Cyber Resilience Act: dall'11 settembre 2026 obbligo di segnalazione e conservazione documentale per 10 anni
Dall'11 settembre 2026 scattano i primi obblighi di segnalazione del Cyber Resilience Act: ecco cosa devono documentare, notificare e conservare le aziende italiane che producono o integrano prodotti con elementi digitali.
Il Cyber Resilience Act non riguarda solo i big del software
Il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act (CRA), e entrato in vigore l'11 dicembre 2024, ma la sua applicazione e scaglionata su piu anni. Il primo blocco di obblighi concreti scatta l'11 settembre 2026: da quella data i fabbricanti di "prodotti con elementi digitali" immessi sul mercato dell'Unione Europea devono notificare alle autorita competenti le vulnerabilita attivamente sfruttate e gli incidenti gravi che li riguardano. Il termine "prodotti con elementi digitali" e volutamente ampio: include software stand alone, dispositivi IoT, firmware, componenti embedded e qualsiasi prodotto hardware o software che si connette, direttamente o indirettamente, a un altro dispositivo o a una rete. Questo significa che il CRA non riguarda solo le grandi aziende tecnologiche, ma anche PMI manifatturiere italiane che integrano sensori connessi nelle proprie linee di produzione, sviluppatori di software gestionale, produttori di dispositivi medicali connessi e integratori di sistemi industriali.
La scadenza dell'11 settembre 2026: cosa cambia davvero
A partire da questa data, l'articolo 14 del regolamento impone tempistiche precise per la gestione delle vulnerabilita e degli incidenti. Il fabbricante che viene a conoscenza di una vulnerabilita attivamente sfruttata deve inviare una pre allerta entro 24 ore dalla scoperta, seguita da una notifica piu dettagliata entro 72 ore. Il rapporto finale va trasmesso entro 14 giorni dalla disponibilita di una misura correttiva o di mitigazione. Per gli incidenti gravi che compromettono la sicurezza del prodotto, il termine per il rapporto finale e di un mese dalla notifica delle 72 ore. Le comunicazioni transitano attraverso la Single Reporting Platform gestita da ENISA e, a livello nazionale, coinvolgono il CSIRT italiano e l'Agenzia per la Cybersicurezza Nazionale (ACN), che il regolamento identifica come autorita di notifica e di vigilanza del mercato per l'Italia.
Per un'azienda che non ha mai gestito una procedura di questo tipo, il punto critico non e tanto la tecnologia quanto l'organizzazione interna: bisogna sapere chi rileva la vulnerabilita, chi la valuta, chi prepara la notifica e chi la invia entro finestre temporali molto strette. Senza un processo documentato e testato, il rischio concreto e di mancare le scadenze anche quando la vulnerabilita viene individuata in tempo utile.
Documentazione tecnica e SBOM: cosa conservare e per quanto tempo
Il CRA impone anche un obbligo di archiviazione che riguarda direttamente la gestione documentale. La documentazione tecnica prevista dall'Allegato VII, insieme alla dichiarazione di conformita UE, deve essere conservata per almeno 10 anni dall'immissione sul mercato del prodotto, oppure per l'intero periodo di supporto previsto per il prodotto, se piu lungo. Tra i documenti da mantenere rientra la SBOM (Software Bill of Materials), l'inventario dei componenti software utilizzati nel prodotto, comprese le librerie di terze parti e i componenti open source. La SBOM fa parte della documentazione tecnica e deve essere resa disponibile alle autorita su richiesta; il fabbricante puo inoltre scegliere di condividerla con clienti e partner secondo le proprie politiche commerciali e gli altri obblighi contrattuali applicabili.
Vanno conservati anche i verbali di valutazione del rischio, i registri delle vulnerabilita gestite, la documentazione dei test di sicurezza, le istruzioni per l'utente relative agli aggiornamenti e alle patch di sicurezza, e le prove delle notifiche inviate alle autorita entro le tempistiche previste. Si tratta di un archivio articolato, che deve restare consultabile e integro per un decennio, anche a fronte di cambi di fornitori IT, migrazioni di sistema o riorganizzazioni aziendali.
Le sanzioni previste dal regolamento
| Tipo di violazione | Sanzione massima |
|---|---|
| Mancato rispetto dei requisiti essenziali di cibersicurezza (Allegato I) | 15 milioni di euro o 2,5% del fatturato mondiale annuo, se superiore |
| Violazione di altri obblighi previsti dal regolamento | 10 milioni di euro o 2% del fatturato mondiale annuo, se superiore |
| Informazioni scorrette, incomplete o fuorvianti fornite alle autorita | 5 milioni di euro o 1% del fatturato mondiale annuo, se superiore |
Le autorita di vigilanza dei singoli Stati membri, in Italia l'ACN, sono competenti a irrogare le sanzioni e a effettuare i controlli di mercato, con poteri che includono la richiesta della documentazione tecnica e la verifica del rispetto delle procedure di notifica.
Il percorso fino alla piena applicazione del 2027
La scadenza dell'11 settembre 2026 non esaurisce gli obblighi del CRA, ma ne rappresenta l'apertura pratica. Dall'11 dicembre 2027 entrera in vigore la piena applicazione del regolamento: da quella data nessun prodotto con elementi digitali potra essere immesso sul mercato europeo senza marcatura CE e senza una documentazione tecnica completa che dimostri la conformita ai requisiti essenziali dell'Allegato I. Le aziende che iniziano ora a strutturare i propri archivi di documentazione tecnica, i registri delle vulnerabilita e le procedure di notifica avranno un vantaggio concreto quando la conformita piena diventera obbligatoria, evitando di dover ricostruire in fretta anni di documentazione mancante.
Come impostare l'archiviazione della documentazione CRA
Per le aziende italiane coinvolte, alcuni passi pratici aiutano a prepararsi in tempo:
- mappare tutti i prodotti con elementi digitali immessi sul mercato o in fase di sviluppo, distinguendo quelli soggetti agli obblighi del CRA da quelli esclusi;
- predisporre e mantenere aggiornata la SBOM per ogni prodotto software o con componenti software, includendo le dipendenze di terze parti;
- definire una procedura interna scritta per la gestione delle vulnerabilita, con ruoli e responsabilita chiari per rispettare le finestre di 24, 72 ore e 14 giorni;
- impostare un sistema di conservazione documentale che garantisca l'integrita e la reperibilita della documentazione tecnica per almeno 10 anni, con tracciabilita delle modifiche e degli accessi;
- coordinarsi con il proprio CSIRT di riferimento e verificare le modalita di accesso alla Single Reporting Platform di ENISA prima che le scadenze diventino operative.
Il Cyber Resilience Act si aggiunge a un quadro normativo europeo sulla sicurezza digitale gia denso, che comprende anche la Direttiva NIS2 e il Regolamento eIDAS 2.0, ma si distingue per il suo oggetto: non riguarda le organizzazioni in quanto tali, bensi i prodotti che immettono sul mercato. Per le aziende manifatturiere e i produttori di software italiani, significa che la conformita al CRA va gestita come un processo documentale continuo, prodotto per prodotto, e non come un adempimento una tantum.
