Cyber Resilience Act: obblighi, scadenze e cosa cambia per la polizza cyber

Scheda normativa · aggiornata al 1° novembre 2026 · di cybercoverinsurance

Il regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA), fissa requisiti di sicurezza informatica per i prodotti con elementi digitali venduti in Europa: hardware e software, dal router all'app, dal sensore industriale al programma gestionale (Hogan Lovells). NIS2 e DORA guardano a chi usa la tecnologia; il CRA guarda a chi la produce.

Per chi assume il rischio il CRA conta perché sposta la sicurezza a monte della supply chain. Un produttore di software o di dispositivi connessi dovrà dimostrare di aver progettato prodotti sicuri e di correggerne le vulnerabilità per anni. Dal 9 dicembre 2026, con la nuova direttiva sui prodotti difettosi, un prodotto che non rispetta i requisiti del CRA sarà anche più facile da considerare difettoso.

Nel testo, «art.» indica una regola vincolante; «considerando» indica i paragrafi introduttivi che spiegano come leggerla.

Chi riguarda

Il CRA si applica a fabbricanti, importatori e distributori di prodotti con elementi digitali, cioè hardware e software che si collegano, direttamente o indirettamente, a un dispositivo o a una rete. Restano fuori i prodotti già coperti da norme di settore, come dispositivi medici, veicoli e aeromobili, e i servizi puramente online (SaaS), che ricadono semmai in NIS2.

Gli obblighi principali sono del fabbricante, anche quando ha sede fuori dall'Unione. Il software libero sviluppato fuori da un'attività commerciale non è coperto; le organizzazioni che sostengono in modo stabile progetti open source usati commercialmente («steward») hanno obblighi ridotti.

Gli obblighi principali

Segnalazione di vulnerabilità e incidenti (dall'11 settembre 2026)

Dall'11 settembre 2026 il fabbricante deve segnalare ogni vulnerabilità attivamente sfruttata e ogni incidente grave che incide sulla sicurezza del prodotto (art. 14) (Commissione europea):

• allerta precoce entro 24 ore da quando ne viene a conoscenza;
• notifica entro 72 ore;
• relazione finale entro 14 giorni dalla disponibilità di una correzione, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti gravi.

Le segnalazioni passano dalla piattaforma unica di ENISA, operativa dall'11 settembre 2026, che le inoltra al CSIRT nazionale competente (ENISA). L'obbligo vale anche per i prodotti già sul mercato prima del 2027, e il fabbricante deve informare gli utenti colpiti (Hogan Lovells).

Requisiti di sicurezza (dall'11 dicembre 2027)

Dall'11 dicembre 2027 i prodotti immessi sul mercato devono rispettare requisiti essenziali di sicurezza fin dalla progettazione: nessuna vulnerabilità sfruttabile nota al momento della vendita, configurazione sicura per impostazione predefinita, aggiornamenti di sicurezza per tutto il periodo di assistenza, gestione delle vulnerabilità con un elenco dei componenti software. Il prodotto conforme porta la marcatura CE. Per alcune categorie di prodotti importanti o critici serve una valutazione di conformità da parte di un organismo terzo.

Periodo di assistenza

Il fabbricante deve indicare per quanto tempo fornirà aggiornamenti di sicurezza. Il periodo deve riflettere l'uso atteso del prodotto ed è di regola di almeno cinque anni.

Le sanzioni

L'art. 64 prevede tre livelli: fino a 15 milioni di euro o il 2,5% del fatturato mondiale per la violazione dei requisiti essenziali e degli obblighi di segnalazione; fino a 10 milioni o il 2% per gli altri obblighi; fino a 5 milioni o l'1% per informazioni inesatte alle autorità. Le autorità di vigilanza del mercato possono anche imporre il ritiro o il richiamo del prodotto.

Le scadenze

• 10 dicembre 2024: entrata in vigore;
• 11 giugno 2026: norme sugli organismi di valutazione della conformità;
• 11 settembre 2026: obblighi di segnalazione di vulnerabilità sfruttate e incidenti gravi;
• 11 dicembre 2027: applicazione piena, compresi i requisiti essenziali e gli obblighi degli steward open source.

Cosa cambia per la polizza cyber

Supply chain. Il CRA è la prima norma che obbliga i fornitori di tecnologia a correggere le vulnerabilità e a segnalarle entro 24 ore. Per un portafoglio cyber riduce nel tempo il rischio da componenti non aggiornati, ma solo per i prodotti nuovi: il parco installato resterà esposto per anni.

Responsabilità del produttore. Un produttore di software o dispositivi che non rispetta il CRA rischia sanzioni, ritiri dal mercato e, con la direttiva sui prodotti difettosi, cause di risarcimento più semplici da vincere per il danneggiato. Il rischio si sposta su tech E&O e RC prodotti, e i costi di richiamo di un prodotto non sicuro non sono coperti da tutte le polizze.

Notifica. Le 24 ore dell'allerta precoce si sommano a quelle di NIS2 e, nel settore finanziario, alle 4 ore di DORA. Un produttore che è anche soggetto NIS2 può avere due segnalazioni diverse per lo stesso evento. Il servizio di risposta all'incidente della polizza deve saperle gestire entrambe.

Informazioni per l'assunzione del rischio. Il CRA produce documenti utili: elenco dei componenti software, politica di gestione delle vulnerabilità, periodo di assistenza dichiarato, storico delle segnalazioni. Per assicurati che usano tecnologia di terzi, sapere se i fornitori principali rispettano il CRA aiuta a valutare il cumulo sulla supply chain.

Impatto per gli assicuratoriMedio

Il CRA rende obbligatoria la sicurezza dei prodotti digitali e la segnalazione rapida delle vulnerabilità, ma i requisiti valgono solo per i prodotti venduti dal dicembre 2027 e l'effetto sui sinistri sarà graduale.

Fonti

• Commissione europea, obblighi di segnalazione del CRA
• ENISA, avvio della piattaforma unica di segnalazione
• Hogan Lovells, obblighi di segnalazione del CRA in vigore