Cos'è il Cyber Resilience Act e perché riguarda anche le piccole imprese

Il Cyber Resilience Act (CRA) è il regolamento europeo che introduce requisiti obbligatori di sicurezza informatica per tutti i prodotti con elementi digitali destinati al mercato UE: software, hardware, dispositivi IoT, macchinari connessi. La caratteristica che sorprende molte PMI è che il regolamento non distingue tra grandi gruppi industriali e piccole imprese: ciò che conta è il ruolo svolto nella catena di fornitura. Se un'azienda sviluppa, produce, importa o distribuisce prodotti con elementi digitali venduti in Europa, deve rispettare gli obblighi previsti, indipendentemente dalle proprie dimensioni.

Questo significa che anche una software house che vende un gestionale, un system integrator che assembla soluzioni IoT per l'automazione di magazzino, o un distributore che importa sensori connessi da fornitori extra-UE, rientrano nel perimetro del CRA. La sicurezza informatica diventa così, di fatto, un requisito commerciale B2B: senza conformità non si può apporre la marcatura CE, e senza marcatura CE il prodotto non può essere immesso sul mercato europeo.

Le scadenze da tenere a mente

Il CRA procede per tappe. La prima, quella che scatta il prossimo 11 settembre 2026, riguarda l'obbligo di segnalazione: i produttori dovranno comunicare le vulnerabilità attivamente sfruttate e gli incidenti gravi che interessano i loro prodotti. I tempi sono stretti:

• una prima segnalazione entro 24 ore da quando si viene a conoscenza del problema;
• una notifica più completa entro 72 ore;
• per una vulnerabilità attivamente sfruttata, il rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva;
• per un incidente grave, un rapporto finale entro un mese dalla notifica delle 72 ore.

Le comunicazioni passeranno attraverso la Single Reporting Platform gestita da ENISA, indirizzate al CSIRT nazionale designato come coordinatore. La seconda tappa, ben più ampia, è fissata all'11 dicembre 2027: da quella data diventerà pienamente applicabile l'insieme dei requisiti di sicurezza by design, gestione delle vulnerabilità e conformità documentale previsti dal regolamento.

Chi deve muoversi, e su cosa

Gli obblighi si differenziano a seconda del ruolo nella filiera:

• Produttori e sviluppatori software: devono progettare i prodotti secondo criteri di sicurezza fin dalla fase di sviluppo (security by design), gestire un processo strutturato di individuazione e correzione delle vulnerabilità, e predisporre i canali per la segnalazione entro i termini indicati.
• Importatori: chi immette sul mercato UE prodotti fabbricati in paesi terzi deve verificare che siano conformi al CRA prima di distribuirli, controllando che la documentazione tecnica e la marcatura CE siano corrette.
• Distributori: devono accertarsi che il prodotto rechi la marcatura CE e sia accompagnato dalla documentazione richiesta prima di renderlo disponibile sul mercato, e ritirarlo in caso di non conformità accertata.
• Le PMI che acquistano e integrano tecnologia, pur non essendo direttamente soggette a tutti gli obblighi, si trovano comunque coinvolte: un fornitore non conforme espone l'azienda cliente a rischi contrattuali e di continuità, ed è destinato a diventare un criterio di selezione nelle gare e nei capitolati.

Cosa cambia in pratica per chi sviluppa o integra soluzioni IoT

Per le PMI italiane attive nello sviluppo software o nell'integrazione di dispositivi connessi (sensori, gateway, sistemi di controllo per l'Industria 4.0), il CRA si traduce in adempimenti molto concreti: mantenere un inventario aggiornato dei componenti software utilizzati (una sorta di distinta base digitale, la Software Bill of Materials), pianificare il rilascio di patch di sicurezza per un periodo di supporto definito, predisporre un punto di contatto e una procedura interna per ricevere e gestire le segnalazioni di vulnerabilità, e conservare la documentazione tecnica necessaria a dimostrare la conformità in caso di controllo.

Chi non si adegua rischia sanzioni severe: fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo per le violazioni più gravi, fino a 10 milioni di euro o al 2% del fatturato per quelle minori. Numeri pensati per i grandi gruppi, ma applicabili senza sconti anche alle imprese più piccole.

Da dove iniziare, in concreto

Con la prima scadenza ormai a ridosso, le PMI che sviluppano software o commercializzano dispositivi connessi dovrebbero:

• mappare quali prodotti e servizi aziendali rientrano nella definizione di prodotto con elementi digitali;
• verificare il proprio ruolo nella filiera (produttore, importatore, distributore) e i relativi obblighi;
• predisporre un canale interno di raccolta delle segnalazioni di vulnerabilità, con procedure e responsabili chiari;
• avviare un dialogo con i fornitori IT e i partner tecnologici per verificarne lo stato di conformità.

Il Cyber Resilience Act si aggiunge a un quadro normativo europeo già impegnativo, tra NIS2 e AI Act, che sta ridisegnando gli obblighi di sicurezza digitale per le imprese di ogni dimensione. Muoversi con anticipo, invece di rincorrere le scadenze, permette di trasformare la conformità in un vantaggio competitivo verso clienti e partner. Se la tua azienda sviluppa software, integra soluzioni IoT o si interroga su come impostare correttamente i processi di gestione delle vulnerabilità, un partner IT specializzato può aiutarti a valutare la tua situazione e a costruire un piano di adeguamento su misura.