IL PUNTO — CYBERSECURITY
Stato di attuazione del CRA
Il Cyber Resilience Act non scatta tutto insieme. Qui trovi a che punto è: le date che contano, lo stato delle norme armonizzate e della piattaforma di segnalazione. Pagina aggiornata nel tempo — per la timeline operativa in dettaglio c’è la guida le scadenze del CRA.
Ultimo aggiornamento: 24 agosto 2026
Regolamento
La parte che si muove: date, obblighi, orientamenti.
10 dicembre 2024
Il regolamento entra in vigore
Il CRA è in vigore, ma la sua applicazione è scaglionata: le date che seguono sono i momenti in cui scattano gli obblighi.
Art. 71(1)11 giugno 2026
Gli organismi notificati possono essere designati
Da questa data si applica il Capo IV: parte la macchina della valutazione di conformità di terza parte, necessaria per i prodotti importanti e critici. I percorsi con organismo notificato hanno tempi propri e non si improvvisano sotto scadenza.
Art. 71(2) · Capo IV11 settembre 2026
Scatta l’obbligo di segnalazione (Art. 14)
La scadenza più vicina e quella che sorprende di più: vale anche per i prodotti già sul mercato. Vulnerabilità sfruttate attivamente e incidenti gravi vanno segnalati sulla piattaforma unica di ENISA — early warning entro 24h, notifica entro 72h, relazione finale entro 14 giorni. Serve il processo, non il prodotto conforme.
Cosa devi aver fatto
Un processo di segnalazione operativo, non un prodotto conforme. Serve: un canale interno per rilevare vulnerabilità sfruttate attivamente e incidenti gravi, ruoli e responsabilità assegnati, e i tre tempi rispettati — early warning entro 24 ore, notifica entro 72, relazione finale entro 14 giorni — verso la piattaforma unica di ENISA. Vale anche per i prodotti già sul mercato.
Cosa aspettarsi dopo: L’11 dicembre 2027: requisiti essenziali dell’Allegato I, valutazione di conformità e marcatura CE.
Art. 14, 16 ↗11 dicembre 2027
Piena applicazione e marcatura CE
Da qui si applicano i requisiti essenziali (Allegato I), la valutazione dei rischi, la procedura di conformità e la marcatura CE. Un prodotto con elementi digitali che non li soddisfa non può più essere immesso sul mercato. È anche la data in cui i requisiti cyber della RED escono di scena a favore del CRA.
Cosa devi aver fatto
Prima di questa data: analisi dei rischi di cybersicurezza documentata, prodotto conforme ai requisiti essenziali dell’Allegato I, procedura di valutazione della conformità adeguata alla classe (auto-valutazione, oppure organismo notificato per i prodotti importanti e critici) e marcatura CE. Da qui, un prodotto con elementi digitali non conforme non può più essere immesso sul mercato.
Orientamenti della Commissione pubblicati
Il documento C(2026) 5252 (non vincolante) chiarisce l’ambito e conferma che l’obbligo di segnalazione vale a prescindere da quando il prodotto è stato immesso sul mercato.
C(2026) 5252Standard
Riferimento stabile: norme armonizzate e mappa IT/OT.
Norme armonizzate CEN-CENELEC / ETSI (serie EN 40000)
Sono le norme che daranno presunzione di conformità ai requisiti dell’Allegato I. Diverse bozze di standard di prodotto sono in fase di public enquiry: chi progetta oggi conviene le segua, perché diventeranno il linguaggio comune della conformità.
Art. 27IEC 62443 — mappa di riferimento IT/OT
La famiglia IEC 62443 è lo standard di riferimento per la sicurezza dei sistemi di automazione e controllo industriale (IACS): una base matura su cui poggiare i requisiti del CRA per un prodotto OT. La si usa come mappa — secure development lifecycle (62443-4-1), requisiti di prodotto (62443-4-2) — non come scadenza da rincorrere. Attenzione però: l’adozione europea come EN 62443, con l’emendamento di armonizzazione A11:2026 che la lega ai requisiti del CRA, è in revisione — è quella versione, una volta pubblicata, a poter dare la presunzione di conformità. La famiglia è stabile; il suo aggancio armonizzato al CRA no.
IEC 62443-4-1 · -4-2 · EN 62443 (A11:2026)Radar
Al margine del perimetro prodotto, ma da tenere d’occhio.
Piattaforma unica di segnalazione ENISA (SRP)
Il canale tecnico attraverso cui passeranno le notifiche dell’articolo 14, con smistamento ai CSIRT nazionali. È l’infrastruttura che deve essere pronta per l’11 settembre 2026.
Art. 16NIS2 — dove tocca il prodotto
La direttiva NIS2 riguarda la sicurezza delle organizzazioni (soggetti essenziali e importanti), non la conformità del prodotto: è un asse diverso dal CRA. Per un produttore entra dal lato fornitura — gli obblighi di sicurezza della supply chain dei propri clienti soggetti a NIS2 — e dalla gestione del rischio interno. Qui è al margine del perimetro prodotto, tenuto a radar, non approfondito.
Dir. (UE) 2022/2555Ricostruzione redazionale a scopo informativo, aggiornata alla data indicata: non è consulenza né una fonte ufficiale. Le date e gli stati vanno sempre verificati sui testi del Regolamento (UE) 2024/2847 e sulle fonti di ENISA e della Commissione.
Non sai da dove partire?
45 minuti gratuiti per mappare la tua esposizione normativa e sapere cosa devi aver fatto per ciascuna scadenza.
Prenota il Regulatory Spark