Cyber Resilience Act (CRA): prende forma la vigilanza italiana

Lo schema italiano individua le autorità di vigilanza sui prodotti con elementi digitali, mentre alcuni obblighi europei sono già applicabili

 

In breve

Il Governo ha approvato in via preliminare lo schema di decreto legislativo per adeguare l’ordinamento italiano al Cyber Resilience Act (CRA), ossia al Regolamento (UE) 2024/2847 sulla ciberresilienza. Il testo, trasmesso al Parlamento come Atto del Governo n. 447, attribuirebbe all’Agenzia per la cybersicurezza nazionale funzioni di notifica degli organismi di valutazione della conformità e di vigilanza del mercato. Il CRA riguarda numerosi prodotti hardware e software con elementi digitali destinati a essere collegati, direttamente o indirettamente, a un dispositivo o a una rete. Mentre lo schema nazionale è ancora all’esame parlamentare, alcune disposizioni europee si applicano già.

 

Il Cyber Resilience Act e lo schema italiano

Il Cyber Resilience Act, denominato in italiano regolamento sulla ciberresilienza, introduce requisiti di cibersicurezza per numerosi prodotti hardware e software messi a disposizione sul mercato dell’Unione quando il loro uso previsto o ragionevolmente prevedibile comporta una connessione, diretta o indiretta, a un dispositivo o a una rete. È un regolamento europeo direttamente applicabile, mentre agli Stati membri spetta individuare le autorità competenti e organizzare vigilanza, cooperazione e sanzioni.

Il Consiglio dei ministri ha approvato lo schema italiano il 2 ottobre 2026 e lo ha trasmesso al Parlamento il 9 ottobre. Identificato come Atto del Governo n. 447, il provvedimento è ora sottoposto ai pareri delle Commissioni parlamentari e potrebbe cambiare prima dell’adozione definitiva.

Il testo attribuirebbe all’Agenzia per la cybersicurezza nazionale (ACN) il compito di notificare gli organismi incaricati della valutazione di conformità e le funzioni di vigilanza del mercato, che comprendono controlli sui prodotti e la possibilità di richiedere interventi correttivi secondo le regole europee.

 

Prodotti digitali e competenze di più autorità

Un dispositivo può essere soggetto contemporaneamente a più normative, per esempio quando incorpora un sistema di intelligenza artificiale ad alto rischio oppure tratta dati personali. Lo schema italiano prevede quindi un coordinamento tra autorità, senza sovrapporne le competenze.

Per i prodotti che rientrano anche nella disciplina sui sistemi di intelligenza artificiale ad alto rischio, i controlli sulla sicurezza digitale dovranno coordinarsi con la vigilanza prevista per tali sistemi. Nei rispettivi ambiti continueranno inoltre a operare le autorità finanziarie, mentre il Garante per la protezione dei dati personali manterrà le competenze sui trattamenti di dati.

Per le imprese la presenza di più autorità significa che una verifica tecnica sulla sicurezza del prodotto non esaurisce ogni obbligo e che, allo stesso modo, una valutazione privacy non sostituisce la documentazione sulla sicurezza del software.

Anche nella gestione dei fornitori è utile coordinare gli adempimenti, pur mantenendo distinte le varie discipline. Il Cyber Resilience Act e la direttiva NIS2 hanno oggetti e destinatari differenti, ma un inventario accurato di prodotti, componenti e servizi può aiutare a gestire i rispettivi requisiti.

 

Gli strumenti previsti per le imprese più piccole

Lo schema italiano contempla misure di sostegno destinate alle piccole e medie imprese e alcuni strumenti specifici per microimprese e piccole imprese, tra i quali un canale dedicato di consulenza e un ambiente di sperimentazione controllata nel quale le imprese di dimensioni minori avrebbero accesso prioritario. L’assetto dipenderà dal testo nazionale definitivo.

Queste iniziative potrebbero rendere più semplice il percorso di adeguamento, ma le imprese non devono aspettarne l’attivazione per conoscere i propri prodotti, individuare le responsabilità e organizzare la gestione delle vulnerabilità. Il quadro europeo offre già gli elementi per iniziare.

Quando il prodotto incorpora tecnologie di intelligenza artificiale occorre considerare la sicurezza durante l’intero ciclo di vita e verificare anche gli eventuali obblighi derivanti da altre normative, senza trattare tutti i requisiti come se fossero identici.

 

Le scadenze europee già in corso

Il CRA è entrato in vigore il 10 dicembre 2024 e la maggior parte delle sue disposizioni si applicherà dall’11 dicembre 2027, mentre alcuni obblighi sono già applicabili. Le disposizioni sulla notifica degli organismi di valutazione della conformità si applicano dall’11 giugno 2026 e dall’11 settembre 2026 i fabbricanti sono tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi previsti dal regolamento. Importatori e distributori hanno invece obblighi diversi, coerenti con il ruolo che svolgono nella filiera.

Per prepararsi occorre quindi individuare i prodotti interessati e chiarire il ruolo svolto dall’impresa per ciascuno di essi. Gli obblighi di un fabbricante, di un importatore e di un distributore non coincidono, e modifiche sostanziali al prodotto possono incidere sulla responsabilità di chi le effettua.

 

La preparazione comincia dai prodotti, non dai documenti

Un inventario attendibile dovrebbe associare a ogni prodotto il referente interno, la versione, i componenti essenziali, il periodo di supporto e i soggetti che partecipano alla distribuzione. Senza queste informazioni diventa difficile decidere chi debba ricevere una segnalazione, valutare una vulnerabilità o organizzare un aggiornamento.

Serve poi un processo che permetta di ricevere e classificare le segnalazioni tecniche, prendere decisioni e conservarne traccia. Sicurezza, qualità, assistenza, ufficio legale e protezione dei dati devono conoscere i momenti in cui intervenire, così che un problema non rimanga fermo in una casella di posta non presidiata.

Anche i contratti con sviluppatori, fornitori di componenti e distributori devono sostenere questo processo, assicurando lo scambio delle informazioni e degli aggiornamenti necessari. Il rispetto dei tempi non può dipendere soltanto dalla disponibilità informale dei partner commerciali.

 

Il sistema dei controlli e le sanzioni

Il regolamento europeo prevede, per alcune violazioni dei requisiti essenziali e degli obblighi dei fabbricanti, sanzioni fino a 15 milioni di euro o, se superiore, al 2,5 per cento del fatturato mondiale annuo. Per altre violazioni i massimali sono inferiori. Lo schema italiano definisce l’organizzazione delle autorità chiamate a esercitare i poteri nazionali e il coordinamento con le amministrazioni interessate.

Finché il decreto nazionale non sarà approvato definitivamente, l’assetto dei controlli e dei procedimenti sanzionatori potrà ancora cambiare. I massimali previsti dalla normativa europea sono già fissati, mentre le modalità concrete di esercizio dei poteri nazionali dipenderanno dal testo finale.

Questo coordinamento diventa particolarmente importante quando lo stesso prodotto ricade nella disciplina della ciberresilienza, dell’intelligenza artificiale, della protezione dei dati e in normative settoriali. Ogni autorità deve infatti agire nell’ambito delle proprie competenze e rispettare le garanzie procedimentali applicabili.

 

Da dove possono cominciare le imprese

1. Quali prodotti rientrano nel perimetro e quale ruolo svolgiamo per ciascuno?
2. Chi riceve, valuta e segnala vulnerabilità e incidenti secondo gli obblighi applicabili al nostro ruolo?
3. Come decidiamo aggiornamenti, comunicazioni ai clienti e misure correttive, conservandone le prove?
4. I contratti di filiera ci permettono di ottenere componenti, informazioni e correzioni nei tempi necessari?

Conoscere i prodotti interessati, assegnare le responsabilità, organizzare la gestione delle vulnerabilità e verificare i contratti permette di iniziare il lavoro anche prima che sia definito l’assetto nazionale dei controlli.

 

Seguire l’iter mentre si organizzano le attività

Il decreto italiano è ancora in discussione, ma le imprese possono già utilizzare il regolamento europeo per identificare i prodotti interessati e definire ruoli e processi. Seguire l’esame parlamentare resta importante perché le scelte nazionali sulla vigilanza potrebbero richiedere adattamenti.

Conviene quindi evitare sia di trasformare uno schema ancora modificabile in una regola definitiva sia di rimandare ogni attività. La ricognizione dei prodotti, la chiarezza sulle responsabilità e l’esistenza di canali affidabili per gestire le segnalazioni sono lavori che richiedono tempo e possono cominciare subito.

 

Fonti

• Governo, convocazione del Consiglio dei ministri n. 191, 2 ottobre 2026: https://www.governo.it/it/articolo/convocazione-del-consiglio-dei-ministri-n-191/32726
• Senato, schema trasmesso il 9 ottobre 2026: https://www.senato.it/service/PDF/PDFServer/DF/450045.pdf
• Regolamento (UE) 2024/2847: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• Commissione europea, Cyber Resilience Act (CRA), sintesi e scadenze: https://digital-strategy.ec.europa.eu/en/policies/cra-summary

 

Nota di trasparenza. Questo articolo è stato predisposto con il supporto di strumenti di intelligenza artificiale generativa. La responsabilità editoriale dei contenuti è di iSimply.