Il Cyber Resilience Act (CRA) è la legge europea che impone requisiti di cybersecurity sui prodotti con elementi digitali: hardware, software e dispositivi connessi. Per chi produce, importa o commercializza questi prodotti in Europa cambia il modo stesso di portare sul mercato: la sicurezza diventa un requisito CE, non un optional. Ecco cosa cambia, per chi e da quando.

Chi è dentro il perimetro: più aziende di quante si pensi

Il CRA riguarda i prodotti con elementi digitali venduti nel mercato UE: dispositivi connessi, software, applicazioni, componenti. La lista va dal elettrodomestico smart al software gestionale, dal sensore industriale all'app mobile. Restano fuori alcuni ambiti già regolati da norme specifiche (per esempio i dispositivi medici e l'automotive, che hanno regole proprie). Se la tua azienda mette sul mercato — come produttore, importatore o distributore — un prodotto con software dentro, il CRA ti riguarda.

Cosa impone: sicurezza "by design" per tutta la vita del prodotto

Il cuore del regolamento è semplice da dire e impegnativo da fare: i prodotti devono essere sicuri per progettazione (secure by design) e mantenuti sicuri nel tempo. In pratica:

  • Gestione dei rischi di cybersecurity lungo tutto il ciclo di vita del prodotto, dal progetto allo smaltimento.
  • Protezioni di base: configurazioni sicure di default, aggiornamenti automatici, protezione dalle manipolazioni.
  • Gestione delle vulnerabilità: processo per raccoglierle, correggerle e divulgare responsabilmente, con scadenze di rilascio definite.
  • Supporto di sicurezza dichiarato: il produttore deve dichiarare per quanto tempo garantirà aggiornamenti — e rispettare la promessa.
  • Gestione degli incidenti: le vulnerabilità gravemente sfruttate e gli incidenti attivi vanno segnalati all'autorità.

Per quando e con quali sanzioni

Il regolamento entra a pieno regime con obblighi progressivi a partire dal 2027, ma le implicazioni operative partono prima: chi produce deve iniziare ora a organizzare processi, documentazione e catena di fornitura. Le sanzioni sono all'altezza del GDPR: cifre che possono arrivare a 15 milioni di euro o al 2,5% del fatturato mondiale annuo per le violazioni più gravi. E il mercato fa la sua parte: un prodotto senza conformità CRA sarà sempre più difficile da vendere a clienti e rivenditori attenti.

Cosa significa per le PMI italiane: tre scenari

Se produci hardware o software: il CRA entra nel tuo ciclo di sviluppo — specifiche di sicurezza, test, gestione delle vulnerabilità, dichiarazione del periodo di supporto. Meglio partire dal prossimo prodotto che dal retrospettivo. Se importi o rivendi dispositivi connessi: hai obblighi di verifica verso il produttore e di conservazione della documentazione; il distributore non è spettatore. Se acquisti prodotti per la tua azienda: il CRA è un alleato — la dichiarazione del periodo di supporto diventa un criterio d'acquisto, insieme al prezzo.

CRA, NIS2 e GDPR: si parla una volta sola

Il CRA non arriva da solo: con NIS2 (sicurezza delle reti aziendali) e GDPR (dati personali) disegna un quadro unico. Le buone notizie è che le misure si sovrappongono: un processo di gestione delle vulnerabilità, una policy di aggiornamenti e una gestione dei fornitori ben fatta servono a tutti e tre. Chi costruisce un sistema di gestione integrato evita di pagare tre volte lo stesso lavoro.

Conclusione: la sicurezza diventa una caratteristica del prodotto

Il CRA sancisce il passaggio di epoca: la cybersecurity non è più solo la difesa dell'azienda, è una caratteristica obbligatoria dei prodotti che l'azienda vende. Le PMI che si organizzano ora — processi, documentazione, fornitori — trasformano un obbligo in etichetta di qualità. B2B Driven accompagna produttori e rivenditori nel percorso: dal gap analysis alla gestione delle vulnerabilità, fino alla documentazione del supporto.

Parla con noi del tuo prodotto: ti diremo cosa richiede il CRA nel tuo caso e da dove conviene partire.