Commissione UE: pubblicata una guida operativa per le imprese sul Cyber Resilience Act.

La Commissione europea ha pubblicato il 27 luglio 2026 nuovi orientamenti sull’applicazione del Cyber Resilience Act – CRA, il Regolamento (UE) 2024/2847 che introduce requisiti obbligatori di cibersicurezza per prodotti hardware e software con elementi digitali. La guida, non vincolante, è rivolta in particolare a microimprese e PMI e chiarisce alcuni profili centrali del Regolamento: ambito di applicazione, software open source, modifiche sostanziali dei prodotti, periodi di supporto, valutazione dei rischi di cibersicurezza e obblighi di segnalazione.

Particolare attenzione è dedicata alla gestione della sicurezza lungo l’intero ciclo di vita del prodotto. I fabbricanti dovranno integrare i principi di security by design e by default, documentare i rischi considerati, gestire le vulnerabilità e assicurare aggiornamenti di sicurezza per un periodo adeguato alla vita utile prevedibile del prodotto.

La scadenza più vicina è l’11 settembre 2026. Da tale data i fabbricanti dovranno notificare a ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti. La prima segnalazione dovrà essere trasmessa entro 24 ore dalla conoscenza dell’evento, seguita dagli ulteriori aggiornamenti previsti dal Regolamento.

La maggior parte degli obblighi del CRA sarà invece applicabile dall’11 dicembre 2027.

Produttori, sviluppatori, importatori e distributori dovrebbero:

1. censire i prodotti hardware e software immessi sul mercato europeo;

2. verificare il proprio ruolo e gli obblighi applicabili nella catena di fornitura;

3. predisporre valutazioni documentate dei rischi di cibersicurezza;

4. definire periodi di supporto e procedure di gestione degli aggiornamenti;

5. organizzare entro l’11 settembre 2026 i flussi interni di rilevazione e notifica di vulnerabilità e incidenti;

6. aggiornare i contratti con fornitori e sviluppatori, disciplinando cooperazione, accesso alle informazioni e gestione delle vulnerabilità;

7. verificare se modifiche, integrazioni o personalizzazioni possano comportare una nuova valutazione di conformità;

8. coordinare gli obblighi CRA con NIS2, GDPR, DORA e normativa settoriale.

La pubblicazione della guida rappresenta un passaggio operativo importante: il CRA non richiederà soltanto prodotti sicuri al momento dell’immissione sul mercato, ma processi continuativi, documentati e verificabili di gestione del rischio cyber.