Panoramica della legge sulla ciberresilienza dell'UE

Finalità e struttura

La CRA si applica ai prodotti di consumo e industriali che soddisfano le condizioni del suo ambito di applicazione. Iniziate identificando il prodotto e verificando se si applica un'esclusione. Gli obblighi del fabbricante e le procedure di valutazione della conformità disponibili dipendono quindi dal suo ruolo e dalla classificazione del prodotto.

Le pagine tematiche seguenti spiegano ciascuna di queste questioni e forniscono definizioni giuridiche, esempi e riferimenti alle fonti necessari per una valutazione specifica del prodotto.

Concetti fondamentali

Scegliere un percorso di lettura

I responsabili di prodotto, gli ingegneri della sicurezza e i gruppi di valutazione della conformità devono consultare parti diverse del regolamento. I percorsi di lettura seguenti corrispondono a queste responsabilità.

• Responsabili di prodotto e conformità: stabilite quali prodotti e versioni sono immessi sul mercato, se la CRA si applica, il ruolo giuridico, la categoria del prodotto e le date di applicazione pertinenti.
• Gruppi di sicurezza e ingegneria: collegate l'architettura, gli asset, i confini di fiducia, i componenti e la progettazione degli aggiornamenti alla valutazione dei rischi di cybersicurezza.
• Gruppi addetti alla gestione delle vulnerabilità: mantenete i registri dei componenti e delle vulnerabilità, valutate l'impatto sul prodotto, predisponete le misure correttive e valutate i presupposti per la segnalazione ai sensi dell'articolo 14 non appena emergono fatti pertinenti.
• Gruppi addetti alla documentazione tecnica e alla valutazione: raccogliete le prove specifiche del prodotto, verificate le norme e la procedura di valutazione e mantenete il fascicolo coerente con la versione immessa sul mercato.

Ad esempio, un dispositivo connesso può dipendere da firmware integrato, un'applicazione e un trattamento remoto controllato dal fabbricante. Prima si definisce il prodotto; quindi la valutazione dei rischi, i registri dei componenti e la documentazione utilizzano lo stesso perimetro definito.

Ordine di lettura per i fabbricanti

Stabilite anzitutto se il prodotto rientra nell'ambito di applicazione. Le pagine seguenti illustrano poi i soggetti responsabili, le categorie di prodotti e i requisiti applicabili. Consultate separatamente le norme di segnalazione: l'articolo 14 si applica dall'11 settembre 2026, prima dei principali requisiti di prodotto.

1. Iniziare da Prodotti che rientrano nell'ambito di applicazione e Immissione sul mercato .
2. Individuate il ruolo dell'operatore economico in Ruoli e obblighi .
3. Classificate il prodotto utilizzando Classificazione dei prodotti e Descrizioni tecniche del regolamento di esecuzione (UE) 2025/2392 .
4. Leggete gli obblighi relativi ai prodotti e ai processi in Requisiti essenziali di cibersicurezza .
5. Consultate le norme pertinenti in Norme e norme armonizzate e Norme di prodotto per categoria .
6. Proseguite con Valutazione dei rischi di cibersicurezza, Documentazione tecnica e Informazioni e istruzioni per gli utenti.
7. Preparate la segnalazione ai sensi dell'articolo 14 con Segnalazione delle vulnerabilità e Preparazione alla segnalazione ai sensi dell'articolo 14 .
8. Utilizzate le date principali per distinguere le scadenze di segnalazione, quelle relative agli organismi notificati, il periodo transitorio e la data di piena applicazione.

Prodotti che rientrano nell'ambito di applicazione

Il presente regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato il cui uso previsto o ragionevolmente prevedibile comprende una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete.

Regolamento (UE) 2024/2847, articolo 2, paragrafo 1

Un prodotto con elementi digitali può essere un software, un hardware, un componente software o hardware immesso separatamente sul mercato e la soluzione di trattamento remoto dei dati del prodotto. Il trattamento remoto fa parte del prodotto solo quando è progettato e sviluppato dal fabbricante, o sotto la sua responsabilità, e il prodotto non può svolgere una delle sue funzioni senza tale trattamento.

La CRA non trasforma ogni servizio digitale in un prodotto con elementi digitali. Un sito web o un servizio cloud che non rientra nella responsabilità del fabbricante per il prodotto è diverso dal trattamento remoto necessario al funzionamento del prodotto. Le esclusioni esplicite sono trattate nella pagina sull'ambito di applicazione; il quadro generale della normativa sui prodotti è illustrato nella pagina introduttiva.

Ruoli e categorie di prodotti

Fabbricante, importatore e distributore possono avere obblighi relativi allo stesso prodotto. La classificazione del prodotto risponde a una domanda diversa: quali procedure di valutazione della conformità sono disponibili o obbligatorie. Le categorie di prodotti importanti e critici dipendono dalla funzionalità di base del prodotto.

• I prodotti della categoria predefinita restano soggetti alla CRA, ma seguono normalmente la procedura di valutazione della conformità basata sul controllo interno.
• I prodotti importanti sono elencati nell'allegato III e suddivisi nelle classi I e II.
• I prodotti critici sono elencati nell'allegato IV e possono essere soggetti a certificazione o a procedure più rigorose di valutazione di terza parte.
• Il regolamento di esecuzione (UE) 2025/2392 della Commissione fornisce descrizioni tecniche delle categorie di prodotti importanti e critici.

Un prodotto non è importante o critico solo perché contiene un componente incluso in una categoria elencata. La questione pertinente è se il prodotto nel suo complesso possiede la funzionalità di base di tale categoria.

Requisiti essenziali e norme

L'articolo 6 impone che sia il prodotto sia i processi del fabbricante per la gestione delle vulnerabilità soddisfino l'allegato I. Le sue due parti stabiliscono separatamente tali requisiti. Una norma armonizzata il cui riferimento è pubblicato nella Gazzetta ufficiale può conferire una presunzione di conformità per i requisiti che copre.

Le pagine di approfondimento spiegano la struttura dell'allegato I e come le norme possono contribuire a dimostrare la conformità. Requisiti essenziali di cibersicurezza e Norme e norme armonizzate.

Segnalazione e gestione delle vulnerabilità

La gestione delle vulnerabilità è un obbligo che riguarda l'intero ciclo di vita. La segnalazione è un obbligo più circoscritto, attivato da specifici eventi. Dall'11 settembre 2026, l'articolo 14 si applica quando il fabbricante viene a conoscenza di una vulnerabilità oggetto di sfruttamento attivo nel prodotto o di un incidente grave che ne compromette la sicurezza.

• Allerta precoce: entro 24 ore dal momento in cui il fabbricante ne viene a conoscenza.
• Notifica: entro 72 ore dal momento in cui il fabbricante ne viene a conoscenza, salvo che le informazioni pertinenti siano già state fornite.
• Relazione finale su una vulnerabilità oggetto di sfruttamento attivo: entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione.
• Relazione finale su un incidente grave: entro un mese dalla notifica dell'incidente trasmessa entro 72 ore.

Date principali

La CRA è stata pubblicata nella Gazzetta ufficiale il 20 novembre 2024 ed è entrata in vigore il 10 dicembre 2024. La sua applicazione è graduale: le date relative alle segnalazioni e agli organismi di valutazione della conformità precedono la piena applicazione.