CYBER RESILIENCE ACT («CRA»): DALL’11 SETTEMBRE 2026 OPERA L’OBBLIGO DI SEGNALAZIONE EX ART. 14

Qual è l’ambito di applicazione del CRA?

Prima di esaminare l’obbligo di segnalazione, appare utile richiamare sinteticamente l’ambito di applicazione oggettivo del Regolamento.

Ai sensi dell’articolo 2, paragrafo 1, il Cyber Resilience Act si applica ai prodotti con elementi digitali messi a disposizione sul mercato, la cui destinazione d’uso prevista o il cui utilizzo ragionevolmente prevedibile comprenda una connessione dati, logica o fisica, diretta o indiretta, a un dispositivo o a una rete.

Tre nozioni meritano di essere precisate.

Per «prodotto con elementi digitali» si intende, ai sensi dell’articolo 3, punto 1, qualsiasi prodotto hardware o software, unitamente alle relative soluzioni di elaborazione dati da remoto, ivi compresi i componenti software o hardware immessi sul mercato separatamente.

Per «messa a disposizione sul mercato» si intende la fornitura del prodotto, a titolo oneroso o gratuito, ai fini della distribuzione o dell’utilizzo sul mercato dell’Unione nel corso di un’attività commerciale: rileva, dunque, la natura commerciale dell’operazione, non la presenza di un corrispettivo.

La connessione dati rilevante, infine, può assumere qualsiasi forma — logica o fisica, diretta o indiretta — ed è sufficiente, a tal fine, anche un collegamento indiretto, quale un’interfaccia software idonea allo scambio di dati.

Restano in ogni caso fuori dall’ambito di applicazione, in quanto disciplinati da normativa settoriale ovvero espressamente esclusi (art. 2, parr. 2, 3, 4, 6 e 7):

— i dispositivi medici;

— i prodotti certificati in materia di aviazione civile;

— i veicoli a motore delle categorie M, N e O e i veicoli di categoria L;

— l’equipaggiamento marittimo;

— i pezzi di ricambio identici;

— il materiale sviluppato esclusivamente per finalità di difesa o di sicurezza nazionale.

Definito l’ambito oggettivo, occorre tratteggiare l’ambito di applicazione soggettivo del Regolamento, con particolare riferimento alla figura del «fabbricante», direttamente coinvolta dall’obbligo di segnalazione di cui all’articolo 14. È fabbricante, ai sensi dell’articolo 3, punto 13, chi sviluppa o fabbrica un prodotto con elementi digitali, ovvero chi fa progettare, sviluppare o fabbricare tale prodotto, e lo commercializza con il proprio nome o marchio, a titolo oneroso o gratuito. 

Sono altresì qualificati fabbricanti e, come tali, sono tenuti ad adempiere agli obblighi di segnalazione, ai sensi dell’articolo 21, gli importatori e i distributori che immettono sul mercato un prodotto con elementi digitali con il proprio nome o marchio commerciale o apportano una modifica sostanziale a un prodotto con elementi digitali già immesso sul mercato.

Ai sensi del Regolamento, «importatore» è l’operatore stabilito nell’Unione che immette sul mercato un prodotto recante il nome o il marchio di un soggetto stabilito al di fuori dell’Unione Europea (art. 3, punto 16); «distributore» è invece l’operatore della catena di fornitura, diverso dal fabbricante e dall’importatore, che si limita a mettere a disposizione sul mercato un prodotto già immesso (art. 3, punto 17).

La qualifica come fabbricante non presuppone pertanto che l’operatore abbia materialmente progettato o realizzato il prodotto.

Costituisce invece «modifica sostanziale» la modifica apportata al prodotto successivamente alla sua immissione sul mercato, che incide sulla conformità di tale prodotto ai requisiti essenziali di cybersicurezza, ovvero ne muta la destinazione d’uso rispetto a quella valutata originariamente: ne sono esempio l’attivazione di una funzione di connettività in origine non prevista o la personalizzazione del firmware che alteri il profilo di rischio del prodotto, mentre non vi rientrano, di regola, la manutenzione, la riparazione e gli aggiornamenti di sicurezza rilasciati dal fabbricante originario.

L’articolo 22 estende altresì la qualifica di fabbricante e l’obbligo di segnalazione anche a qualsiasi persona fisica o giuridica, diversa dal fabbricante, dall'importatore o dal distributore, che apporta una «modifica sostanziale» a un prodotto con elementi digitali e mette tale prodotto a disposizione sul mercato.

Gli obblighi in vigore dall’11 settembre e le relative sanzioni.

A decorrere dall’11 settembre, qualora il fabbricante — nei termini sovra individuati — venga a conoscenza del fatto che una vulnerabilità del proprio prodotto è attivamente sfruttata, ovvero che un incidente grave ne ha compromesso la sicurezza, l’articolo 14 impone la notifica simultanea a due destinatari — il CSIRT designato come coordinatore e l’ENISA (l’Agenzia dell'Unione europea per la cybersicurezza) — entro i seguenti termini:

— preallarme, entro 24 ore dal momento in cui è acquisita conoscenza dell’evento;

— notifica, entro 72 ore dal medesimo momento;

— relazione finale:

• entro 14 giorni dalla messa a disposizione della misura correttiva, qualora si tratti di vulnerabilità attivamente sfruttata; ovvero, 
• entro un mese dalla notifica delle 72 ore, qualora si tratti di incidente grave.

Accanto alla notifica alle autorità, il Regolamento pone un secondo obbligo, autonomo e contestuale: quello di informare gli utilizzatori interessati del prodotto e, ove ricorrano i presupposti, la generalità degli utilizzatori, indicando le misure correttive o di attenuazione adottabili (art. 14, par. 8). 

Tale obbligo informativo va applicato secondo un criterio di proporzionalità rispetto al rischio: la comunicazione può essere limitata agli utilizzatori interessati, tanto più quando il prodotto operi in contesti sensibili. Una volta reso disponibile l’aggiornamento correttivo, la divulgazione pubblica delle informazioni relative alla vulnerabilità sanata sarà invece richiesta ai sensi dell’Allegato I, parte II, punto 4, applicabile a decorrere dall’11 dicembre 2027.

La violazione degli obblighi di cui all’articolo 14 è sanzionata, nel massimo edittale, con una sanzione amministrativa pecuniaria fino a 15 milioni di euro, ovvero fino al 2,5% del fatturato mondiale annuo dell’esercizio precedente, se superiore (art. 64, par. 2).

Il momento della “conoscenza” dell’evento ai fini della decorrenza dei termini di notifica.

Come anticipato, i termini per la notifica decorrono dal momento in cui il fabbricante acquisisce conoscenza di un evento di sicurezza informatica qualificabile come “vulnerabilità attivamente sfruttata” o “incidente grave”. La valutazione preliminare deve pertanto essere effettuata tempestivamente e, a tal fine, è indispensabile che il fabbricante si doti di un’apposita procedura interna.

Da tale principio discendono due presupposti che il Regolamento non colloca formalmente nell’articolo 14, ma senza i quali la relativa disciplina risulta, nei fatti, inapplicabile.

Il primo presupposto consiste nella conoscenza di quanto distribuito. Un prodotto industriale incorpora tipicamente decine di componenti software di terzi, spesso in più versioni contemporaneamente in uso. Non è possibile, pertanto, notificare la vulnerabilità di una libreria della cui presenza non si abbia contezza: in assenza di una distinta dei componenti software costantemente aggiornata — la SBOM (Software Bill of Materials), il cui obbligo formale decorrerà dall’11 dicembre 2027 — il fabbricante corre il rischio di non aver prontamente contezza di tale vulnerabilità prima che la stessa venga attivamente sfruttata, con conseguente rischi di segnalazione tardiva e di irrogazione di sanzioni.

Il secondo presupposto attiene alla frequenza della sorveglianza. Un controllo settimanale dei bollettini di vulnerabilità risulta, per sua stessa natura, strutturalmente incompatibile con una finestra di ventiquattro ore. L’impresa è pertanto tenuta ad adottare misure di sicurezza, tecniche e organizzative, idonee a rendere costante il monitoraggio degli eventi di sicurezza.

Le imprese già dotate di una funzione strutturata di gestione delle vulnerabilità dovranno principalmente formalizzare i ruoli decisionali: chi qualifica l’evento, chi decide la notifica, chi la trasmette, con quali credenziali. Le imprese prive di tale funzione dovranno invece affrontare un percorso più articolato, comprensivo in ogni caso dell’adozione ed elaborazione di una procedura di gestione e segnalazione degli eventi significativi.

Cinque interpretazioni non corrette, di frequente riscontro.

Chi abbia già preso visione di contenuti divulgativi sul Cyber Resilience Act avrà probabilmente incontrato una delle seguenti cinque affermazioni. Si tratta, in ciascun caso, di affermazioni non corrette, dalle quali può derivare una decisione aziendale errata.

«Il Cyber Resilience Act entra in vigore l’11 settembre 2026.» Affermazione non corretta: il Regolamento è in vigore dal 10 dicembre 2024 e trova applicazione integrale dall’11 dicembre 2027. L’11 settembre 2026 trova applicazione il solo articolo 14.

«Riguarda esclusivamente i prodotti di nuova immissione sul mercato.» Affermazione non corretta: gli obblighi di segnalazione si applicano anche ai prodotti già immessi sul mercato prima dell’11 dicembre 2027, i quali non sono peraltro tenuti alla conformità ai requisiti dell’Allegato I — salva l’ipotesi in cui, successivamente a tale data, siano oggetto di una modifica sostanziale, che li ricomprende a pieno titolo nell’ambito applicativo. Gli obblighi di segnalazione e la conformità del prodotto costituiscono, dunque, piani distinti; i primi permangono anche dopo la cessazione del periodo di assistenza.

«Il software distribuito gratuitamente esula dall’ambito di applicazione.» Affermazione non corretta: la definizione di fabbricante ricomprende chi commercializza «a titolo oneroso, di monetizzazione o gratuito». Il criterio rilevante è la natura commerciale dell’attività, non la sussistenza di un corrispettivo.

«L’attività di mera distribuzione esclude l’applicabilità della normativa.» Non necessariamente: chi immette il prodotto con il proprio marchio, ovvero vi apporta una modifica sostanziale, è qualificato fabbricante ed è soggetto agli obblighi di cui agli articoli 13 e 14.

«L’applicazione delle norme tecniche di settore garantisce la conformità.» Non ancora: nessuna norma armonizzata del Regolamento risulta citata in Gazzetta ufficiale, con la conseguenza che la presunzione di conformità non è, allo stato, attivabile per tale via. L’adozione volontaria di uno standard tecnico resta utile sul piano sostanziale, ma non produce l’effetto giuridico della presunzione.

Il regime applicabile alle “macchine”: una duplice conformità.

I fabbricanti di macchine incluse nell’ambito di applicazione del «Nuovo Regolamento Macchine» — che riguarda le macchine industriali, ma anche quelle destinate all’uso domestico, agricolo, edile, ecc. — sono tenuti a un secondo adempimento, con una scadenza ravvicinata. Il Regolamento (UE) 2023/1230 si applica dal 20 gennaio 2027 e prevede due requisiti essenziali di sicurezza a contenuto cyber.

Il primo attiene alla protezione da alterazioni, accidentali o intenzionali, del software e dei dati critici per la sicurezza, unitamente alla capacità di raccogliere prova degli interventi effettuati sul software (Allegato III, punto 1.1.9).

Il secondo attiene alla resistenza dei sistemi di comando rispetto a tentativi deliberati di terzi, ragionevolmente prevedibili (punto 1.2.1).

Il rapporto tra i due regimi è chiarito dal considerando 53 del Cyber Resilience Act. Il fabbricante di una macchina che sia, al contempo, prodotto con elementi digitali è tenuto al rispetto di entrambi i corpi di requisiti e all’espletamento di entrambe le procedure di valutazione della conformità. Le sinergie tra i due percorsi sono ammesse ed espressamente riconosciute, ma devono essere dimostrate dal fabbricante.

In sintesi: duplice conformità e duplice valutazione, con un’eccezione rilevante. I certificati di esame UE del tipo e le decisioni di approvazione già rilasciati con riguardo ai requisiti di cybersicurezza, in forza di altra normativa di armonizzazione, restano validi fino all’11 giugno 2028: per i rischi ivi coperti, non sarà necessario ridimostrare la conformità ai fini del Cyber Resilience Act (art. 69, par. 1). Al di fuori di tale ipotesi, nessuno dei due percorsi sostiene automaticamente l’altro.

Le azioni raccomandate nell’immediato.

In vista della scadenza dell’11 settembre, fra gli altri adempimenti, si raccomanda, in particolare, di:

• accertare se l’impresa rivesta la qualifica di fabbricante e per quali prodotti; 
• individuare lo Stato membro dello stabilimento principale, da cui dipende il CSIRT competente (art. 14, par. 7); 
• designare per iscritto i soggetti incaricati di qualificare l’evento, decidere la notifica e trasmetterla, con i rispettivi sostituti; 
• registrare le utenze per l’accesso alla piattaforma unica di segnalazione prevista dall’articolo 16 (allo stato, tale piattaforma non risulta ancora operativa); 
• predisporre i modelli delle tre comunicazioni e il canale attraverso cui informare gli utilizzatori; 
• verificare, infine, che il monitoraggio delle vulnerabilità sui componenti di terze parti abbia una frequenza compatibile con il termine di ventiquattro ore.