Regolamento (UE) 2024/2847 - CRA
Compliance
Cyber Resilience Act
Un percorso giuridico, organizzativo e documentale per immettere nel mercato UE prodotti con elementi digitali conformi e governare il rischio lungo il loro ciclo di vita.
da rispettare con i relativi obblighi
segnalazioni di vulnerabilità e incidenti
applicazione generale
del regolamento cra
Il CRA cambia le regole del prodotto con elementi digitali
Dal prodotto alla governance
La cybersecurity del software e dell'hardware non è più soltanto una questione tecnica: richiede decisioni, responsabilità e controlli che il fabbricante deve poter dimostrare.
Sicurezza
predefinita
I requisiti essenziali riguardano progettazione, sviluppo e produzione, oltre alla gestione delle vulnerabilità per il periodo in cui il prodotto è destinato a restare in uso.
Una filiera responsabile
Fabbricanti, importatori, distributori e, nei casi previsti, altri soggetti, assumono compiti distinti. Ruoli contrattuali e attività svolte devono essere coerenti con il regolamento.
Evidenze
verificabili
Classificazione, analisi del rischio, documentazione tecnica, gestione degli aggiornamenti diventano elementi centrali di una conformità sostenibile e difendibile.
A chi si applica e chi deve agire
Il CRA si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell'Unione, quando la destinazione d'uso o l'uso ragionevolmente prevedibile comprende una connessione dati diretta o indiretta, logica o fisica, con un dispositivo o una rete.
Il perimetro può comprendere software, firmware, componenti distribuiti separatamente, dispositivi IoT, applicazioni e determinate soluzioni di elaborazione remota collegate al prodotto. La verifica va condotta sul funzionamento concreto e sull'architettura della soluzione.
La disciplina interessa anche operatori stabiliti fuori dall'Unione quando vogliono accedere al mercato europeo. Alcune categorie restano soggette a discipline settoriali specifiche; l'esclusione, tuttavia, va verificata e documentata caso per caso.
Un importatore o un distributore che immette il prodotto con il proprio nome o marchio, o lo modifica sostanzialmente, può assumere gli obblighi del fabbricante. Per i gestori di software open source è previsto un regime dedicato.
Le aziende interessate
- Sviluppatori e produttori di software, firmware e dispositivi connessi
- Imprese che fanno sviluppare e commercializzano con il proprio marchio
- Produttori di componenti e soluzioni integrate in altri prodotti
- Importatori di prodotti digitali da paesi terzi
- Distributori che mettono i prodotti a disposizione sul mercato UE
- Fornitori coinvolti in sviluppo, aggiornamenti, manutenzione e gestione vulnerabilità
- Imprese con prodotti legacy o cicli di supporto da rivedere
- Programmatori che vendono i propri software o solo librerie
- Software house che lavorano per conto terzi
Dal perimetro cra alla marcatura CE
Il percorso parte dall'identificazione del prodotto, delle connessioni e degli operatori coinvolti. Seguono classificazione, valutazione dei rischi di cybersecurity, definizione delle misure e costruzione del fascicolo tecnico, incluso il SBOM (Software Bill of Materials) quando necessario.
La valutazione di conformità varia in relazione alla categoria del prodotto. Per prodotti importanti o critici possono essere richiesti percorsi specifici e, nei casi previsti, l'intervento di un organismo notificato.
La dichiarazione di conformità e la marcatura CE attestano la conformità ai requisiti applicabili. La marcatura deve essere apposta prima dell'immissione sul mercato; si tratta di rispettare precise indicazioni normative frutto di una puntuale controllo di conformità.
La marcatura CE, infatti, non è un adempimento isolato: presuppone un sistema capace di conservare evidenze, aggiornare le valutazioni e gestire vulnerabilità e incidenti nel tempo.
Il percorso di compliance:
l'avvocato collabora con il tecnico
- Mappatura dei prodotti, delle connessioni e delle esclusioni applicabili
- Qualificazione giuridica di fabbricante, importatore, distributore e altri operatori
- Classificazione del prodotto e definizione dell'iter di conformità
- Risk assessment cyber e verifica dei requisiti dell'Allegato I
- Fascicolo tecnico, dichiarazione UE di conformità e presidio della marcatura CE
- Contrattualistica per gestire la catena di fornitura con clausole di tutela adeguate al rischio
- Politiche di supporto, aggiornamento e disclosure delle vulnerabilità
- Procedure di incident response e segnalazione con tempistiche definite dalla normativa
- Collaborazione tra avvocato e tecnico per una sinergia efficace per solide soluzioni anche innovative
monitoraggio e supporto nel tempo
Gestione continuativa
Il fabbricante deve prevedere processi di gestione delle vulnerabilità e un periodo di supporto adeguato alla natura e alla funzione del prodotto. Le scelte devono essere motivate e mantenute coerenti con l'evoluzione del prodotto e del rischio.
Notifica tempestiva
Dall'11 settembre 2026 si applicano gli obblighi di segnalazione relativi alle vulnerabilità attivamente sfruttate che incidono sulla sicurezza dei prodotti con elementi digitali. Servono ruoli, procedure e canali di escalation pronti prima dell'evento.
fascicolo tecnico
Un fascicolo tecnico solido non è una raccolta statica di documenti: rende intelligibile il ragionamento di conformità, sostiene l'accountability aziendale e permette di affrontare le richieste delle autorità e le contestazioni sulla compliance del prodotto.
ai Rischi e sanzioni,
una compliance gestita per tempo
Le autorità di vigilanza possono verificare la conformità, chiedere documentazione e adottare misure correttive. In presenza di non conformità possono essere imposti divieti o limitazioni alla messa a disposizione sul mercato, nonché ritiro o richiamo del prodotto.
Per le violazioni dei requisiti essenziali, il regolamento prevede sanzioni amministrative pecuniarie fino a 15 milioni di euro o, se superiore, fino al 2,5% del fatturato mondiale annuo dell'esercizio precedente. Altre sanzioni si applicano a specifiche violazioni degli obblighi sulla comunicazione di informazioni inesatte, incomplete o fuorvianti.
La conformità al CRA non equivale a una garanzia di assenza assoluta di vulnerabilità, di per sé impossibile. Il punto centrale è dimostrare che il prodotto soddisfa i requisiti di sicurezza previsti e che esiste una gestione effettiva delle vulnerabilità per il periodo di supporto.
Per questo la compliance CRA va impostata per tempo come un sistema di governance sotto la responsabilità della direzione aziendale per una strategia di compliance in cui decisioni tecniche e giuridiche, responsabilità interne, filiera, evidenze e miglioramento continuo, devono essere pensati come un unico percorso.
Richiedi una valutazione preliminare CRA
Pagina informativa sul Regolamento (UE) 2024/2847 - Cyber Resilience Act. I contenuti hanno finalità divulgative e non costituiscono parere legale.