sul futuro, non sul passato.
Fine 2027, la RED esce di scena
C’è una terza data che riguarda in modo specifico chi fa dispositivi wireless. I requisiti di cibersicurezza legati alla Direttiva RED (Radio Equipment Directive) cessano di applicarsi l’11 dicembre 2027, e il CRA diventa il riferimento unico. La Commissione ha eliminato la sovrapposizione con il Regolamento Delegato (UE) 2026/339, evitando che lo stesso dispositivo debba rispondere a due set di requisiti tecnici paralleli.
Per chi produce IoT e apparati radio è una buona notizia sul piano della chiarezza: un solo framework, non due. Ma è anche una scadenza travestita da semplificazione. Chi contava sulla RED come punto di riferimento cyber deve spostare l’ancora sul CRA, che è più ampio e continuativo.
Nota operativa (mia indicazione). Cosa devi aver fatto: aver verificato che i prodotti wireless oggi coperti dalla RED siano mappati sul CRA, senza dare per scontato che “eravamo già conformi RED” equivalga a “siamo conformi CRA”. Sono due perimetri diversi.
Come leggere le tre date insieme
La trappola è trattarle come un’unica scadenza al 2027. In realtà lavorano su due orizzonti diversi. Settembre 2026 è un problema di processo e di persone, chi notifica, con quale canale, in quante ore, e va risolto adesso, indipendentemente da quanto sono maturi i tuoi prodotti. Dicembre 2027 è un problema di progettazione, e si vince solo se le decisioni giuste entrano nei prodotti mentre li disegni, non dopo.
Chi tiene le due cose separate arriva pronto a entrambe. Chi le confonde rischia di superare la prima scadenza credendo di avere ancora un anno di margine.
Riferimenti: Regolamento (UE) 2024/2847 (CRA), articoli 7, 8, 13, 14, 16, 27, 30, 32, 71 e Allegati I, III, IV; Regolamento Delegato (UE) 2026/339 (RED); orientamenti della Commissione C(2026) 5252 (non vincolanti). Le note segnalate come operative sono mie interpretazioni, non testo normativo.