← Indietro

KNOWLEDGE HUB

Il Cyber Resilience Act (CRA) dell'UE

La prima legge orizzontale UE che impone la sicurezza fin dalla progettazione per i prodotti con elementi digitali — con una scadenza chiave dietro l'angolo: l'11 settembre 2026.

Cos'è

Il Cyber Resilience Act (Regolamento (UE) 2024/2847) è il primo regolamento UE orizzontale che impone requisiti obbligatori di cybersicurezza ai 'prodotti con elementi digitali' — praticamente qualsiasi hardware o software che si connette a una rete, da un PLC industriale a una libreria open source distribuita commercialmente.

È entrato in vigore il 10 dicembre 2024. Non conta dove viene fabbricato il prodotto: ciò che attiva l'obbligo è immetterlo sul mercato UE, indipendentemente da dove ha sede il produttore.

Perché è importante (e perché ora)

A differenza di 62443 (volontario) o CIP (settoriale), il CRA è legge direttamente applicabile nei 27 paesi UE, con sanzioni reali. E c'è una data che chiunque produca o integri prodotti industriali destinati all'UE dovrebbe segnare: l'11 settembre 2026, quando entrano in vigore gli obblighi di segnalare vulnerabilità sfruttate attivamente e incidenti gravi a ENISA e al CSIRT nazionale competente — con 24 ore per l'allerta precoce, 72 ore per il rapporto di triage e 14 giorni per il rapporto finale.

Per il mondo OT/ICS questo è direttamente rilevante: un PLC, un HMI o uno switch industriale venduto nell'UE è, senza ambiguità, un 'prodotto con elementi digitali'.

Come è strutturato

• Obblighi lungo tutto il ciclo di vita: sicurezza fin dalla progettazione, gestione continua delle vulnerabilità e un periodo di supporto dichiarato (con documentazione minima di 10 anni).
• Segnalazione degli incidenti (Articolo 14): vulnerabilità sfruttate attivamente e incidenti gravi, segnalati a ENISA tramite la sua piattaforma unica di segnalazione — si applica dall'11 settembre 2026, anche ai prodotti già sul mercato.
• Valutazione di conformità e marcatura CE: i prodotti a maggiore criticità richiedono una valutazione da parte di un organismo notificato prima della vendita.
• Piena applicazione: 11 dicembre 2027 — scadenza per avere valutazioni di conformità, dichiarazione di conformità UE e documentazione tecnica complete.

Buone pratiche

• Non aspettare il 2027: l'obbligo di segnalazione delle vulnerabilità si applica già da settembre 2026, anche per i prodotti esistenti ('legacy'), salvo che vengano ritirati dal mercato prima di quella data.
• Sfrutta ciò che già sai su 62443 — gli standard armonizzati del CRA (previsti per il terzo trimestre 2026, tramite CEN/CENELEC/ETSI) dovrebbero appoggiarsi molto su IEC 62443-4-1 e 4-2 per la presunzione di conformità. Chi lavora già con 62443 non parte da zero.
• Costruisci già ora il processo di monitoraggio delle vulnerabilità e un inventario in stile SBOM — è la base sia per la segnalazione degli incidenti del 2026 sia per la piena conformità del 2027.

Errori comuni

• Pensare che il CRA 'non mi riguardi' perché l'azienda non ha sede nell'UE — ciò che conta è vendere lì, non dove si trova la fabbrica.
• Trattare il 2027 come l'unica data rilevante, ignorando che la segnalazione degli incidenti è già obbligatoria dal 2026.
• Presumere che un prodotto già sul mercato resti esente per sempre — una modifica sostanziale dopo dicembre 2027 può riattivare l'obbligo di conformità.