La sicurezza informatica non è più soltanto una questione tecnica ma è diventata un requisito normativo. Con il Cyber Resilience Act (CRA - Legge sulla cyberresilienza), l'Unione Europea introduce un nuovo quadro legislativo destinato a cambiare il modo in cui vengono progettati, sviluppati, venduti e mantenuti tutti i prodotti con elementi digitali.
Se sei tra gli imprenditori che pensano che la normativa riguardi soltanto i produttori di software, devi sapere che in realtà l'impatto è molto più ampio e coinvolge produttori, importatori, distributori e, indirettamente, tutte le aziende che acquistano e utilizzano tecnologie digitali.
Vediamo cosa prevede la legge, quali sono le prossime scadenze e come prepararsi (e alla fine dell'articolo, una sezione FAQ di sintesi).
Cos'è il Cyber Resilience Act
Il Cyber Resilience Act è il Regolamento europeo che introduce requisiti obbligatori di cybersecurity per tutti i prodotti con componenti digitali, sia hardware che software.
L'obiettivo è semplice: immettere sul mercato europeo prodotti progettati secondo il principio della security by design e mantenerli sicuri durante tutto il loro ciclo di vita.
Rientrano nella normativa, ad esempio:
- software gestionali;
- applicazioni cloud;
- dispositivi IoT;
- router;
- firewall;
- telecamere IP;
- NAS;
- smart device;
- apparecchiature industriali connesse.
Il regolamento è già entrato ufficialmente in vigore il 10 dicembre 2024, ma la sua applicazione è progressiva e prevede diverse tappe, che puoi vedere anche qui.
Il Cyber Resilience Act è già obbligatorio?
La risposta è “sì e no”, perché il regolamento è già in vigore, ma la maggior parte degli obblighi entrerà in applicazione l'11 dicembre 2027. Nel frattempo, però, il percorso di implementazione è già iniziato.
Le principali date sono:
- 10 dicembre 2024 → entrata in vigore del regolamento;
- 11 giugno 2026 → iniziano ad applicarsi le disposizioni relative agli organismi di valutazione della conformità;
- 11 settembre 2026 → diventano obbligatori gli obblighi di segnalazione delle vulnerabilità e degli incidenti gravi;
- 11 dicembre 2027 → piena applicazione di tutti i requisiti del Cyber Resilience Act.
Quindi il 2026 rappresenta un anno fondamentale: le aziende che sviluppano o commercializzano prodotti digitali non possono più aspettare.
Cyber Resilience Act: la novità più importante del 2026
Dal 11 settembre 2026 i produttori dovranno notificare alle autorità europee:
- vulnerabilità sfruttate attivamente;
- incidenti di sicurezza gravi che coinvolgono i propri prodotti.
Inoltre, la normativa introduce tempistiche molto stringenti (che trovi qui). In particolare:
- prima segnalazione entro 24 ore dalla scoperta;
- notifica completa entro 72 ore;
- relazione finale dopo la disponibilità della correzione o, nel caso degli incidenti, entro un mese.
Questo significa che non basta più sviluppare software sicuro, ma che sarà necessario organizzare un vero processo di gestione delle vulnerabilità.
Chi è interessato dal Cyber Resilience Act?
La normativa riguarda principalmente:
- produttori di software;
- produttori hardware;
- sviluppatori di dispositivi IoT;
- aziende che realizzano applicazioni SaaS;
- produttori di sistemi industriali;
- importatori;
- distributori.
Anche chi non sviluppa direttamente software potrebbe subirne gli effetti. Ad esempio, un'impresa manifatturiera che acquista macchinari intelligenti potrà pretendere dal fornitore aggiornamenti di sicurezza, documentazione tecnica, gestione delle vulnerabilità, conformità europea.
In altre parole, il Cyber Resilience Act renderà la cybersecurity un requisito commerciale oltre che tecnico.
Cosa cambia per gli imprenditori
Anche se la tua azienda non produce software, è probabile che venga coinvolta. Sempre più clienti inizieranno infatti a chiedere:
- garanzie sulla sicurezza dei prodotti;
- procedure di gestione delle vulnerabilità;
- aggiornamenti garantiti;
- documentazione tecnica;
- politiche di patch management.
Le imprese che saranno già organizzate avranno un vantaggio competitivo nelle gare, negli appalti e nelle forniture B2B.
Cyber Resilience Act: come prepararsi fin da oggi
Il modo migliore per affrontare il Cyber Resilience Act è iniziare con largo anticipo. Ecco 5 indicazioni fondamentali da cui partire.
1. Mappare tutti i prodotti digitali
Occorre individuare:
- software sviluppati internamente;
- firmware;
- applicazioni cloud;
- dispositivi connessi;
- componenti open source utilizzati.
Molte aziende scoprono solo in questa fase quanto sia complesso il proprio ecosistema digitale.
2. Gestire le vulnerabilità
Il CRA richiede un processo strutturato, il che significa:
- monitorare le vulnerabilità;
- valutarne il rischio;
- correggerle rapidamente;
- documentare ogni attività.
Non è più sufficiente aggiornare il software "quando c'è tempo".
3. Definire una politica di aggiornamenti
Gli aggiornamenti di sicurezza diventano parte integrante del prodotto. L'azienda dovrà dimostrare di essere in grado di:
- rilasciare patch;
- distribuire aggiornamenti;
- informare i clienti;
- mantenere il prodotto sicuro per il periodo previsto.
4. Organizzare la risposta agli incidenti
Dal settembre 2026 alcune aziende avranno obblighi precisi di segnalazione.
Senza una procedura documentata diventa difficile rispettare le finestre temporali previste dalla normativa. Serve quindi predisporre:
- piano di Incident Response;
- responsabilità interne;
- procedure di escalation;
- raccolta dei log;
- flussi di comunicazione.
5. Coinvolgere anche fornitori e partner
La sicurezza della supply chain è uno dei punti centrali del regolamento. Conviene iniziare a verificare:
- quali fornitori sviluppano software;
- chi gestisce servizi cloud;
- quali componenti di terze parti vengono utilizzati;
- come vengono distribuiti gli aggiornamenti.
Il Cyber Resilience Act, quindi, riguarda anche le PMI?
Assolutamente sì. Anche se molti obblighi ricadono sui produttori, le piccole e medie imprese saranno coinvolte in due modi:
- da un lato perché potrebbero sviluppare prodotti rientranti nel regolamento;
- dall'altro perché clienti e partner inizieranno a pretendere garanzie sempre maggiori sulla sicurezza informatica.
Essere preparati diventerà quindi un elemento distintivo anche dal punto di vista commerciale.
Domande frequenti (FAQ) per una sintesi
Il Cyber Resilience Act riguarda anche le PMI?
Sì. Il regolamento non distingue tra grandi aziende e PMI: ciò che conta è il ruolo svolto nella catena di fornitura. Se un'impresa sviluppa, produce, importa o distribuisce prodotti con elementi digitali destinati al mercato europeo, deve rispettare i requisiti previsti.
Il CRA riguarda anche chi utilizza software ma non lo sviluppa?
In modo indiretto sì. Le aziende utilizzatrici non sono normalmente destinatarie degli obblighi principali del regolamento, ma beneficeranno di prodotti più sicuri e potranno richiedere ai fornitori evidenze di conformità, aggiornamenti di sicurezza e una gestione strutturata delle vulnerabilità.
Quali prodotti rientrano nel Cyber Resilience Act?
Rientrano tutti i prodotti con elementi digitali immessi sul mercato europeo, come software, applicazioni, dispositivi IoT, apparecchiature di rete, sistemi industriali connessi, firewall, router, telecamere IP, NAS e molti altri dispositivi intelligenti.
Quando entra realmente in vigore il Cyber Resilience Act?
Il regolamento è entrato in vigore il 10 dicembre 2024. Dal 11 settembre 2026 diventano applicabili gli obblighi relativi alla segnalazione delle vulnerabilità sfruttate e degli incidenti gravi, mentre la maggior parte degli altri obblighi si applicherà dall'11 dicembre 2027.
Quali sono le sanzioni previste?
Il regolamento prevede sanzioni amministrative significative, che possono arrivare fino a 15 milioni di euro oppure al 2,5% del fatturato annuo mondiale, a seconda della violazione e di quale importo sia maggiore. Oltre alle sanzioni economiche, le autorità possono imporre restrizioni alla commercializzazione dei prodotti non conformi.
Conviene iniziare subito l'adeguamento?
Sì. Adeguarsi richiede tempo perché coinvolge processi aziendali, sviluppo software, gestione delle vulnerabilità, documentazione tecnica e organizzazione interna. Anticipare le attività permette di distribuire i costi, ridurre il rischio di non conformità e presentarsi ai clienti con un livello di maturità superiore rispetto ai concorrenti.
Conclusioni per la tua impresa
Il Cyber Resilience Act non è una legge "del futuro", ma è già entrato in vigore e il calendario di applicazione è iniziato.
Le prime scadenze operative del 2026, in particolare quelle relative alla segnalazione delle vulnerabilità e degli incidenti, rappresentano un passaggio decisivo verso la piena applicazione del regolamento nel dicembre 2027.
Per gli imprenditori questo è il momento giusto per verificare i propri processi, valutare i rischi e pianificare gli interventi necessari.
Arrivare preparati significa ridurre i costi di adeguamento, aumentare la fiducia dei clienti e rafforzare la competitività dell'azienda in un mercato sempre più attento alla sicurezza informatica.
Cyber sicurezza aziendale: la tua sicurezza inizia da qui
Secondo il Rapporto Clusit 2026 (Associazione Italiana per la Sicurezza Informatica), nel 2025 l'Italia ha registrato 507 incidenti informatici gravi, pari al 9,6% degli attacchi rilevati a livello mondiale, con un aumento del 42% rispetto all'anno precedente.
Ti stai chiedendo come fare per proteggere la tua impresa? Potresti rivolgerti alla Camera di commercio del tuo territorio.
Se sei alle prime armi in tema di cybersecurity, a disposizione della tua impresa ci sono consulenze e servizi per aiutarti ad imboccare la strada corretta attraverso i Punti Impresa Digitali che mettono a tua disposizione soluzioni che vanno dalla formazione al mentoring. E proprio in tema sicurezza, puoi chiedere aiuto al PID col servizio Cyber Check.
Vuoi saperne di più sul PID e sul servizio Cyber Check?
Scopri come digitalizzare la tua PMI e renderla sicura dal punto di vista informatico.
Cerchi un’analisi approfondita sul rischio della tua esposizione agli attacchi informatici?
Valuta quanto può essere rischiosa la tua presenza sul web e se sei vulnerabile agli attacchi informatici.