Articolo Pubblicazioni
Cyber Resilience Act: i requisiti essenziali per chi produce software e dispositivi
di Vincenzo Calabrò · Pubblicato il 14 novembre 2026
Abstract
Dall’11 dicembre 2027 i prodotti con elementi digitali venduti nell’Unione dovranno rispettare i requisiti essenziali del Cyber Resilience Act per portare la marcatura CE. L’articolo spiega quali prodotti sono coinvolti, quali requisiti riguardano la progettazione e quali la gestione delle vulnerabilità, come cambia la valutazione della conformità per i prodotti importanti e critici e che cosa conviene fare nei mesi che restano.
Quali prodotti
Il regolamento (UE) 2024/2847 si applica ai prodotti con elementi digitali, cioè hardware e software, comprese le componenti vendute separatamente, la cui destinazione prevede una connessione a un dispositivo o a una rete. Rientrano quindi router, telecamere, dispositivi domestici connessi, giocattoli intelligenti, sistemi operativi, applicazioni e firmware. Restano fuori i prodotti già coperti da norme settoriali, come dispositivi medici, veicoli e aviazione, e i servizi in cloud puri, che ricadono nella NIS2. Il software libero sviluppato senza attività commerciale è escluso, mentre chi lo integra in un prodotto ne risponde.
I requisiti di progettazione
- immissione sul mercato senza vulnerabilità sfruttabili note;
- configurazione sicura per impostazione predefinita, con la possibilità di tornare allo stato iniziale;
- possibilità di ricevere aggiornamenti di sicurezza, automatici per impostazione predefinita quando è appropriato, con la possibilità di disattivarli;
- protezione dagli accessi non autorizzati con autenticazione e gestione delle identità adeguate;
- riservatezza e integrità di dati, comandi e configurazioni, con cifratura allo stato dell’arte;
- minimizzazione dei dati trattati e delle superfici d’attacco, comprese le interfacce esterne;
- resilienza contro gli attacchi di negazione del servizio e limitazione dell’impatto sugli altri dispositivi;
- registrazione degli eventi rilevanti per la sicurezza e possibilità per l’utente di cancellare dati e impostazioni.
La gestione delle vulnerabilità
La seconda parte dei requisiti riguarda il ciclo di vita. Il fabbricante deve identificare e documentare i componenti del prodotto, redigendo una distinta base del software (SBOM) almeno per le dipendenze di primo livello, correggere le vulnerabilità senza ritardo, testare regolarmente il prodotto, pubblicare le informazioni sulle vulnerabilità corrette, adottare una politica di divulgazione coordinata con un punto di contatto per le segnalazioni e distribuire gli aggiornamenti in modo sicuro e gratuito. Il periodo di assistenza, durante il quale questi obblighi valgono, deve corrispondere alla durata d’uso prevista del prodotto e di norma non può essere inferiore a cinque anni.
La valutazione della conformità
Per la maggior parte dei prodotti basta un’autovalutazione del fabbricante, documentata nel fascicolo tecnico e conclusa con la dichiarazione di conformità e la marcatura CE. I prodotti importanti, elencati in due classi, comprendono per esempio sistemi di gestione delle identità, browser, gestori di password, VPN, sistemi operativi, router e firewall. Per quelli di classe I l’autovalutazione è ammessa solo applicando norme armonizzate, altrimenti serve un organismo notificato, che è sempre necessario per la classe II. I prodotti critici, come smart card e moduli di sicurezza hardware, possono essere soggetti a certificazione europea.
Il calendario
Il regolamento è in vigore dal dicembre 2024. Gli obblighi di segnalazione delle vulnerabilità sfruttate e degli incidenti si applicano dall’11 settembre 2026, le norme sugli organismi notificati dall’11 giugno 2026 e tutto il resto dall’11 dicembre 2027. Per un prodotto che uscirà nel 2028 la progettazione è in corso adesso, ed è lì che i requisiti vanno inseriti, con un modello delle minacce, una SBOM generata automaticamente nella pipeline di sviluppo, un processo per le segnalazioni e un piano per gli aggiornamenti lungo tutto il periodo di assistenza.
Il fascicolo tecnico
La conformità si dimostra con un fascicolo tecnico, da conservare per dieci anni o per tutto il periodo di assistenza se più lungo. Contiene la descrizione del prodotto e del suo uso previsto, la valutazione dei rischi di sicurezza informatica, il modo in cui ogni requisito essenziale è stato applicato, le informazioni sul processo di gestione delle vulnerabilità e la distinta del software, i rapporti di prova, le norme armonizzate o le specifiche applicate e la dichiarazione di conformità. All’utente vanno fornite istruzioni sull’installazione sicura, sugli aggiornamenti, sulla fine del periodo di assistenza e sul punto di contatto per segnalare vulnerabilità.
Gli altri operatori
Il regolamento non riguarda solo i fabbricanti. Gli importatori devono verificare che i prodotti provenienti da paesi terzi siano conformi, con la marcatura CE e la documentazione, e i distributori devono controllare che la marcatura e le istruzioni siano presenti. Se modificano in modo sostanziale un prodotto o lo vendono con il proprio marchio, diventano fabbricanti a tutti i fini. Chi integra componenti di terzi, comprese le librerie open source, deve esercitare la dovuta diligenza, verificandone lo stato e la manutenzione, e segnalare le vulnerabilità che scopre a chi mantiene il componente.
Da dove partire
- fare l’inventario dei prodotti in commercio e in sviluppo che rientrano nell’ambito e classificarli come ordinari, importanti o critici;
- valutare la distanza fra le pratiche attuali e i requisiti, soprattutto su configurazione predefinita, aggiornamenti e gestione delle vulnerabilità;
- introdurre la generazione automatica della SBOM e la scansione delle dipendenze nella pipeline di sviluppo;
- definire la politica di divulgazione coordinata e il punto di contatto, già necessari per le segnalazioni attive dal settembre 2026;
- stabilire il periodo di assistenza di ogni prodotto e verificare che il modello di business ne sostenga i costi.
Le norme armonizzate che tradurranno i requisiti in specifiche tecniche sono in preparazione presso gli organismi europei di normazione. Fino alla loro pubblicazione conviene riferirsi agli standard esistenti sullo sviluppo sicuro e sulla gestione delle vulnerabilità, come la serie IEC 62443 per i prodotti industriali e la EN 303 645 per i dispositivi di consumo connessi, che coprono già buona parte dei requisiti.
Vedi anche: l’articolo del 2026 Cyber Resilience Act: le segnalazioni obbligatorie dall’11 settembre 2026 e l’articolo del 2026 Software Bill of Materials per l’AI: la supply chain dell’intelligenza artificiale diventa verificabile.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn