Cyber Resilience Act: segnalazioni dall'11 settembre 2026 e marcature per l'elettronica

Dall’11 settembre 2026 chi mette in commercio con il proprio nome o marchio un prodotto con elementi digitali deve segnalare entro 24 ore le vulnerabilità sfruttate e gli incidenti gravi che ne compromettono la sicurezza, anche per ciò che ha già venduto. È il primo obbligo del Cyber Resilience Act a carico dei fabbricanti: il grosso delle regole arriva nel dicembre 2027, mentre per gli apparecchi radio connessi la cibersicurezza è requisito della marcatura CE dall’agosto 2025.

Che cosa si segnala e in quali tempi

Il regolamento (UE) 2024/2847 del 23 ottobre 2024, il Cyber Resilience Act, riguarda i prodotti hardware e software destinati a collegarsi, anche indirettamente, a un dispositivo o a una rete. L’articolo 14 obbliga il fabbricante a notificare la vulnerabilità attivamente sfruttata, cioè già usata da un malintenzionato secondo prove attendibili, e l’incidente grave che tocca la sicurezza del prodotto. Una falla scoperta in un collaudo o da un ricercatore in buona fede, senza sfruttamento malevolo, non rientra nell’obbligo.

Le scadenze sono tre: preallarme entro 24 ore da quando il fabbricante ne è venuto a conoscenza, notifica entro 72 ore, relazione finale entro 14 giorni dalla disponibilità di una correzione, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti. Vanno informati anche gli utilizzatori colpiti. Le notifiche passano dalla piattaforma unica di segnalazione dell’ENISA, l’agenzia europea per la cibersicurezza, attiva dall’11 settembre, con accesso tramite EU Login. Arrivano al CSIRT dello Stato in cui si decide sulla sicurezza dei prodotti: per un’impresa italiana, il CSIRT Italia presso l’Agenzia per la cybersicurezza nazionale (ACN).

Anche per i prodotti già venduti

L’articolo 69, paragrafo 3, estende l’obbligo ai prodotti immessi sul mercato prima dell’11 dicembre 2027. Le indicazioni non vincolanti della Commissione (domande frequenti e orientamenti del 27 luglio 2026) ne tracciano i confini: non si segnalano a ritroso le vulnerabilità di cui si conosceva lo sfruttamento prima dell’11 settembre, e per quei prodotti non scattano gli obblighi di gestione delle vulnerabilità, come correzioni e aggiornamenti. La notifica resta dovuta anche dopo il periodo di assistenza.

Chi è il fabbricante, e chi no

Fabbricante è chi sviluppa o fabbrica il prodotto, o lo fa progettare e fabbricare da altri, e lo commercializza con il proprio nome o marchio. Per la Guida blu della Commissione, se il prodotto è venduto con il marchio di un altro, il fabbricante è quest’ultimo, che non può scaricare le proprie responsabilità sul subfornitore. Chi produce su progetto e per conto di un committente, di regola, non è quindi fabbricante del prodotto finito.

Diverso è il caso di chi vende ad altri produttori, con il proprio nome, un modulo o un firmware che scambia dati: il componente è a sua volta un prodotto con elementi digitali e, per le domande frequenti della Commissione, se contiene la vulnerabilità sfruttata la notifica spetta anche a chi lo ha fabbricato. Importatori e distributori diventano fabbricanti se vendono con il proprio marchio o modificano il prodotto in modo sostanziale.

Il resto dal dicembre 2027

Dall’11 dicembre 2027 si applica il resto del regolamento: valutazione del rischio, sicurezza fin dalla progettazione, gestione delle vulnerabilità per un periodo di assistenza di norma non inferiore a cinque anni, dichiarazione UE di conformità e marcatura CE. Vale per ogni esemplare immesso da quella data, anche se il modello era già in vendita. Le sanzioni, anche per le segnalazioni, le fissano gli Stati membri: in Italia l’articolo 15 della legge 17 marzo 2026, n. 36, ha delegato il Governo a definirle e a indicare nell’ACN l’autorità di vigilanza del mercato, ma il decreto non è ancora stato emanato.

Apparecchi radio connessi: le regole valgono già

Per le apparecchiature radio che possono comunicare via Internet, il regolamento delegato (UE) 2022/30 della Commissione, del 29 ottobre 2021, ha reso obbligatori tre requisiti della direttiva 2014/53/UE del 16 aprile 2014: protezione della rete, tutela dei dati personali, se ne trattano, e, per chi consente pagamenti, difesa dalle frodi. Valgono per gli apparecchi immessi sul mercato dal 1° agosto 2025, come un localizzatore con modulo cellulare o un sensore che trasmette dati in rete, e chi li immette non conformi è già sanzionabile (d.lgs. 22 giugno 2016, n. 128, art. 46). Le norme armonizzate EN 18031 sono state pubblicate con restrizioni dalla decisione di esecuzione (UE) 2025/138 del 28 gennaio 2025: se l’apparecchio consente di non impostare alcuna password, per esempio, non danno presunzione di conformità e serve un organismo notificato.

Il corredo di sempre

Il fabbricante appone la marcatura CE dopo aver predisposto la documentazione tecnica e firmato la dichiarazione UE di conformità, da conservare per dieci anni. Per l’elettronica senza radio restano le direttive del 26 febbraio 2014 su compatibilità elettromagnetica (2014/30/UE) e bassa tensione (2014/35/UE), quest’ultima fra 50 e 1.000 volt in alternata o 75 e 1.500 in continua. Vale per tutti la RoHS (direttiva 2011/65/UE dell’8 giugno 2011, recepita dal d.lgs. 4 marzo 2014, n. 27), che limita dieci sostanze: diverse esenzioni per il piombo usate nell’elettronica scadono fra dicembre 2026 e dicembre 2027.

Chi immette sul mercato apparecchiature elettriche ed elettroniche con il proprio marchio, o le importa, è produttore ai fini dei RAEE (d.lgs. 14 marzo 2014, n. 49): prima di iniziare deve iscriversi al registro nazionale presso la Camera di commercio e finanziare la gestione dei rifiuti, da solo o con un sistema collettivo. Chi fabbrica per un committente che vende con il proprio marchio non lo è.

Per le batterie vale il regolamento (UE) 2023/1542 del 12 luglio 2023. Chi mette per primo sul mercato italiano batterie, anche incorporate nei propri apparecchi, per esempio perché le importa, è produttore: deve registrarsi e finanziarne la raccolta. Il d.lgs. 10 febbraio 2026, n. 29, ha istituito un nuovo registro presso le Camere di commercio e, fino alla sua apertura, resta attivo quello delle pile e degli accumulatori. Dal 18 febbraio 2027 le batterie portatili incorporate dovranno essere rimovibili e sostituibili dall’utilizzatore finale senza attrezzi speciali, salvo deroghe circoscritte.

Che cosa verificare, in pratica

• Per ogni prodotto connesso, chi figura come fabbricante; se si lavora su specifica altrui, scriverlo nel contratto con il committente, con i tempi per passarsi le segnalazioni.
• Due persone incaricate delle notifiche, ciascuna con il proprio account EU Login, per coprire anche i festivi.
• Per gli apparecchi radio immessi dal 1° agosto 2025, una dichiarazione di conformità che copra i requisiti di cibersicurezza.
• Le iscrizioni al registro AEE e, se serve, a quello delle batterie.
• Nei nuovi progetti con batteria integrata, la sostituibilità richiesta dal febbraio 2027.

Le indicazioni di questa pagina hanno carattere informativo e danno conto della normativa vigente alla data di pubblicazione; non sostituiscono l’esame della singola posizione, che può presentare profili qui non trattati.