Domande frequenti sulla legge sulla ciberresilienza dell'UE

Sì, se sono soddisfatte le condizioni di applicazione del CRA. Un prodotto con elementi digitali può essere un software, un hardware, una soluzione di elaborazione remota dei dati che fa parte del prodotto oppure un componente software o hardware immesso separatamente sul mercato.

Il software fornito come prodotto può rientrare nell’ambito di applicazione se soddisfa la definizione del CRA e le condizioni di mercato. Ciò include applicazioni autonome e firmware. Applicare le stesse condizioni di ambito agli strumenti di sviluppo e ai componenti software, senza decidere in base alla loro denominazione.

Per saperne di più: Prodotti rientranti nell’ambito di applicazione.

Un SaaS autonomo o un servizio cloud sviluppato al di fuori della responsabilità del fabbricante non è automaticamente un prodotto con elementi digitali. Una funzione cloud è rilevante ai fini del CRA quando soddisfa la definizione di elaborazione remota dei dati.

L’elaborazione remota dei dati fa parte del prodotto quando avviene a distanza, è necessaria al prodotto per eseguire una delle sue funzioni e il software di elaborazione è stato progettato o sviluppato dal fabbricante o sotto la sua responsabilità.

Per saperne di più: Prodotti rientranti nell’ambito di applicazione.

No. Il CRA utilizza concetti di connessione dei dati, non una semplice regola basata sull’accesso a Internet. Una connessione può essere logica o fisica, diretta o indiretta.

Gli esempi pertinenti includono:

• connessioni logiche tramite API, socket di rete, pipe, file, sessioni HTTPS del browser o protocolli di posta elettronica;
• connessioni fisiche tramite USB, Ethernet, fibra, bus di campo, Wi-Fi, Bluetooth, NFC o altri collegamenti radio;
• connessioni indirette tramite un sistema host a sua volta collegabile a un dispositivo o a una rete.

Per saperne di più: Prodotti rientranti nell’ambito di applicazione.

Di norma, no. La Guida blu spiega che non si verifica una messa a disposizione sul mercato quando un prodotto è realizzato per uso proprio. Le FAQ della Commissione applicano questo principio agli esempi del CRA, come gli strumenti di sviluppo e configurazione creati da un fabbricante per uso proprio.

La risposta cambia se lo strumento viene successivamente immesso sul mercato come prodotto separato. In tal caso, deve essere valutato come qualsiasi altro prodotto software o hardware con elementi digitali.

Per saperne di più: Immissione sul mercato.

I prodotti immessi sul mercato prima dell’11 dicembre 2027 non sono soggetti a tutti i requisiti del CRA solo perché arriva tale data. Diventano soggetti a tali requisiti se, a partire da quella data, subiscono una modifica sostanziale.

L’obbligo di notifica dell’articolo 14 è diverso. Si applica dall’11 settembre 2026 ai prodotti con elementi digitali rientranti nell’ambito del CRA, compresi quelli immessi sul mercato prima dell’11 dicembre 2027.

Per saperne di più: Immissione sul mercato e Segnalazione delle vulnerabilità.

Le FAQ della Commissione distinguono le unità già immesse sul mercato da quelle immesse sul mercato successivamente. Le unità già immesse sul mercato possono continuare a essere messe a disposizione dopo la scadenza del periodo di supporto dichiarato.

Le unità immesse successivamente sul mercato sono diverse. Se il fabbricante ne immette altre, deve stabilire per tali unità un periodo di supporto ai sensi dell’articolo 13(8).

Per saperne di più: Periodo di supporto.

No. La fornitura gratuita non determina da sola la risposta. Il CRA distingue lo sviluppo non commerciale di software libero e open source dal software immesso sul mercato nell’ambito di un’attività commerciale.

Gli orientamenti di luglio 2026 distinguono l’accesso a pagamento al software o alla sua manutenzione dai servizi facoltativi relativi al software disponibile gratuitamente. Le edizioni a pagamento possono costituire una fornitura commerciale; la sola consulenza facoltativa non rende commerciale la versione gratuita. Anche la monetizzazione dei servizi tramite il software, o l’obbligo di trattare dati personali — oltre quanto necessario per migliorare la sicurezza, la compatibilità o l’interoperabilità del software — come condizione d’uso può rendere commerciale la fornitura.

Per saperne di più: Ruoli e obblighi e Prodotti rientranti nell’ambito di applicazione.

Sì, ma solo in base alla regola di test dell’articolo 4(3). Il software deve essere messo a disposizione solo per il periodo limitato necessario ai test e deve indicare chiaramente che non è conforme al CRA e non sarà disponibile per finalità diverse dai test.

Le FAQ della Commissione richiamano anche il considerando 37: il fabbricante dovrebbe rilasciare tale software solo dopo una valutazione dei rischi e dovrebbe soddisfare, per quanto possibile, i requisiti di sicurezza e di gestione delle vulnerabilità.

Sì. L’articolo 13(11) consente archivi pubblici di software che migliorano l’accesso degli utenti alle versioni storiche. Gli utenti devono essere informati in modo chiaro e facilmente accessibile dei rischi del software non più supportato.

Un archivio non equivale al supporto attivo. L’utente deve poter capire che la versione archiviata non è più supportata e comporta rischi per la sicurezza.

No. Le FAQ della Commissione chiariscono che il CRA non impone ai fabbricanti di garantire che un prodotto sia privo di tutte le vulnerabilità.

Al momento dell’immissione sul mercato, il requisito pertinente dell’allegato I riguarda le vulnerabilità note e sfruttabili, sulla base della valutazione dei rischi di cibersicurezza del fabbricante e dei fatti disponibili in quel momento.

Per saperne di più: Requisiti essenziali di cibersicurezza e Valutazione dei rischi di cibersicurezza.

No. Il fabbricante deve valutare se la vulnerabilità è rilevante per il prodotto e quale rischio comporta. Il rimedio deve essere adeguato a tale rischio.

Un rimedio può consistere in una patch, ma anche in un’altra misura, ad esempio un avviso, indicazioni di configurazione, una soluzione alternativa, informazioni aggiornate per gli utenti o un successivo aggiornamento software. Il CRA richiede che le vulnerabilità siano affrontate e corrette senza indugio in relazione ai rischi posti ai prodotti con elementi digitali.

Per saperne di più: Registri della gestione delle vulnerabilità.

No. Cinque anni sono una tutela minima, non il periodo predefinito per tutti i prodotti. Può essere necessario un periodo di supporto più lungo quando è ragionevole aspettarsi che il prodotto venga utilizzato più a lungo.

È consentito un periodo di supporto inferiore solo se si prevede che il prodotto venga utilizzato per meno di cinque anni. In tal caso, il periodo di supporto corrisponde alla durata prevista dell’utilizzo.

Per saperne di più: Periodo di supporto.

Il fabbricante segnala una vulnerabilità attivamente sfruttata presente nel proprio prodotto. Se la vulnerabilità proviene da un componente integrato ed è sfruttabile nel prodotto, la segnala il fabbricante del prodotto. Anche il fabbricante del componente la segnala se il componente è stato immesso sul mercato come prodotto autonomo.

Se la vulnerabilità del componente non è sfruttabile nel prodotto del fabbricante, su tale base non scatta l’obbligo di notifica previsto dall’articolo 14. Il fabbricante può comunque avere obblighi di coordinamento a monte o di gestione delle vulnerabilità.

Per saperne di più: Segnalazione delle vulnerabilità.

No. Le FAQ della Commissione spiegano che un fabbricante può integrare componenti privi di marcatura CE, compresi quelli non immessi sul mercato e quelli immessi sul mercato prima dell’applicazione del CRA.

Il fabbricante deve comunque esercitare la dovuta diligenza affinché il componente non comprometta la cibersicurezza del prodotto finale.

Per saperne di più: SBOM e registrazioni dei componenti.

In generale, no. Le FAQ della Commissione affermano che non esiste un obbligo generale di rendere disponibile la documentazione tecnica ai clienti o al pubblico.

L’eccezione importante riguarda il software libero e open source di classe I o II dell’allegato III quando il fabbricante intende ricorrere all’autovalutazione di cui all’articolo 32(5). In tal caso, la documentazione tecnica deve essere resa pubblica.

Per saperne di più: Documentazione tecnica e Valutazione della conformità.

No. I progetti di norma possono essere utili per prepararsi, ma non creano una presunzione di conformità ai sensi dell’articolo 27. Tale presunzione dipende da una norma armonizzata il cui riferimento è stato pubblicato nella Gazzetta ufficiale dell’Unione europea.

La stessa distinzione si applica ai progetti prEN 40000 e ai progetti di norme specifiche per i prodotti. I fabbricanti possono utilizzarli per preparare le evidenze, verificandone separatamente lo stato di pubblicazione e di citazione.

Per saperne di più: Norme armonizzate e presunzione di conformità.