framework · Regolamento sulla ciberresilienza (UE) 2024/2847
CRA: Il vostro prodotto, il vostro fascicolo, tutto in un unico posto
Il regolamento sulla ciberresilienza stabilisce requisiti per i prodotti con elementi digitali lungo l’intero ciclo di vita. Complass vi guida prodotto per prodotto, dall’applicabilità alla marcatura CE.
Compliance management in 20 secondiProgetto, prossimo passo, checklist, dichiarazione di applicabilità, pacchetto per l’audit. Beispieldaten der Demo-Firma.
Che cos’è CRA?
Il regolamento sulla ciberresilienza (Cyber Resilience Act, CRA) è il regolamento (UE) 2024/2847 relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali. Prevede la sicurezza fin dalla progettazione, la gestione delle vulnerabilità per tutto il periodo di supporto, la notifica delle vulnerabilità sfruttate attivamente e una valutazione della conformità con marcatura CE.
Aggiornamento dei contenuti:
Vale anche per me?
Il CRA si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell’UE, ossia hardware e software con connessione dati come controllori, dispositivi e applicazioni. Gli obblighi riguardano principalmente i fabbricanti, oltre a importatori e distributori. Sono previste eccezioni, tra l’altro, per i prodotti già disciplinati da determinate altre norme dell’UE.
Gli obblighi di notifica ai sensi dell’art. 14 si applicano dall’11 settembre 2026, anche per i prodotti immessi sul mercato prima di tale data.
Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.
Base giuridica
Art. 2 CRAArticolo 2 Regolamento sulla ciberresilienzaAmbito di applicazione1. Il presente regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete. 2. Il presente regolamento non si applica ai prodotti con elementi digitali a cui si applicano i seguenti atti giuridici dell’Unione: - a) …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Ambito di applicazione
Art. 3 CRAArticolo 3 Regolamento sulla ciberresilienzaDefinizioniAi fini del presente regolamento si applicano le definizioni seguenti: 1) «prodotto con elementi digitali»: qualsiasi prodotto software o hardware e le relative soluzioni di elaborazione dati da remoto, compresi i componenti software o hardware immesso sul mercato separatamente; 2) «elaborazione dati da remoto»: qualsiasi elaborazione dati a distanza per la quale il software è stato progettato e sviluppato dal …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definizioni
Art. 7 CRAArticolo 7 Regolamento sulla ciberresilienzaProdotti con elementi digitali importanti1. I prodotti con elementi digitali che hanno la funzionalità principale di una categoria di prodotti di cui all’allegato III sono considerati prodotti con elementi digitali importanti e sono soggetti alle procedure di valutazione della conformità di cui all’articolo 32, paragrafi 2 e 3. L’integrazione di un prodotto con elementi digitali che ha la funzionalità principale di una categoria di prodotti di cui …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Prodotti importanti con elementi digitali
Art. 13 CRAArticolo 13 Regolamento sulla ciberresilienzaObblighi dei fabbricanti1. All’atto dell’immissione sul mercato di un prodotto con elementi digitali, i fabbricanti assicurano che esso sia stato progettato, sviluppato e prodotto conformemente ai requisiti essenziali di cibersicurezza di cui all’allegato I, parte I. 2. Ai fini della conformità al paragrafo 1, i fabbricanti effettuano una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e tengono conto …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obblighi dei fabbricanti
Date chiave
Entrata in vigore del regolamento
Art. 71, par. 1Articolo 71 Regolamento sulla ciberresilienzaEntrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Si applica il capo IV (organismi notificati, art. 35–51)
Art. 71, par. 2Articolo 71 Regolamento sulla ciberresilienzaEntrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Si applicano gli obblighi di segnalazione ai sensi dell’art. 14 – anche per i prodotti esistenti
Art. 71, par. 2, art. 69, par. 3Articolo 71 Regolamento sulla ciberresilienzaEntrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
EHR systems: conformity assessment under the EHDS Regulation (Art. 32(5a)); amendment of Art. 13(4) and Art. 31(3)
Art. 104 Regulation (EU) 2025/327Articolo 71 Regolamento sulla ciberresilienzaEntrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Piena applicazione del regolamento
Art. 71, par. 2Articolo 71 Regolamento sulla ciberresilienzaEntrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
24 ore / 72 ore / 14 giorni
Preallarme, notifica e relazione finale per le vulnerabilità sfruttate attivamente (relazione finale 14 giorni dopo la disponibilità di una correzione)
Art. 14 CRAArticolo 14 Regolamento sulla ciberresilienzaObblighi di segnalazione dei fabbricanti1. Un fabbricante notifica simultaneamente al CSIRT designato come coordinatore, conformemente al paragrafo 7 del presente articolo, e all’ENISA, qualsiasi vulnerabilità attivamente sfruttata contenuta nel prodotto con elementi digitali di cui viene a conoscenza. Il fabbricante notifica tale vulnerabilità attivamente sfruttata tramite la piattaforma unica di segnalazione istituita a norma dell’articolo 16. 2. Ai …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Dieci fasi, da applicabilità e ruolo, passando per classificazione e valutazione dei rischi, fino alla dichiarazione di conformità, agli obblighi successivi all’immissione sul mercato e alla responsabilità per danno da prodotto.
Catalogo per l’Allegato I
Requisiti essenziali di cybersicurezza e gestione delle vulnerabilità con stato ed evidenze, collegabili a IEC 62443-3-3 e al regolamento macchine.
Vulnerabilità nel vostro prodotto
Importate la SBOM, confrontate in continuo i componenti con i dati pubblici sulle vulnerabilità e create l’incidente ai sensi dell’art. 14 già precompilato in caso di sfruttamento attivo.
Documentazione tecnica
Modelli per, tra l’altro, valutazione del rischio, concetto di SBOM, processo di gestione delle vulnerabilità, politica di divulgazione, informazioni per l’utente ai sensi dell’Allegato II e dichiarazione di conformità UE.
The CRA and the Machinery Regulation in one file per product and version: requirements, SBOM, vulnerabilities, support period. Complass drafts the technical documentation and the EU declaration of conformity.
Cosa Le serve come minimo in qualità di Produttori
Se è un fabbricante ai sensi del CRA, questa selezione copre gli obblighi in Complass. Se è così, lo mostra il verifica di applicabilità gratuita.
Selezione minima Produttori
Pacchetto Start, taglia S, con Vulnerabilità e tecniche di attacco
Vulnerabilità e tecniche di attacco (incl. SBOM, fascicolo prodotto CRA e MITRE ATT&CK): Trattare le vulnerabilità e per le vulnerabilità sfruttate attivamente presentare un’allerta precoce entro 24 ore. (Art. 14, allegato I parte II CRA (si apre in una nuova scheda))+ 149 €
Incident management
GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)
Se è solo importatore o distributore (art. 19, 20 CRA), in Complass basta la normativa CRA senza il modulo vulnerabilità: Start, 199 € netti/mese. Chi offre prodotti con il proprio nome o li modifica in modo sostanziale è considerato fabbricante (art. 21, 22 CRA). Vedere la selezione: Selezione minima Importatore o distributore
Consigliato
Business
739 €netto al mese
Più efficacia con Asset management e zone, Supplier Management e Gestione della continuità operativa (BCM), spazio per 10 utenti e 2 normative.
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.
