Cyber Resilience Act obblighi PMI: cosa fare entro l'11 settembre
Cyber Resilience Act obblighi PMI: la scadenza dell'11 settembre 2026
Se la tua PMI produce macchinari con firmware, vende software o integra componenti digitali in prodotti destinati al mercato, c'è una data da segnare: 11 settembre 2026. Da quel giorno scattano i primi obblighi del Cyber Resilience Act (Regolamento UE 2024/2847), e il primo riguarda la segnalazione delle vulnerabilità. Chi non si adegua rischia sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, a seconda di quale importo sia superiore (ICT Security Magazine). Il Cyber Resilience Act obblighi PMI li porta concreti, non teorici: procedure, tempi, documentazione.
Molte PMI manifatturiere italiane non sanno ancora di rientrare nel perimetro. Questo articolo spiega chi è coinvolto, cosa fare prima dell'11 settembre e come organizzarsi senza stravolgere l'azienda.
Cosa prevede il Cyber Resilience Act in sintesi
Il CRA è un regolamento europeo che impone requisiti di cybersicurezza per tutti i prodotti con elementi digitali immessi sul mercato UE. Non riguarda solo il software: copre hardware con componenti programmabili, dispositivi IoT, macchinari con interfacce di rete, sensori connessi, pannelli di controllo con firmware (01net).
Le scadenze sono due:
- 11 settembre 2026 — obbligo di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi.
- 11 dicembre 2027 — conformità piena dei prodotti: requisiti essenziali di cybersicurezza, valutazione della conformità, documentazione tecnica, marcatura CE aggiornata.
La prima scadenza è quella che richiede azione immediata. La seconda dà più tempo, ma il lavoro di preparazione va iniziato adesso (SNI Unioncamere).
Chi rientra nel perimetro: non solo aziende tech
Il CRA si applica a fabbricanti, importatori e distributori di prodotti con elementi digitali. Se sei una PMI manifatturiera e pensi che il regolamento non ti riguardi, verifica questi scenari:
- Produci un macchinario con PLC, HMI o firmware aggiornabile — rientri come fabbricante.
- Integri sensori IoT o gateway di raccolta dati nei tuoi impianti e li vendi come parte della soluzione — rientri.
- Sviluppi un software (gestionale, app, tool di configurazione) e lo distribuisci ai clienti — rientri.
- Importi componenti elettronici con software embedded da extra-UE e li rivendi — rientri come importatore.
Non rientri se usi software solo internamente, senza distribuirlo. Non rientri per i servizi SaaS puri (coperti dalla NIS2, non dal CRA). Non rientrano nemmeno i prodotti open source non commerciali (ICT Security Magazine).
Il punto critico per molte PMI manifatturiere: il confine tra "prodotto meccanico" e "prodotto con elementi digitali" si è spostato. Una macchina utensile con pannello touch e connessione remota è un prodotto con elementi digitali. Un quadro elettrico con interfaccia di monitoraggio via rete è un prodotto con elementi digitali.
Cosa fare entro l'11 settembre 2026: la segnalazione vulnerabilità
Il primo obbligo operativo è la CRA segnalazione vulnerabilità 2026. Funziona così:
- Se scopri una vulnerabilità attivamente sfruttata in un tuo prodotto (o ne vieni informato da un cliente, un ricercatore, un fornitore), hai 24 ore per inviare una notifica iniziale al CSIRT nazionale e a ENISA (01net).
- Entro 72 ore devi fornire un aggiornamento con dettagli tecnici: natura della vulnerabilità, prodotti interessati, gravità stimata, eventuali misure correttive adottate o pianificate (ICT Security Magazine).
- Entro 14 giorni dalla disponibilità della patch o misura correttiva, serve una relazione finale (SNI Unioncamere).
Non è un obbligo che scatta "se capita". Devi avere una procedura pronta per intercettare, classificare e notificare. Se il tuo tecnico scopre il problema venerdì sera e nessuno fa niente fino a lunedì, le 24 ore sono già scadute.
Cosa significa in pratica per una PMI da 30 dipendenti
Scenario concreto. Produci centraline di controllo per impianti di climatizzazione industriale. Un cliente ti segnala che il pannello web della centralina è accessibile senza autenticazione dopo un certo aggiornamento firmware. Quella è una vulnerabilità. Se qualcuno la sta sfruttando, hai 24 ore.
Cosa ti serve:
- Un canale di ricezione segnalazioni — un indirizzo email dedicato (tipo security@tuaazienda.it), una procedura chiara per i tecnici interni e i clienti.
- Un responsabile identificato che sappia valutare la segnalazione e decidere se attiva il flusso di notifica.
- Un template di notifica precompilato con i dati della tua azienda e dei prodotti, pronto per essere inviato al CSIRT.
- Un registro delle vulnerabilità gestito con date, stato, azioni intraprese.
Non servono investimenti enormi. Serve organizzazione. E serve che queste cose esistano prima dell'11 settembre, non dopo il primo incidente.
Obbligo notifica incidenti CRA: non solo vulnerabilità
Oltre alle vulnerabilità sfruttate, il CRA prevede anche la notifica degli incidenti gravi che hanno impatto sulla sicurezza del prodotto digitale. Anche qui le tempistiche sono strette: notifica iniziale entro 24 ore, aggiornamento entro 72 ore (ICT Security Magazine).
Esempio: un attacco ransomware compromette il server su cui ospiti gli aggiornamenti firmware dei tuoi prodotti. Se l'attaccante ha potuto alterare i file di aggiornamento distribuiti ai clienti, quello è un incidente grave che impatta la sicurezza del prodotto. Va notificato.
Chi ha già lavorato sulla NIS2 e sul piano di continuità operativa ha un vantaggio: parte della struttura organizzativa (ruoli, procedure di escalation, contatti) è riutilizzabile. Ma il CRA ha un perimetro diverso — riguarda il prodotto, non l'infrastruttura aziendale — quindi le procedure vanno adattate.
Cybersicurezza prodotti digitali PMI: prepararsi al 2027
L'11 settembre 2026 è la prima scadenza, ma la conformità piena arriva il dicembre 2027. Quel traguardo richiede lavoro strutturale sui prodotti. Conviene iniziare adesso perché i tempi di progettazione e certificazione nelle PMI manifatturiere non sono brevi.
I requisiti essenziali di cybersicurezza dei prodotti digitali includono (SNI Unioncamere):
- Security by design — la sicurezza va integrata nella progettazione del prodotto, non aggiunta dopo.
- Configurazione sicura di default — il prodotto deve uscire dalla fabbrica con impostazioni sicure (niente password di default universali, porte aperte non necessarie, servizi attivi senza motivo).
- Gestione degli aggiornamenti di sicurezza — devi garantire aggiornamenti per tutta la vita attesa del prodotto, comunque per almeno 5 anni.
- Documentazione tecnica — valutazione dei rischi cyber, descrizione dell'architettura di sicurezza, elenco delle dipendenze software (SBOM).
- Valutazione della conformità — per i prodotti "importanti" e "critici" servono procedure di valutazione più rigorose, eventualmente con organismi notificati.
L'impatto concreto sulla progettazione
Se oggi il tuo ufficio tecnico progetta un quadro di automazione senza considerare la sicurezza del firmware, dal 2027 quel prodotto non potrà avere la marcatura CE. La cybersicurezza diventa un requisito di prodotto come la compatibilità elettromagnetica o la sicurezza elettrica.
Per una PMI che produce macchine o componenti con elettronica integrata, questo significa:
- Rivedere il processo di sviluppo firmware per includere analisi delle vulnerabilità.
- Documentare la Software Bill of Materials (SBOM): l'elenco completo delle librerie e componenti software usati nel prodotto.
- Predisporre un meccanismo di aggiornamento sicuro (firmato, verificabile) per i dispositivi già installati.
- Valutare i fornitori di componenti software ed elettronici anche sotto il profilo della sicurezza — un tema che si collega direttamente al vendor rating dei fornitori.
Come organizzarsi: 5 passi operativi prima di settembre
Ecco una sequenza pratica per arrivare pronti alla prima scadenza.
1. Mappa i prodotti nel perimetro CRA
Fai un inventario di tutto ciò che la tua azienda immette sul mercato e contiene elementi digitali. Includi firmware, software di configurazione distribuito con il prodotto, app companion, componenti con connettività. Se hai dubbi su un prodotto specifico, il criterio è: contiene software o hardware programmabile ed è destinato a terzi?
2. Definisci il punto di contatto per la sicurezza
Identifica chi, nella tua organizzazione, riceve e gestisce le segnalazioni di vulnerabilità. Può essere il responsabile IT, il responsabile qualità, un tecnico senior. L'importante è che sia una persona reale con un processo chiaro, non una casella email che nessuno legge.
3. Crea la procedura di segnalazione
Scrivi una procedura interna che copra: ricezione della segnalazione, valutazione iniziale (è una vulnerabilità sfruttata?), notifica entro 24 ore, aggiornamento entro 72 ore, relazione finale. Tienila semplice — una pagina, un diagramma di flusso, i contatti del CSIRT nazionale.
4. Prepara i template
Non improvvisare la notifica durante l'emergenza. Prepara un modello con i campi richiesti: dati del fabbricante, identificazione del prodotto, descrizione della vulnerabilità, impatto stimato, misure adottate. Quando il CSIRT e ENISA pubblicheranno i formati definitivi, adattali.
5. Automatizza il tracciamento
Un foglio Excel può bastare per i primi mesi, ma se gestisci più prodotti o versioni firmware, conviene avere un sistema che tracci vulnerabilità, stato delle segnalazioni, scadenze delle notifiche. L'automazione dei processi qui non è un lusso: è la differenza tra rispettare le 24 ore e bucarle. Se la tua azienda ha già un flusso strutturato per la gestione delle non conformità di prodotto, può essere un buon punto di partenza da estendere.
Il collegamento con la polizza cyber e altre compliance
Il CRA non vive isolato. Diverse normative convergono sulla cybersicurezza delle PMI e si rafforzano a vicenda.
Chi sta valutando una polizza cyber risk troverà che molte compagnie assicurative già richiedono evidenza di procedure di gestione delle vulnerabilità. Avere la procedura CRA pronta rafforza la posizione negoziale con l'assicuratore.
Chi rientra nel perimetro NIS2 ha obblighi complementari sulla sicurezza dell'infrastruttura aziendale. Il CRA aggiunge quelli sul prodotto. Serve coordinamento tra i due filoni, non due progetti separati che non si parlano.
E chi esporta verso clienti grandi o catene di fornitura strutturate si aspetti che la conformità CRA diventi un requisito contrattuale, come è già successo con la certificazione ISO o con la marcatura CE tradizionale.
Cosa può fare un gestionale in tutto questo
Una parte degli obblighi CRA è documentale e procedurale. Qui un sistema gestionale progettato su misura può fare la differenza rispetto a fogli sparsi e procedure sulla carta.
Esempi concreti:
- Registro prodotti con elementi digitali — collegato all'anagrafica articoli, con versione firmware, SBOM, data di immissione sul mercato.
- Workflow di segnalazione — dalla ricezione alla notifica, con alert automatici sulle scadenze (24h, 72h, 14 giorni).
- Tracciamento aggiornamenti di sicurezza — quale versione è installata da quale cliente, chi ha ricevuto la patch, chi no.
- Documentazione di conformità — generazione e archiviazione della documentazione tecnica richiesta per la marcatura CE aggiornata.
Niente di questo richiede un sistema enterprise sovradimensionato. Richiede un sistema che si adatti al tuo processo, non il contrario. Questo è il tipo di progetto che costruiamo ogni giorno per PMI manifatturiere.
Prima di settembre: verifica dove sei
La scadenza dell'11 settembre 2026 non è lontana. Se produci o integri prodotti con componenti digitali, il momento per muoversi è adesso. Non servono consulenze da centinaia di migliaia di euro. Serve chiarezza su cosa ti riguarda, una procedura scritta e gli strumenti per rispettare le tempistiche.
Se stai pensando a un sistema per gestire la tracciabilità dei tuoi prodotti digitali, le segnalazioni di vulnerabilità o la documentazione di conformità CRA, puoi verificare fattibilità, tempi e range di budget in 90 secondi su Fattibile? — gratis, senza lasciare email. Oppure scrivici direttamente.
Domande frequenti
A chi si applica il Cyber Resilience Act?
Il CRA si applica a tutti i fabbricanti, importatori e distributori che immettono sul mercato UE prodotti con elementi digitali. Include hardware con firmware, software standalone e componenti digitali integrati in macchinari. Se la tua PMI produce o integra questi prodotti, il regolamento ti riguarda (SNI Unioncamere).
Cosa bisogna fare entro l'11 settembre 2026?
Entro l'11 settembre 2026 scatta l'obbligo di segnalazione: se scopri una vulnerabilità attivamente sfruttata in un tuo prodotto, devi notificarla al CSIRT nazionale e a ENISA entro 24 ore. Entro 72 ore serve un aggiornamento con dettagli tecnici. Non è ancora richiesta la conformità completa del prodotto, che scade a dicembre 2027 (01net).
Quali sono le sanzioni per chi non si adegua al CRA?
Le sanzioni possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, a seconda di quale importo sia superiore (ICT Security Magazine).
Il CRA si applica anche al software gestionale interno?
No. Il CRA riguarda prodotti con elementi digitali immessi sul mercato o messi a disposizione di terzi. Un software sviluppato internamente per uso esclusivo aziendale non rientra nel perimetro. Rientra invece se quel software viene venduto, distribuito o integrato in un prodotto destinato ai clienti.
Che differenza c'è tra CRA e NIS2?
La NIS2 si applica a soggetti essenziali e importanti e riguarda la sicurezza delle reti e dei sistemi informativi dell'organizzazione. Il CRA si applica ai prodotti con elementi digitali immessi sul mercato e riguarda la sicurezza del prodotto lungo tutto il suo ciclo di vita. Una PMI può ricadere in entrambi i perimetri (ICT Security Magazine).
Questo articolo è stato generato da un sistema di intelligenza artificiale e sottoposto a un controllo automatico di qualità e di verifica delle fonti prima della pubblicazione, senza revisione editoriale umana. Informazione resa ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act). I contenuti hanno finalità informativa e non sostituiscono un parere professionale.