Cyber Resilience Act, date e requisiti per chi vende software
Chi riguarda il regolamento, che cosa scatta dall'11 settembre 2026 e che cosa dall'11 dicembre 2027, con i requisiti dell'Allegato I spiegati.
Aggiornato il 15 settembre 2026
Chi riguarda
Il Cyber Resilience Act, Regolamento (UE) 2024/2847, riguarda i prodotti con elementi digitali: software o hardware che si collegano, direttamente o indirettamente, a un dispositivo o a una rete (articolo 2). Rientrano le macchine con un controllore connesso, i dispositivi IoT, le applicazioni e il software venduto come prodotto, compresi i componenti venduti separatamente.
Gli obblighi principali sono del fabbricante, cioè chi sviluppa o fa sviluppare il prodotto e lo vende con il proprio nome o marchio, anche gratuitamente (articolo 3). Ci sono obblighi anche per importatori e distributori. Alcuni prodotti sono esclusi perché coperti da altre norme, per esempio i dispositivi medici e i veicoli omologati.
Un servizio che eroghi tu, come un software usato solo da remoto dai tuoi clienti, di norma non è un prodotto. Lo diventa la parte di elaborazione remota senza la quale il prodotto venduto non funzionerebbe.
Le date
- 11 settembre 2026: scattano gli obblighi di segnalazione dell'articolo 14. Valgono anche per i prodotti già sul mercato prima del 2027 (articolo 69).
- 11 dicembre 2027: si applica tutto il resto, compresi i requisiti dell'Allegato I (articolo 71). I prodotti immessi sul mercato prima di questa data devono rispettarli solo se vengono modificati in modo sostanziale.
Le segnalazioni, già in vigore
Se scopri una vulnerabilità sfruttata attivamente nel tuo prodotto, o un incidente grave che ne tocca la sicurezza, devi segnalarlo al CSIRT coordinatore e all'ENISA attraverso la piattaforma unica:
- un preallarme entro 24 ore da quando ne vieni a conoscenza
- una notifica con le informazioni disponibili entro 72 ore
- una relazione finale entro 14 giorni da quando è disponibile una correzione, per le vulnerabilità
Che cosa dovrà garantire il prodotto dal 2027
L'Allegato I ha due parti. La prima chiede che il prodotto sia progettato con un livello di sicurezza adeguato ai rischi: senza vulnerabilità note sfruttabili, sicuro nella configurazione di partenza, aggiornabile, protetto da accessi non autorizzati, con i dati protetti, con la superficie di attacco ridotta e con la possibilità per l'utente di cancellare i propri dati.
La seconda riguarda la gestione delle vulnerabilità per tutto il periodo di assistenza: un elenco dei componenti (SBOM), correzioni tempestive e gratuite, test regolari, una politica di divulgazione coordinata, un indirizzo per ricevere le segnalazioni.
Il periodo di assistenza deve riflettere la durata d'uso prevista del prodotto e, salvo prodotti usati per meno tempo, è di almeno cinque anni (articolo 13).
I componenti che integri
Il fabbricante deve usare la dovuta diligenza quando integra componenti di terzi, compreso il software open source, perché non compromettano la sicurezza del prodotto (articolo 13, paragrafo 5). Per questo, se fornisci componenti a chi produce, riceverai domande su come gestisci le vulnerabilità.
Le sanzioni
Il mancato rispetto dei requisiti dell'Allegato I e degli obblighi degli articoli 13 e 14 può costare fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore (articolo 64). Gli Stati membri fissano le regole di dettaglio.
Da dove partire
- Fai l'elenco dei prodotti che vendi e segna quali hanno software o connessioni.
- Prepara ora il canale per ricevere segnalazioni di vulnerabilità e la procedura per le notifiche a 24 e 72 ore.
- Costruisci l'elenco dei componenti di ciascun prodotto.
- Decidi e scrivi il periodo di assistenza di ogni prodotto.