Cyber Resilience Act: Italia confía la vigilancia a ACN

El 2 de octubre de 2026 el Consejo de Ministros italiano aprobó en primera lectura el proyecto de decreto legislativo que adapta el ordenamiento italiano al Cyber Resilience Act (CRA, Reglamento UE 2024/2847), el reglamento sobre los requisitos de ciberseguridad de los productos con elementos digitales. El punto central: la Agencia para la Ciberseguridad Nacional (ACN) pasa a ser autoridad notificante de los organismos de evaluación de la conformidad y autoridad de vigilancia del mercado.

El texto completo todavía no se puede consultar: lo que se sabe procede del comunicado n.º 191 del Consejo de Ministros, analizado por Cybersecurity360, ICT Security Magazine y Agenda Digitale. El proyecto pasa ahora a los dictámenes de las comisiones parlamentarias y del Consejo de Estado, y aún puede cambiar. Sin embargo, una parte del reglamento europeo ya se aplica y no espera al decreto.

Qué prevé el proyecto de decreto

• ACN como autoridad notificante: notifica a la Comisión los organismos que realizarán las evaluaciones de la conformidad. La evaluación y el control de esos organismos siguen en manos del organismo nacional de acreditación.
• ACN como autoridad de vigilancia del mercado, con la posibilidad de recurrir a la Guardia di Finanza (la policía financiera italiana).
• Otras autoridades en su ámbito: para los productos que también son sistemas de inteligencia artificial de alto riesgo, las autoridades de la normativa nacional sobre IA; el Banco de Italia, Consob e IVASS para las entidades financieras supervisadas; el Garante italiano para la protección de datos. Las autoridades se coordinan, también mediante acuerdos de intercambio de información.
• Consumidores: podrán notificar vulnerabilidades, incidentes y amenazas directamente al CSIRT Italia; las infracciones del CRA se suman a las materias de las acciones de representación para la protección de intereses colectivos.
• Pymes y start-ups: un canal de asesoramiento específico, definido por ACN y el Ministerio de Empresas y del Made in Italy, y tarifas proporcionadas para la evaluación de la conformidad.
• Sandbox-CRA: un espacio de pruebas regulatorio bajo la supervisión de ACN, con entornos de prueba controlados antes de la comercialización, acceso prioritario para micro y pequeñas empresas y coordinación con los espacios para servicios financieros e IA.

Las designaciones ya figuraban en el artículo 15 de la Ley n.º 36 de 17 de marzo de 2026 (ley de delegación europea 2025). ICT Security Magazine recuerda que la delegación permite superar el límite general de 150.000 euros para las sanciones administrativas fijado por la Ley 234/2012: sin esa excepción no se podrían aplicar los importes máximos del CRA.

La cuestión abierta de las sanciones

Según Agenda Digitale, el proyecto deja que cada autoridad aplique las sanciones según sus propios procedimientos. ICT Security Magazine señala un punto abierto: para ACN, el procedimiento sancionador debería regularse mediante un reglamento previsto por el artículo 17, apartado 4-quater, del Decreto-ley 82/2021, que debía adoptarse antes de octubre de 2024 y que la publicación no ha encontrado entre los actos publicados. Mientras tanto se aplica la Ley 689/1981. La propia publicación lo presenta como un resultado negativo sobre las fuentes que pudo consultar, no como una certeza.

Los importes máximos europeos (artículo 64 del CRA, aplicable desde el 11 de diciembre de 2027) llegan a 15 millones de euros o el 2,5 % del volumen de negocios mundial anual, si esta cifra es superior, por incumplir los requisitos esenciales y las obligaciones de los artículos 13 y 14, y a 10 millones o el 2 % para un segundo grupo de obligaciones, que incluye las de importadores y distribuidores.

Ya en vigor: la notificación desde el 11 de septiembre de 2026

El CRA está en vigor desde el 10 de diciembre de 2024 y se aplica por fases:

• 11 de junio de 2026: capítulo IV, notificación de los organismos de evaluación de la conformidad;
• 11 de septiembre de 2026: artículo 14, obligaciones de notificación de los fabricantes;
• 11 de diciembre de 2026: fecha límite para que los Estados garanticen un número suficiente de organismos notificados;
• 11 de diciembre de 2027: aplicación general, con los requisitos esenciales del anexo I y las sanciones.

Desde el 11 de septiembre el fabricante debe notificar dos tipos de eventos: una vulnerabilidad explotada activamente en el producto y un incidente grave que afecte a la seguridad del producto. Los plazos cuentan desde que tiene conocimiento de ello:

• alerta temprana en 24 horas;
• notificación en 72 horas;
• informe final en 14 días desde que haya una corrección o mitigación disponible, para las vulnerabilidades, o en un mes desde la notificación, para los incidentes.

Las notificaciones pasan por la plataforma única de notificación gestionada por ENISA, a través del punto de acceso del CSIRT coordinador del Estado en el que el fabricante tiene su establecimiento principal: en Italia es el CSIRT Italia, que opera dentro de ACN. Se mantienen las obligaciones propias del RGPD y de NIS2.

Las orientaciones de la Comisión sobre el artículo 14 (contenido aprobado el 27 de julio de 2026, pendiente de adopción formal en todas las lenguas) aclaran dos aspectos. La obligación también se aplica a los productos introducidos en el mercado antes del 11 de diciembre de 2027 y continúa después del final del periodo de soporte. Se «tiene conocimiento» cuando, tras una primera evaluación, se alcanza un grado razonable de certeza sobre la explotación o el incidente, una noción alineada con NIS2 y el RGPD.

Impacto para las empresas europeas

El CRA afecta a quien comercializa, en el marco de una actividad comercial, hardware y software con una conexión de datos a un dispositivo o a una red. Las obligaciones del fabricante también se aplican a importadores y distribuidores que venden con su propio nombre o marca o que modifican sustancialmente el producto; el software de código abierto distribuido sin actividad comercial queda excluido. Quien también es entidad NIS2 puede tener que notificar el mismo evento por varios canales.

Qué hacer ahora

1. Haz el inventario de tus productos con elementos digitales en el mercado, incluidos los que ya no tienen soporte: la obligación de notificación también les afecta.
2. Redacta el procedimiento de notificación: quién evalúa un evento sospechoso, quién decide el momento en que la empresa «tiene conocimiento», quién envía la alerta temprana en 24 horas y con qué acceso a la plataforma.
3. Vigila las vulnerabilidades explotadas en los componentes de tus productos, partiendo de la lista de componentes y de los avisos públicos, como los del CSIRT Italia.
4. Prepara un canal para las notificaciones externas de investigadores y clientes, con tiempos de respuesta definidos.
5. Coordina CRA, NIS2 y RGPD en un único procedimiento que dirija el mismo evento a los destinatarios correctos.
6. Sigue la tramitación del decreto: texto definitivo, procedimiento sancionador, canal para pymes y acceso al Sandbox-CRA.

Cómo ayuda ARXDOME

ARXDOME no sustituye el proceso de gestión de vulnerabilidades de los productos que exige el CRA, pero ayuda en la parte de infraestructura. ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete, con las ya explotadas por los atacantes destacadas; ARX Horizon enriquece los eventos con listas de amenazas y vulnerabilidades. ARX Retain conserva los registros durante los años necesarios, útiles para reconstruir la cronología de un incidente cuando hay que documentarla dentro de los plazos.

Última actualización: 8 de octubre de 2026