CRA, NIS2 e DORA vengono spesso citati insieme come “il pacchetto cyber europeo”, e da lì nasce la confusione: sembrano tre versioni della stessa regola. Non lo sono. Agiscono su oggetti diversi, hanno forma giuridica diversa e si rivolgono a destinatari diversi. Un fabbricante può ricadere sotto due di essi, o sotto tutti e tre, ma per ragioni distinte. Questa guida raccoglie cosa prevedono le fonti ufficiali su ciascuno e su come si incastrano, con i riferimenti puntuali all’articolato.
Questa guida riporta il testo vincolante dei tre atti (regolamenti, direttiva e allegati) e, dove segnalato, la guidance ufficiale non vincolante, con riferimenti puntuali. Le letture operative, come questo quadro si traduce in decisioni per un produttore, sono negli articoli del blog collegati in fondo.
Se il CRA non è ancora a fuoco, il punto di partenza è Il CRA in un’ora.
Tre atti, tre oggetti
La distinzione più utile non è tra i tre nomi, ma tra le tre cose che regolano.
Il CRA (Cyber Resilience Act, Regolamento UE 2024/2847) regola il prodotto. Si applica ai prodotti con elementi digitali immessi sul mercato dell’Unione e impone requisiti di sicurezza al prodotto stesso e al processo che lo mantiene (art. 1 e Allegato I). Prescinde dal settore in cui opera chi lo fabbrica.
La NIS2 (Direttiva UE 2022/2555) regola l’organizzazione. Riguarda la sicurezza dei sistemi informativi e di rete dei soggetti che rientrano nel suo ambito, con obblighi di governance, gestione del rischio (art. 21) e notifica degli incidenti (art. 23) in capo all’entità, non al prodotto.
La DORA (Digital Operational Resilience Act, Regolamento UE 2022/2554) regola la resilienza operativa digitale del settore finanziario. Si applica alle entità finanziarie (banche, imprese di assicurazione, imprese di investimento, e altre elencate all’art. 2) e ai loro fornitori terzi di servizi ICT.
Natura giuridica e date di applicazione
La forma giuridica cambia come e quando ciascun atto diventa efficace.
CRA e DORA sono regolamenti: si applicano direttamente in tutti gli Stati membri, senza bisogno di una legge nazionale di recepimento. NIS2 è una direttiva: fissa obiettivi comuni ma richiede una legge nazionale che la recepisca.
- NIS2: termine di recepimento per gli Stati membri fissato al 17 ottobre 2024 (art. 41). In Italia il recepimento è avvenuto con il Decreto legislativo 4 settembre 2024, n. 138.
- DORA: si applica dal 17 gennaio 2025 (art. 64).
- CRA: in vigore dal 10 dicembre 2024, con applicazione scaglionata. Gli obblighi di segnalazione delle vulnerabilità sfruttate e degli incidenti gravi (art. 14) si applicano dall’11 settembre 2026; i requisiti essenziali dell’Allegato I e gli altri obblighi dei fabbricanti dall’11 dicembre 2027.
Chi è soggetto a ciascuno
CRA. I destinatari principali sono i fabbricanti di prodotti con elementi digitali (art. 3, punto 1), con obblighi propri anche per importatori e distributori. Il criterio è il prodotto: se immetti sul mercato UE un prodotto che rientra nella definizione, sei soggetto, indipendentemente dal tuo settore e dalla tua dimensione.
NIS2. I destinatari sono i “soggetti essenziali” e “soggetti importanti” definiti dall’art. 3, individuati in base a due criteri combinati: appartenenza a uno dei settori degli Allegati I e II, e superamento delle soglie dimensionali. Tra i settori dell’Allegato II figura la fabbricazione, che comprende, tra gli altri, la fabbricazione di dispositivi medici, di computer e prodotti di elettronica e ottica, di apparecchiature elettriche, di macchinari e apparecchiature n.c.a. La soglia dimensionale di riferimento è quella della media impresa (a partire da 50 dipendenti, oppure oltre 10 milioni di euro di fatturato o di totale di bilancio, secondo la Raccomandazione 2003/361/CE). Un fabbricante di questi settori che superi la soglia rientra di norma tra i soggetti importanti.
DORA. I destinatari sono le entità finanziarie elencate all’art. 2 e i fornitori terzi di servizi ICT (definiti all’art. 3, punto 19). Per questi ultimi, gli obblighi passano in via contrattuale attraverso il cliente finanziario (Capo V, in particolare artt. 28 e 30). Un sottoinsieme di fornitori può essere designato “fornitore terzo critico di servizi ICT” e sottoposto a vigilanza diretta a livello di Unione (art. 31 e seguenti).
Come si raccordano
I tre atti non si sovrappongono sullo stesso oggetto, ma hanno punti di contatto precisi.
NIS2 e DORA: rapporto di specialità. L’art. 4 della NIS2 disciplina il rapporto con gli atti settoriali dell’Unione. Quando un atto settoriale impone a soggetti essenziali o importanti misure di gestione del rischio almeno equivalenti, nella sostanza, a quelle dell’art. 21, oppure obblighi di notifica almeno equivalenti a quelli dell’art. 23, si applicano le disposizioni settoriali al posto di quelle corrispondenti della NIS2. Gli orientamenti della Commissione sull’applicazione dell’art. 4, par. 1 e 2 (documento non vincolante), individuano DORA tra gli atti settoriali che soddisfano questa condizione per le entità finanziarie. In pratica, per gli aspetti coperti, un’entità finanziaria applica DORA in luogo della NIS2.
CRA e NIS2: rapporto di complementarità. I due atti agiscono su livelli diversi della stessa catena: NIS2 sui soggetti, CRA sui prodotti che quei soggetti fabbricano o utilizzano. La conformità di un prodotto al CRA concorre a soddisfare gli obblighi di sicurezza della catena di approvvigionamento previsti per i soggetti dall’art. 21 della NIS2. I due non si escludono e non si sostituiscono.
La notifica degli incidenti. Tutti e tre prevedono obblighi di segnalazione, con oggetto e destinatari propri: CRA sulle vulnerabilità sfruttate e sugli incidenti gravi del prodotto (art. 14), NIS2 sugli incidenti significativi che impattano l’erogazione dei servizi del soggetto (art. 23), DORA sugli incidenti gravi connessi alle TIC nel settore finanziario (art. 19). Le scadenze del canale CRA e il funzionamento della piattaforma unica sono trattati nella guida alla Single Reporting Platform.
Quadro di sintesi
| CRA | NIS2 | DORA | |
|---|---|---|---|
| Oggetto | Il prodotto con elementi digitali | La sicurezza dei sistemi del soggetto | La resilienza operativa del settore finanziario |
| Forma giuridica | Regolamento (UE) 2024/2847 | Direttiva (UE) 2022/2555 | Regolamento (UE) 2022/2554 |
| Applicazione | 11 set 2026 (segnalazione), 11 dic 2027 (requisiti essenziali) | Recepimento entro 17 ott 2024 (in Italia D.Lgs. 138/2024) | 17 gen 2025 |
| Destinatari | Fabbricanti di PDE (art. 3, punto 1) | Soggetti essenziali e importanti (art. 3, Allegati I e II) | Entità finanziarie (art. 2) e fornitori terzi ICT (art. 3, punto 19) |
| Notifica | Art. 14, verso CSIRT ed ENISA | Art. 23, verso il CSIRT nazionale | Art. 19, verso le autorità di vigilanza finanziaria |
Approfondimenti
Come questo quadro si traduce in obblighi concreti per chi fabbrica dispositivi, quando cioè un produttore soggetto al CRA è anche soggetto NIS2 come azienda, è trattato nell’articolo di blog Sei un produttore soggetto al CRA. NIS2 ti riguarda anche come azienda?.
Riferimenti: Regolamento (UE) 2024/2847 (CRA), articoli 1, 3, 14 e Allegato I; Direttiva (UE) 2022/2555 (NIS2), articoli 3, 4, 21, 23, 41 e Allegati I e II; Decreto legislativo 4 settembre 2024, n. 138 (recepimento italiano della NIS2); Regolamento (UE) 2022/2554 (DORA), articoli 2, 3, 19, 28, 30, 31 e 64; Raccomandazione 2003/361/CE (definizione di media impresa). Guidance non vincolante: orientamenti della Commissione sull’applicazione dell’art. 4, par. 1 e 2, della direttiva NIS2. Numeri di articolo verificati sui testi ufficiali.