Il Cyber Resilience Act (Regolamento UE 2024/2847) si applica per fasi. Dall'11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono notificare vulnerabilità attivamente sfruttate e incidenti gravi, con un preallarme entro 24 ore, tramite la piattaforma unica di ENISA. La piena applicazione, con requisiti di prodotto e marcatura CE, arriva l'11 dicembre 2027.
Le tappe
|
Data |
|---|
|
10 dicembre 2024 |
|
11 giugno 2026 |
|
11 settembre 2026 |
|
11 dicembre 2027 |
|
Cosa si applica |
|---|
|
Entrata in vigore |
|
Norme sugli organismi notificati |
|
Obblighi di segnalazione (art. 14) |
|
Applicazione completa e marcatura CE |
Chi è coinvolto. Fabbricanti, importatori e distributori di prodotti con elementi digitali. Un OEM che integra un PLC, un HMI o un router nella propria macchina deve chiedere ai fornitori dei componenti processi chiari di gestione delle vulnerabilità e aggiornamenti firmware.
Cosa fare subito. Inventario dei componenti connessi a bordo macchina, contatto di sicurezza per ogni fornitore, procedura interna su chi decide e invia la notifica, canale di comunicazione con il cliente finale.
Come scegliere componenti "CRA-ready". Preferisci fornitori con policy di disclosure delle vulnerabilità pubblicata, aggiornamenti firmware firmati e gestibili da remoto, documentazione di sicurezza e riferimenti alla serie IEC 62443.
Il legame con il Regolamento Macchine. Dal 20 gennaio 2027 anche la sicurezza delle macchine considera la protezione da manomissioni e attacchi: CRA e Regolamento Macchine vanno pianificati insieme (vedi articolo di dicembre).
• Il CRA riguarda anche i prodotti già venduti?
• Entro quanto va segnalata una vulnerabilità sfruttata?
• A chi si invia la segnalazione?
• Quali sanzioni sono previste?
