Il Cyber Resilience Act (Regolamento UE 2024/2847) rende la sicurezza informatica un requisito obbligatorio di tutti i prodotti con elementi digitali venduti in Europa: software, dispositivi connessi, macchinari con firmware. Dall’11 settembre 2026 i fabbricanti devono segnalare entro 24 ore le vulnerabilità sfruttate e gli incidenti gravi; dall’11 dicembre 2027 nessun prodotto potrà avere la marcatura CE senza rispettare i requisiti di sicurezza. Riguarda direttamente chi produce, ma anche chi compra e installa: telecamere, centrali d’allarme, firewall, stampanti, sensori e PLC dovranno arrivare con aggiornamenti garantiti. Media Assistance aiuta le aziende tra Varese, Milano e Novara a capire cosa le riguarda e a mettere in ordine i dispositivi in rete.
Le date del Cyber Resilience Act
- 10 dicembre 2024: entrata in vigore del regolamento.
- 11 settembre 2026: scattano gli obblighi di segnalazione per i fabbricanti, anche per i prodotti già sul mercato.
- 11 dicembre 2027: piena applicazione. I prodotti immessi sul mercato devono rispettare i requisiti di sicurezza, con documentazione tecnica, gestione delle vulnerabilità ed elenco dei componenti software (SBOM).
Chi produce: cosa va segnalato e in quanto tempo
È “fabbricante” chi mette sul mercato con il proprio marchio un prodotto con software o firmware: non solo le software house, ma anche chi costruisce macchinari, quadri di automazione, dispositivi IoT o rivende con il proprio nome prodotti di terzi. Dall’11 settembre 2026, per una vulnerabilità sfruttata attivamente o un incidente grave, le scadenze sono:
- 24 ore: preallarme (per micro e piccole imprese non sono previste sanzioni sul solo mancato rispetto delle 24 ore);
- 72 ore: notifica completa con prima valutazione e misure di mitigazione;
- 14 giorni (vulnerabilità) o 1 mese (incidenti): relazione finale.
Le segnalazioni passano dalla piattaforma unica di ENISA e arrivano al CSIRT nazionale, in Italia CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale. Le sanzioni per le violazioni più gravi arrivano fino a 15 milioni di euro o al 2,5% del fatturato mondiale. Il primo passo pratico è sapere di quali componenti software è fatto ogni prodotto: senza un inventario non si riesce nemmeno a capire se una vulnerabilità ci riguarda.
Chi acquista e usa: cosa cambia per un’azienda utente
La maggior parte delle PMI non produce dispositivi, ma ne usa decine: telecamere di videosorveglianza, centrali antintrusione, firewall e switch, stampanti, badge, climatizzazione e impianti gestiti via app, PC e macchinari connessi. Per loro il Cyber Resilience Act è una buona notizia, a patto di sfruttarla:
- Periodo di supporto dichiarato: il fabbricante dovrà indicare per quanto tempo fornirà aggiornamenti di sicurezza, di norma almeno cinque anni. Diventa un criterio di acquisto, come la garanzia.
- Sicuro per impostazione predefinita: niente più password di fabbrica uguali per tutti, aggiornamenti automatici o semplici da installare.
- Informazioni sulle vulnerabilità: gli utenti dei prodotti coinvolti devono essere informati e ricevere le correzioni.
Il regolamento però non tocca ciò che è già installato: la telecamera comprata cinque anni fa, con firmware mai aggiornato e la password di default, resta in rete com’è. Ed è lì che si concentrano gli attacchi.
Cosa conviene fare adesso
- Inventario dei dispositivi connessi: non solo PC e server, ma tutto ciò che ha un indirizzo IP, compresi impianti di sicurezza e macchinari.
- Aggiornare o isolare: firmware aggiornati dove possibile; i dispositivi fuori supporto vanno separati dal resto della rete con VLAN e regole sul firewall.
- Cambiare le credenziali di fabbrica e disattivare gli accessi remoti non necessari, spesso aperti dal fornitore al momento dell’installazione.
- Nei nuovi acquisti chiedere il periodo di supporto e la conformità al Cyber Resilience Act, soprattutto per videosorveglianza, antintrusione e apparati di rete.
- Se produci: nomina un responsabile, prepara la procedura di segnalazione a 24/72 ore e inizia l’elenco dei componenti software dei tuoi prodotti.
Per le aziende soggette anche alla NIS2 i due percorsi si incrociano: la gestione delle vulnerabilità e la sicurezza della catena di fornitura sono richieste da entrambe. Ne parliamo nella pagina dedicata alla cyber security.
Sai quanti dispositivi connessi hai in azienda?
Media Assistance fa l’inventario di rete, aggiorna o isola telecamere, centrali e apparati fuori supporto e configura segmentazione e firewall. Siamo installatori di impianti di videosorveglianza, antintrusione e reti: seguiamo tutto, dal cavo al firewall.
Domande frequenti
Il Cyber Resilience Act riguarda anche le piccole imprese?
Sì, se producono o mettono sul mercato con il proprio marchio prodotti con software o firmware. Per micro e piccole imprese ci sono alcune semplificazioni, ma gli obblighi di segnalazione valgono per tutti.
Da quando si applica?
Gli obblighi di segnalazione di vulnerabilità sfruttate e incidenti gravi valgono dall’11 settembre 2026; tutti gli altri requisiti dall’11 dicembre 2027.
Un’azienda che usa solo i dispositivi deve fare qualcosa?
Non ha obblighi diretti dal Cyber Resilience Act, ma conviene inventariare i dispositivi connessi, aggiornare o isolare quelli fuori supporto e scegliere i nuovi prodotti in base al periodo di aggiornamento garantito.
Che differenza c’è con la NIS2?
La NIS2 riguarda le organizzazioni e come gestiscono la propria sicurezza; il Cyber Resilience Act riguarda i prodotti e chi li fabbrica. Un’azienda può essere soggetta a entrambe.
Fonti: Regolamento (UE) 2024/2847 – EUR-Lex; Aruba Magazine – obbligo di segnalazione dall’11 settembre; Tom’s Hardware – PMI e segnalazione delle vulnerabilità.