Cyber Resilience Act: se la vostra azienda svizzera esporta nell'UE

Perché tocca anche chi sta in Svizzera

Il regolamento UE 2024/2847 guarda dove viene venduto il prodotto, e la sede del fabbricante non conta. Una macchina con firmware, un programma installabile o un dispositivo connesso che entra nel mercato UE deve rispettarlo. Senza marcatura CE e documentazione, dal 2027 il prodotto resta fuori.

Le date sono le stesse dell'UE:

• dall'11 settembre 2026 si segnalano vulnerabilità sfruttate e incidenti gravi: 24 ore, 72 ore, poi il rapporto finale;
• dall'11 dicembre 2027 valgono tutti gli altri obblighi;
• le sanzioni arrivano a 15 milioni di euro o al 2,5% del fatturato mondiale.

Per le aziende del Ticino è una domanda concreta: l'Italia e la Germania sono a un passo, e il primo a chiederlo può essere il distributore.

La legge svizzera in arrivo

Il 20 agosto 2025 il Consiglio federale ha chiesto un progetto di legge sulla ciberresilienza dei prodotti digitali, da mandare in consultazione entro l'autunno 2026. Il progetto deve tenere conto del CRA, per non dare alle aziende svizzere regole in conflitto, e prevede sorveglianza del mercato e la base per vietare i dispositivi insicuri. Al 31 ottobre 2026 non ho trovato l'apertura della consultazione.

Cosa fare già adesso

Le cose che servono per l'UE serviranno con buona probabilità anche per la legge svizzera:

• sapere quali componenti software contiene ogni versione venduta;
• avere un indirizzo pubblico per chi trova una falla, e qualcuno che lo legge;
• mandare le correzioni di sicurezza separate dalle funzioni nuove;
• avere una persona che decide e segnala entro 24 ore, con l'accesso alla piattaforma ENISA.

Cosa faccio

Lavoro sul codice e su come viene rilasciato: elenco dei componenti (SBOM) generato a ogni versione, controllo automatico delle vulnerabilità, pulizia delle librerie abbandonate e canale degli aggiornamenti, anche per le applicazioni desktop. I dettagli stanno nella pagina sul Cyber Resilience Act.

Lavoro su software e firmware con sistemi operativi comuni. Su un PLC di fabbrica, dove servono gli strumenti del costruttore, vi dico prima cosa posso toccare.

Cosa non faccio

Valutazione di conformità, marcatura CE e fascicolo tecnico restano a un consulente e, per alcune categorie, a un organismo notificato. Questa pagina riassume le norme lette il 31 ottobre 2026 e non è un parere legale.

Domande frequenti

Vendiamo solo in Svizzera. Ci riguarda?

Oggi il regolamento no, ma Berna sta preparando una legge che terrà conto del CRA. Se i vostri clienti rivendono il prodotto nell'UE, la domanda vi arriverà comunque da loro.

Vendiamo macchine con un PLC e un pannello. Rientriamo?

Probabilmente sì per la parte digitale, se la macchina va nell'UE: il regolamento riguarda hardware e software connessi. Sulle macchine ci sono anche altre regole europee, quindi serve chi conosce la vostra marcatura CE.

Abbiamo un servizio solo online. Cambia qualcosa?

Il software usato solo nel browser di solito resta fuori e ricade sotto la NIS2, se si applica. Un'app da scaricare o un programma da installare ci rientrano.

Cosa ci chiederà l'importatore?

Chi importa nell'UE deve controllare che il fabbricante abbia fatto la sua parte, marcatura CE e documentazione comprese. Aspettatevi una richiesta di documenti e dell'elenco dei componenti: sono i pezzi che conviene avere pronti.

Se siete in Ticino o nel resto della Svizzera

Lavoro da Rovellasca, in provincia di Como, fra Milano e il confine svizzero, e part-time in un'agenzia di comunicazione in Svizzera. Per un'azienda svizzera ho fatto sito, gestionale e app di AREAVISION.

Per approfondire

• Il servizio: Siti attaccati e sicurezza
• Altre pagine come questa: Regole da rispettare in Svizzera