Cyber Resilience Act: se vendete software o prodotti connessi

Cosa chiede il regolamento

Il regolamento europeo 2024/2847 riguarda i prodotti con elementi digitali: programmi da installare, app, firmware, dispositivi connessi. Il fabbricante è chi li vende con il proprio nome, anche se li ha fatti sviluppare da altri.

Dall'11 settembre 2026 il fabbricante deve segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi, sulla piattaforma unica gestita dall'ENISA: un primo avviso entro 24 ore, la notifica entro 72, il rapporto finale dopo. Il regolamento vale così com'è in tutta l'Unione, Italia compresa.

Dall'11 dicembre 2027 arrivano gli altri obblighi: sicurezza già nella progettazione, gestione delle vulnerabilità per tutta la vita del prodotto, marcatura CE. Le sanzioni arrivano a 15 milioni di euro o al 2,5% del fatturato mondiale. La Commissione ha pubblicato le linee guida il 27 luglio 2026.

Cosa serve in pratica

Per segnalare in 24 ore bisogna sapere di avere il problema. Quindi prima di tutto servono:

• l'elenco dei componenti di ogni versione venduta (la SBOM), generato a ogni rilascio;
• un indirizzo pubblico per chi trova una falla, e qualcuno che lo legge;
• un controllo automatico delle vulnerabilità note su quei componenti;
• un modo sicuro di far arrivare le correzioni ai clienti, separato dagli aggiornamenti con le funzioni nuove;
• una procedura scritta: chi decide, chi segnala, con quali accessi alla piattaforma.

Cosa faccio

Lavoro sul codice e sul modo di rilasciarlo. Metto nel rilascio la generazione dell'elenco dei componenti e il controllo delle vulnerabilità con strumenti come composer audit e npm audit, ripulisco le librerie abbandonate e sistemo il canale degli aggiornamenti, anche per le app desktop. Se il programma è vecchio e nessuno sa cosa contiene, parto dall'inventario.

La procedura la scrivo con voi, partendo da chi risponde davvero al telefono il sabato.

Cosa non è compreso

Valutazione di conformità, marcatura CE e fascicolo tecnico finale richiedono un consulente, e per alcune categorie di prodotti un organismo notificato. Io preparo la parte di codice e di processo su cui si appoggiano. Questa pagina riassume norme lette il 30 ottobre 2026 e non è un parere legale.

Se l'azienda è in Svizzera, vedete Cyber Resilience Act per chi esporta dalla Svizzera.

Domande frequenti

Il nostro è un SaaS: rientra?

Di solito il software usato solo nel browser, senza niente da installare, sta fuori e ricade piuttosto sotto la NIS2. Il confine cambia se c'è un'app da scaricare, un agente installato dal cliente o un dispositivo che senza il vostro server non funziona: quella parte rientra, e il servizio remoto può rientrare con lei.

Facciamo software su misura per un cliente solo: rientra?

Le letture non sono tutte uguali. L'ente tedesco BSI scrive che il regolamento vale anche per i prodotti su misura, a prescindere dal numero di pezzi. Fate controllare il vostro caso da un legale, e nel frattempo tenete in ordine componenti e aggiornamenti: serve comunque.

Il software lo abbiamo già venduto anni fa.

L'obbligo di segnalazione vale anche per i prodotti immessi sul mercato prima dell'11 dicembre 2027. Gli altri obblighi riguardano i prodotti da quella data in poi, e una modifica sostanziale può far contare il prodotto come nuovo.

Usiamo componenti open source. Cambia qualcosa?

Chi vende il prodotto risponde anche dei componenti che ci mette dentro. Per questo serve l'elenco: quando esce una falla in una libreria dovete sapere in dieci minuti quali versioni del vostro prodotto la contengono.

Per approfondire

• Il servizio: Siti attaccati e sicurezza
• Altre pagine come questa: Nuove regole da rispettare