La Commissione europea ha pubblicato le nuove linee guida per accompagnare produttori, sviluppatori e imprese nell’applicazione del Cyber Resilience Act (CRA), il regolamento europeo che introduce requisiti di cybersicurezza per i prodotti hardware e software con elementi digitali. Gli orientamenti, pur non essendo vincolanti, puntano a chiarire gli aspetti più complessi della normativa e a facilitare il percorso di adeguamento delle aziende.
Il timing è particolarmente rilevante: dall’11 settembre 2026 entrano infatti in applicazione gli obblighi di segnalazione previsti dal CRA. I produttori dovranno notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei propri prodotti, con una prima segnalazione entro 24 ore dalla conoscenza dell’evento e una notifica completa entro 72 ore.
Le linee guida sono suddivise in nove sezioni e affrontano, attraverso esempi pratici, casi d’uso e schemi, alcuni dei principali nodi interpretativi: dall’ambito di applicazione del regolamento al software gratuito e open source, dalle modifiche sostanziali al periodo di supporto, fino alla valutazione del rischio, al remote data processing e alla gestione delle vulnerabilità.
La pubblicazione arriva quindi in una fase cruciale per l’attuazione del CRA: mentre gli obblighi di reporting scattano a settembre 2026, la piena applicazione del regolamento è prevista dall’11 dicembre 2027. Le aziende hanno dunque davanti un periodo decisivo per preparare processi, responsabilità e procedure di gestione e segnalazione degli incidenti e delle vulnerabilità.
Gli orientamenti sono stati elaborati anche attraverso il confronto con imprese ed esperti nell’ambito del CRA Expert Group, al quale partecipano la Commissione, ACN e le autorità degli Stati membri coinvolte nell’attuazione del regolamento.
