Questo articolo è un aggiornamento di Cyber Resilience Act: dall'11 settembre scatta l'obbligo di segnalare le vulnerabilità sfruttate in 24 ore, in cui avevamo spiegato il primo obbligo operativo del Regolamento (UE) 2024/2847. Nel frattempo c'è uno sviluppo concreto sul fronte italiano: il 2 ottobre 2026 il Consiglio dei ministri ha approvato in esame preliminare lo schema di decreto legislativo che adegua l'ordinamento nazionale al CRA. Il testo non è ancora definitivo, ma già indica chi controllerà, chi potrà segnalare e quanto si rischia.

Cosa è successo

Lo schema di decreto è stato adottato in base alla delega dell'articolo 15 della legge 36/2026. Il percorso non è concluso: servono i pareri previsti, comprese le commissioni parlamentari, poi un ritorno in Consiglio dei ministri per l'approvazione definitiva e la pubblicazione in Gazzetta Ufficiale. Al momento della scrittura il testo integrale non risulta pubblicato, e quanto segue si basa sul comunicato e sulle sintesi di Noze, ICT Security Magazine e ItaliaOggi: alcuni dettagli (procedure sanzionatorie, tariffe, regole della sandbox) vanno quindi verificati sul testo quando sarà disponibile.

Cosa prevede, in sintesi

  • Autorità. L'Agenzia per la cybersicurezza nazionale (ACN) è designata autorità di notifica degli organismi di valutazione della conformità e autorità di vigilanza del mercato, e può avvalersi della Guardia di finanza. Restano competenti, nei rispettivi ambiti, le autorità previste per i sistemi di IA ad alto rischio, Banca d'Italia, Consob, IVASS e il Garante per la protezione dei dati personali. Le macchine con requisiti di cibersicurezza rimangono invece sotto i ministeri di settore.
  • Consumatori. Potranno segnalare vulnerabilità, incidenti e minacce direttamente al CSIRT Italia, presentare reclami alle autorità competenti e, tramite le associazioni, promuovere azioni rappresentative per le violazioni del CRA.
  • Sanzioni. I massimali seguono l'articolo 64 del regolamento: fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo per la violazione dei requisiti essenziali; fino a 10 milioni o il 2% per gli altri obblighi; fino a 5 milioni o l'1% per informazioni inesatte o fuorvianti. Un'analisi segnala che il regolamento sul procedimento sanzionatorio dell'ACN, previsto dal DL 82/2021, non risulta ancora adottato: è un riscontro da confermare con l'Agenzia, ma indica un possibile punto debole di applicazione.
  • PMI. Canale di consulenza dedicato, tariffe proporzionate per la valutazione di conformità e una "Sandbox-CRA" sotto la supervisione dell'ACN, con accesso prioritario per micro e piccole imprese.

Il calendario che conta

Il decreto nazionale non sposta le date europee dell'articolo 71 del CRA: dall'11 giugno 2026 si applica il capo IV sugli organismi notificati; dall'11 settembre 2026 l'articolo 14, cioè l'obbligo di segnalare vulnerabilità attivamente sfruttate e incidenti gravi; dall'11 dicembre 2027 il resto del regolamento, requisiti essenziali di cibersicurezza inclusi. In pratica l'obbligo di segnalazione è già in vigore, mentre il decreto serve a rendere operativi vigilanza e sanzioni.

Cosa significa per le aziende italiane

Il valore del decreto sta nel fatto che trasforma un regolamento europeo astratto in un'autorità riconoscibile con cui dialogare: l'ACN, la stessa che le imprese già conoscono per la NIS2. Per molti operatori questo ha un effetto pratico immediato: il sistema di segnalazione e di vigilanza sul prodotto e quello sul soggetto (NIS2) finiranno per parlarsi. Un'azienda che produce o importa un dispositivo connesso e che è anche soggetto NIS2 si troverà con lo stesso interlocutore per due obblighi diversi, e dovrà governarli con coerenza.

Il secondo punto è la platea. Il CRA riguarda i "fabbricanti" di prodotti con elementi digitali, ma la definizione è più ampia di quanto si pensi: rientra chi sviluppa firmware, app, dispositivi IoT, componenti software commerciali, e anche chi commercializza con il proprio marchio un prodotto realizzato da altri. Molte PMI italiane, soprattutto nell'automazione, nell'elettronica e nel software gestionale, non si considerano "produttori di cybersecurity" e non hanno ancora una procedura di gestione delle vulnerabilità. La vicenda di tante falle sfruttate in dispositivi di rete, ormai quotidiana nelle cronache, mostra perché il legislatore europeo ha scelto di intervenire alla fonte.

Il terzo punto riguarda i consumatori e le azioni rappresentative: l'introduzione di un canale diretto verso il CSIRT Italia e la possibilità di azioni collettive aumenta l'esposizione reputazionale, oltre a quella sanzionatoria. Sul piano pratico, un prodotto che resta senza aggiornamenti o con falle note non corrette diventerà più difficile da difendere.

Infine, una cautela da consulente: finché il decreto non è definitivo, nulla è davvero fissato sulle procedure. Ma aspettare la Gazzetta Ufficiale per cominciare sarebbe un errore, perché l'obbligo di segnalazione in 24 ore è già operativo e i requisiti essenziali richiedono tempo di progettazione.

Cosa fare subito

  • Stabilire se la propria azienda è fabbricante, importatore o distributore di prodotti con elementi digitali ai sensi del CRA, anche per componenti software o firmware.
  • Predisporre una procedura interna per ricevere, valutare e segnalare vulnerabilità sfruttate e incidenti gravi, con i tempi di 24 ore (preallarme) e 72 ore (notifica) già descritti nel nostro articolo di settembre.
  • Pubblicare un punto di contatto per la segnalazione delle vulnerabilità e una politica di divulgazione coordinata.
  • Iniziare a produrre e mantenere una SBOM per i prodotti e a tracciare le dipendenze open source.
  • Mappare i fornitori di componenti e inserire nei contratti obblighi di notifica e di aggiornamento.
  • Le micro e piccole imprese possono tenere d'occhio la Sandbox-CRA e il canale di consulenza dell'ACN quando saranno attivati.
  • Seguire l'iter parlamentare del decreto e verificare il testo finale prima di fissare budget e responsabilità.