Cyber Resilience Act
Se vendi un prodotto digitale in Europa, questo riguarda te.
Software, app, dispositivi connessi: se lo metti sul mercato, sei dentro
Il Regolamento (UE) 2024/2847 si applica a chiunque immetta sul mercato europeo un prodotto con elementi digitali: software, app, dispositivi connessi, e anche i servizi di elaborazione dati da remoto senza i quali il prodotto non funzionerebbe.
Se sviluppi un gestionale, una app o un dispositivo connesso — anche gratuito, anche già in commercio — il CRA ti riguarda.
Ci siamo passati per primi
Abbiamo costruito il fascicolo CRA completo per OPDesk, il prodotto SaaS di FD Consulting.
Non stiamo applicando una teoria letta in un regolamento: l'abbiamo fatto per noi prima che per te.
Il fascicolo di conformità, documento per documento
| Quando | Cosa scatta |
|---|---|
| 11 settembre 2026 | Obblighi di segnalazione (art. 14): vulnerabilità attivamente sfruttate e incidenti gravi vanno notificati a CSIRT ed ENISA. Preallarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro 14 giorni. Vale anche per i prodotti già sul mercato. |
| 11 dicembre 2027 | Si applica tutto il resto: requisiti essenziali, documentazione tecnica, marcatura CE. |
Quella riga in grassetto è il punto che sfugge quasi a tutti: le segnalazioni non riguardano solo i prodotti futuri. L'app che hai pubblicato tre anni fa è dentro.
Qualificazione
Verifichiamo se il prodotto rientra nell'ambito e in quale categoria. Se sei fuori, lo scopri qui.
Valutazione dei rischi
La valutazione di cibersicurezza richiesta dall'art. 13, documentata e mantenuta.
CVD e segnalazioni
Politica di divulgazione coordinata, security.txt secondo RFC 9116, procedura incidenti con le scadenze 24h / 72h / 14 giorni operative.
Documentazione tecnica
Le otto voci dell'Allegato VII, la SBOM, il periodo di assistenza e le informazioni all'utente dell'Allegato II.
Dichiarazione UE
Predisposta durante il percorso e firmata solo a valutazione di conformità conclusa: mai prima.
Esercitazione
La procedura di incidente si prova prima di firmarla. Una procedura mai testata non regge le 24 ore.
Documenti firmati, con le evidenze
Ogni documento firmato digitalmente in PAdES, con un sistema di evidenze a impronta SHA-256 che dimostra quando è stato prodotto. Più le pagine pubbliche che il regolamento richiede.
- Qualificazione del prodotto e valutazione dei rischi
- Politica CVD,
security.txte pagina pubblica di sicurezza - Procedura di segnalazione degli incidenti (art. 14)
- Documentazione tecnica Allegato VII e dichiarazione di conformità UE
- SBOM — la distinta dei componenti software
- Periodo di assistenza, politica di aggiornamento, informazioni utente Allegato II
Come si quota
Su misura. L'impegno dipende dal tipo di prodotto, dai fornitori coinvolti e da quanta documentazione esiste già.
Si parte sempre dal questionario di qualificazione, che è gratuito: serve a stabilire se il tuo prodotto rientra nel regolamento. Se sei fuori, lo scopri lì e non spendi niente.
Chiedi un preventivoQuello che ci chiedono sempre
Sì. La definizione di fabbricante copre chi commercializza con il proprio nome «a titolo oneroso, di monetizzazione o gratuito». Gratis non significa fuori.
Sei dentro. Il regolamento copre i prodotti software e le soluzioni di elaborazione dati da remoto la cui assenza impedirebbe al prodotto di funzionare — quindi anche il backend.
Sì, e in peggio: l'art. 22 stabilisce che chi immette un prodotto con il proprio nome o marchio, o chi vi apporta una modifica sostanziale, è considerato fabbricante a tutti gli effetti. La marcatura CE del produttore originale non copre il Cyber Resilience Act.
Fino all'11 settembre 2026 nulla di formale. Da quella data un'azienda che scopre una vulnerabilità sfruttata e non la segnala entro 24 ore è in violazione — e la finestra di 24 ore non si improvvisa: serve avere già la procedura, i contatti e le persone.
Il tuo prodotto rientra nel CRA?
Il questionario di qualificazione è gratuito e risponde a questa domanda. Se sei fuori, non ti sarà costato niente saperlo.