Cyber Resilience Act: vigilanza ad ACN nel decreto italiano

Il 2 ottobre 2026 il Consiglio dei ministri ha approvato in esame preliminare lo schema di decreto legislativo che adegua l’ordinamento italiano al Cyber Resilience Act (CRA, regolamento UE 2024/2847), il regolamento sui requisiti di cybersicurezza dei prodotti con elementi digitali. Il punto centrale: l’Agenzia per la cybersicurezza nazionale (ACN) diventa autorità di notifica degli organismi di valutazione della conformità e autorità di vigilanza del mercato.

Il testo integrale non è ancora consultabile: quanto si sa viene dal comunicato del Consiglio dei ministri n. 191, analizzato da Cybersecurity360, ICT Security Magazine e Agenda Digitale. Lo schema passa ora ai pareri delle commissioni parlamentari e del Consiglio di Stato e può ancora cambiare. Una parte del regolamento europeo, però, è già applicabile e non aspetta il decreto.

Cosa prevede lo schema di decreto

• ACN autorità di notifica: notifica alla Commissione gli organismi che svolgeranno le valutazioni della conformità. La valutazione e il controllo di questi organismi restano all’organismo nazionale di accreditamento.
• ACN autorità di vigilanza del mercato, con la possibilità di avvalersi della Guardia di finanza.
• Altre autorità nei rispettivi ambiti: per i prodotti che sono anche sistemi di intelligenza artificiale ad alto rischio, le autorità della disciplina nazionale sull’IA; Banca d’Italia, Consob e IVASS per gli istituti finanziari vigilati; il Garante privacy per la protezione dei dati. Le autorità si coordinano anche con accordi per lo scambio di informazioni.
• Consumatori: potranno segnalare vulnerabilità, incidenti e minacce direttamente al CSIRT Italia; le violazioni del CRA entrano tra le materie delle azioni rappresentative a tutela degli interessi collettivi.
• PMI e start-up: un canale di consulenza dedicato, definito da ACN e dal Ministero delle imprese e del Made in Italy, e tariffe proporzionate per la valutazione della conformità.
• Sandbox-CRA: uno spazio di sperimentazione normativa sotto la supervisione di ACN, con ambienti di prova controllati prima dell’immissione sul mercato, accesso prioritario per micro e piccole imprese e coordinamento con gli spazi per i servizi finanziari e per l’IA.

Le designazioni erano già scritte nell’articolo 15 della legge 17 marzo 2026, n. 36 (legge di delegazione europea 2025). ICT Security Magazine ricorda che la delega permette di superare il tetto generale di 150.000 euro per le sanzioni amministrative fissato dalla legge 234/2012: senza questa deroga i massimali del CRA non sarebbero applicabili.

Il nodo delle sanzioni

Secondo Agenda Digitale lo schema affida a ciascuna autorità l’applicazione delle sanzioni secondo le proprie procedure. ICT Security Magazine segnala un punto aperto: per ACN il procedimento sanzionatorio dovrebbe essere disciplinato da un regolamento previsto dall’articolo 17, comma 4-quater, del decreto-legge 82/2021, da adottare entro ottobre 2024, che la testata non ha trovato negli atti pubblicati. Fino ad allora si applica la legge 689/1981. La testata presenta il dato come un riscontro negativo sulle fonti consultabili, non come una certezza.

I massimali europei (articolo 64 del CRA, applicabile dall’11 dicembre 2027) arrivano a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore, per le violazioni dei requisiti essenziali e degli obblighi degli articoli 13 e 14, e a 10 milioni o al 2% per un secondo gruppo di obblighi, che comprende quelli di importatori e distributori.

Già in vigore: la segnalazione dall’11 settembre 2026

Il CRA è in vigore dal 10 dicembre 2024 e si applica per fasi:

• 11 giugno 2026: capo IV, notifica degli organismi di valutazione della conformità;
• 11 settembre 2026: articolo 14, obblighi di segnalazione dei fabbricanti;
• 11 dicembre 2026: entro questa data gli Stati devono garantire un numero sufficiente di organismi notificati;
• 11 dicembre 2027: applicazione generale, con i requisiti essenziali dell’allegato I e le sanzioni.

Dall’11 settembre il fabbricante segnala due tipi di eventi: una vulnerabilità attivamente sfruttata nel prodotto e un incidente grave che ha un impatto sulla sicurezza del prodotto. Le scadenze decorrono da quando ne viene a conoscenza:

• preallarme entro 24 ore;
• notifica entro 72 ore;
• relazione finale entro 14 giorni dalla disponibilità di una correzione o mitigazione, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti.

Le segnalazioni passano dalla piattaforma unica di segnalazione gestita da ENISA, attraverso il punto d’accesso del CSIRT coordinatore dello Stato in cui il fabbricante ha lo stabilimento principale: in Italia è il CSIRT Italia, che opera in ACN. Restano gli obblighi autonomi previsti da GDPR e NIS2.

Gli orientamenti della Commissione sull’articolo 14 (contenuto approvato il 27 luglio 2026, in attesa dell’adozione formale in tutte le lingue) chiariscono due aspetti. L’obbligo vale anche per i prodotti immessi sul mercato prima dell’11 dicembre 2027 e continua dopo la fine del periodo di supporto. Si «viene a conoscenza» quando, dopo una prima valutazione, si raggiunge un ragionevole grado di certezza sullo sfruttamento o sull’incidente, una nozione allineata a NIS2 e GDPR.

Impatto per le aziende italiane

Il CRA riguarda chi mette sul mercato, nell’ambito di un’attività commerciale, hardware e software con una connessione dati a un dispositivo o a una rete. Gli obblighi del fabbricante valgono anche per importatori e distributori che vendono con il proprio nome o marchio o che modificano in modo sostanziale il prodotto; il software open source distribuito senza attività commerciale resta escluso. Chi è anche soggetto NIS2 può trovarsi a segnalare lo stesso evento su più canali.

Cosa fare subito

1. Fai l’inventario dei prodotti con elementi digitali che hai messo sul mercato, compresi quelli fuori supporto: anche per loro vale l’obbligo di segnalazione.
2. Scrivi la procedura di segnalazione: chi valuta un evento sospetto, chi stabilisce il momento in cui l’azienda «viene a conoscenza», chi invia il preallarme entro 24 ore e con quali accessi alla piattaforma.
3. Sorveglia le vulnerabilità sfruttate nei componenti dei tuoi prodotti, partendo dall’elenco dei componenti e dagli avvisi pubblici, come quelli del CSIRT Italia.
4. Prepara un canale per le segnalazioni esterne di ricercatori e clienti, con tempi di risposta definiti.
5. Coordina CRA, NIS2 e GDPR in un’unica procedura che indirizzi lo stesso evento ai destinatari giusti.
6. Segui l’iter del decreto: testo definitivo, procedura sanzionatoria, canale per le PMI e accesso alla Sandbox-CRA.

Come aiuta ARXDOME

ARXDOME non sostituisce il processo di gestione delle vulnerabilità dei prodotti richiesto dal CRA, ma aiuta sul lato dell’infrastruttura. ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, con in evidenza quelle già sfruttate dagli attaccanti; ARX Horizon arricchisce gli eventi con liste di minacce e vulnerabilità. ARX Retain conserva i log per gli anni richiesti, utili per ricostruire la cronologia di un incidente quando va documentata entro i termini.

Ultimo aggiornamento: 8 ottobre 2026