Disclaimer

European Quality Standard dichiara che il contenuto del presente documento rappresenta la nostra migliore interpretazione degli standard tecnici, delle leggi, delle circolari e delle Direttive. Le informazioni contenute nel presente documento non hanno valore legale e non sostituiscono alcun requisito legale normativo. I riferimenti legislativi applicati sono quelli rilevanti per la valutazione specifica richiesta e non sono esaustivi. I produttori/importatori hanno la responsabilità di garantire che i prodotti immessi sul mercato siano conformi a tutte le normative pertinenti dei singoli paesi di commercializzazione.

Il presente documento non esonera le parti di una transazione dall'esercitare tutti i loro diritti e doveri nell'ambito dei documenti della transazione stessa. Questo documento non può essere riprodotto parzialmente senza la previa autorizzazione scritta della Società. Qualsiasi modifica non autorizzata, falsità o falsificazione del contenuto o la pubblicazione di questo documento è illegale e i trasgressori possono essere perseguiti nella misura massima consentita dalla legge.

Versione Luglio 2026

Il Cyber Resilience Act e l'incastro con il quadro normativo UE di prodotto

Un nuovo tassello nel Nuovo Quadro Legislativo

Il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act (CRA), introduce per la prima volta requisiti orizzontali di cybersicurezza per l'immissione sul mercato dei «prodotti con elementi digitali». Entrato in vigore il 10 dicembre 2024, si applicherà in via generale a partire dall'11 dicembre 2027, con alcune scadenze anticipate: gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi (art. 14) decorrono dall'11 settembre 2026, mentre le disposizioni sugli organismi notificati si applicano dall'11 giugno 2026 (Cyber Resilience Act – testo del Regolamento (UE) 2024/2847).

Per un professionista della certificazione la domanda operativa non è tanto «cosa chiede il CRA», quanto come si combina con le direttive e i regolamenti di prodotto che già governano macchine, giocattoli, DPI, apparecchi a gas, apparecchiature radio e altro. Il CRA non sostituisce la legislazione settoriale esistente: vi si affianca come strato orizzontale sul rischio cyber, generando aree di sovrapposizione che il fabbricante deve gestire con una logica di cumulo dei requisiti e di dimostrazione delle sinergie.

L'ambito del CRA: cosa fa scattare il doppio regime

Il CRA si applica ai «prodotti con elementi digitali resi disponibili sul mercato, la cui finalità prevista o l'uso ragionevolmente prevedibile includono una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete» (art. 2, par. 1), salvo le esclusioni previste ai paragrafi 2, 3 e 4 (FAQ sull'attuazione del CRA – IBF Solutions).

Tre elementi cumulativi determinano l'assoggettamento al CRA:

• il prodotto rientra nella definizione di prodotto con elementi digitali (hardware e/o software, comprese le soluzioni di elaborazione dati a distanza necessarie al funzionamento);
• prevede una connessione dati logica o fisica, diretta o indiretta;
• non ricade in una delle esclusioni di ambito.

È rilevante notare che il CRA copre sia i prodotti connessi fisicamente tramite interfacce hardware, sia quelli connessi logicamente (ad esempio tramite socket di rete o pipe). Anche i siti web e i servizi cloud possono rientrare nell'ambito quando integrano la funzionalità del prodotto e soddisfano la definizione di «elaborazione dati a distanza» ai sensi dell'art. 3, par. 2 (FAQ sull'attuazione del CRA – IBF Solutions).

Le esclusioni esplicite riguardano prodotti già coperti da regimi settoriali specifici con requisiti equivalenti o più stringenti in materia di cybersicurezza: dispositivi medici (Reg. UE 2017/745 e 2017/746), prodotti dell'aviazione civile (Reg. UE 2018/1139), veicoli a motore soggetti a omologazione (Reg. UE 2019/2144). Per questi il CRA arretra, evitando la duplicazione normativa.

Il principio generale: cumulo dei requisiti, non equivalenza automatica

Quando un prodotto rientra contemporaneamente nel CRA e in una normativa di prodotto settoriale, il fabbricante deve rispettare entrambi i corpi di requisiti. Il punto chiave, spesso frainteso, è che la conformità a un regime non implica automaticamente la conformità all'altro, anche quando i due affrontano rischi simili.

L'esempio più chiaro è quello del Regolamento Macchine. Come precisa la FAQ ufficiale della Commissione:

«I requisiti di cybersicurezza stabiliti nel CRA e nel Regolamento Macchine sono di natura tale che la conformità ai requisiti di cybersicurezza di uno solo dei due Regolamenti non può essere automaticamente considerata soddisfare pienamente anche quelli dell'altro Regolamento. Tuttavia, poiché i requisiti […] possono per alcuni aspetti affrontare rischi simili, la conformità al CRA potrebbe facilitare la conformità ai requisiti del Regolamento Macchine» (CRA FAQ ufficiale – interazione con il Regolamento Macchine).

Il fabbricante deve quindi dimostrare le sinergie sulla base di una valutazione del rischio, facendo leva, ove disponibili, su norme armonizzate o altre specifiche tecniche pertinenti. Non è ammesso il «copia-incolla» della conformità da un regime all'altro.

L'interazione con il Regolamento Macchine (UE) 2023/1230

Il Regolamento Macchine si applicherà dal 20 gennaio 2027, poco prima del CRA. Entrambi disciplinano l'immissione sul mercato, ma con oggetti diversi: il CRA copre i prodotti con elementi digitali, il Regolamento Macchine copre le macchine e i prodotti correlati.

La sovrapposizione tecnica è puntuale e ben identificata:

• il CRA fissa i requisiti essenziali di cybersicurezza nel suo Allegato I;
• il Regolamento Macchine fissa nell'Allegato III i requisiti essenziali di salute e sicurezza, includendo però anche i rischi di cybersicurezza che possono avere un impatto sulla sicurezza, in particolare le sezioni 1.1.9 (protezione contro la corruzione/manomissione) e 1.2.1 (sicurezza e affidabilità dei sistemi di comando).

Il Considerando 53 del CRA chiarisce che la conformità ai requisiti cyber del CRA «potrebbe facilitare» la conformità ai requisiti del Regolamento Macchine relativi a quelle sezioni, ma che tali sinergie «devono essere dimostrate dal fabbricante», ad esempio applicando norme armonizzate o specifiche tecniche a valle di una valutazione del rischio (CRA FAQ ufficiale – Regolamento Macchine, Considerando 53).

Sul piano procedurale, il fabbricante deve seguire le procedure di valutazione della conformità previste da entrambi i regolamenti, ciascuna secondo le proprie regole. Esempio tipico riportato dalla Commissione: una macchina confezionatrice di ortaggi per supermercati che integra hardware e software per funzionare è al tempo stesso una macchina ai sensi del Regolamento Macchine e un prodotto con elementi digitali ai sensi del CRA (CRA FAQ ufficiale – Regolamento Macchine).

Giocattoli, DPI, apparecchi a gas: la stessa logica orizzontale

Per le altre normative del Nuovo Quadro Legislativo – Direttiva Sicurezza Giocattoli (2009/48/CE, in corso di revisione verso un regolamento), Regolamento DPI (UE) 2016/425, Regolamento Apparecchi a Gas (UE) 2016/426 – vale lo stesso principio strutturale del cumulo: se il prodotto integra elementi digitali connessi, ai requisiti settoriali di sicurezza (chimica, meccanica, fisica, termica) si aggiungono i requisiti orizzontali di cybersicurezza del CRA.

In pratica:

• un giocattolo connesso (smart toy con app companion, connettività Bluetooth/Wi-Fi) resta soggetto ai limiti chimici e ai requisiti di sicurezza fisica della normativa giocattoli, e in più deve soddisfare i requisiti essenziali dell'Allegato I del CRA. La revisione della normativa giocattoli tiene esplicitamente conto dei rischi legati alla connettività e alla protezione dei dati;
• un DPI «intelligente» (con sensori, elettronica di monitoraggio, connessione a piattaforme) resta soggetto al Reg. 2016/425 per la funzione protettiva e, se connesso, al CRA per il profilo cyber;
• un apparecchio a gas con centralina elettronica connessa mantiene i requisiti del Reg. 2016/426 e, per la componente digitale connessa, quelli del CRA.

In tutti questi casi la marcatura CE resta unica ma «cumulativa»: attesta la conformità a tutte le normative applicabili. Il fabbricante redige un'unica dichiarazione di conformità UE che elenca tutti gli atti pertinenti (CRA compreso), come previsto dall'impianto del CRA sulla dichiarazione e sulla marcatura (Cyber Resilience Act – testo del Regolamento).

Il caso particolare della RED: una transizione con data certa

L'interazione più articolata sul piano temporale è quella con la Direttiva Apparecchiature Radio (RED, 2014/53/UE) e il suo Regolamento Delegato (UE) 2022/30, che ha reso applicabili i requisiti essenziali di cybersicurezza della RED (art. 3, par. 3, lett. d, e, f).

La sequenza è la seguente (CRA FAQ ufficiale – RED 2014/53/UE):

• dal 1° agosto 2025: i requisiti cyber della RED, attivati dal Regolamento Delegato 2022/30, si applicano alle categorie di apparecchiature radio interessate se immesse sul mercato da tale data. Le norme tecniche di supporto sono la serie EN 18031, citata nella Gazzetta ufficiale UE;
• dal 1° agosto 2025 al 10 dicembre 2027: i prodotti radio immessi sul mercato restano soggetti ai requisiti cyber della RED tramite il Regolamento Delegato;
• dall'11 dicembre 2027: la Commissione intende abrogare il Regolamento Delegato 2022/30, così che gli stessi prodotti immessi sul mercato da quella data (avvio dell'applicazione del CRA) siano soggetti ai requisiti essenziali del CRA anziché a quelli della RED.

L'abrogazione con effetto dall'11 dicembre 2027 non pregiudica la sorveglianza di mercato sui prodotti radio immessi tra il 1° agosto 2025 e il 10 dicembre 2027, che restano valutati sui requisiti cyber della RED vigenti al momento dell'immissione (CRA FAQ ufficiale – RED 2014/53/UE). Si tratta quindi di una staffetta normativa: la RED presidia la fase transitoria, il CRA subentra come regime unico orizzontale sulla cybersicurezza dei prodotti radio.

Prodotti «importanti» e «critici»: la valutazione di conformità rafforzata

Il CRA modula la severità della valutazione di conformità in base alla criticità. La maggioranza dei prodotti segue l'autovalutazione (controllo interno di produzione, modulo A). I prodotti con elementi digitali che hanno la funzionalità principale delle categorie dell'Allegato III sono «prodotti importanti» (classi I e II) e sono soggetti a procedure rafforzate ai sensi dell'art. 32, par. 2 e 3 (esame UE del tipo, sistema di gestione della qualità, o applicazione di norme armonizzate/schemi di certificazione) (Cyber Resilience Act – testo del Regolamento).

Un punto tecnico rilevante per chi valuta prodotti complessi: l'integrazione di un componente che ha la funzionalità principale di una categoria dell'Allegato III non rende di per sé l'intero prodotto in cui è integrato soggetto alle procedure rafforzate (Cyber Resilience Act – testo del Regolamento). Per i prodotti «critici» dell'Allegato IV la Commissione può inoltre richiedere, tramite atti delegati, un certificato di cybersicurezza europeo di livello almeno «sostanziale» secondo il Cybersecurity Act (Reg. UE 2019/881).

Implicazioni operative per il fascicolo tecnico

Per il professionista della compliance, l'incastro CRA / normativa di prodotto si traduce in alcune azioni concrete:

1. Mappatura dell'assoggettamento: verificare, prodotto per prodotto, se scatta il doppio regime (settoriale + CRA) applicando i tre criteri cumulativi di ambito del CRA.
2. Valutazione del rischio integrata: condurre una risk assessment che copra i rischi cyber in modo da poter dimostrare le sinergie tra i requisiti dei due regimi, senza presumere equivalenze automatiche.
3. Selezione delle norme armonizzate: privilegiare, ove disponibili, norme armonizzate o specifiche tecniche che coprano sia i requisiti cyber del CRA sia le sezioni pertinenti del regime settoriale (es. sezioni 1.1.9 e 1.2.1 dell'Allegato III del Regolamento Macchine; serie EN 18031 per la sfera radio).
4. Procedure di conformità parallele: eseguire le procedure di valutazione della conformità di ciascun regime, individuando quando è richiesta l'autovalutazione e quando serve un organismo notificato.
5. Documentazione unica ma completa: predisporre un fascicolo tecnico e una dichiarazione di conformità UE che elenchino tutti gli atti applicabili, con marcatura CE che ne attesta il rispetto cumulativo.
6. Gestione delle scadenze: presidiare le date chiave (20 gennaio 2027 per le macchine; 11 settembre 2026 per la segnalazione incidenti; 11 dicembre 2027 per l'applicazione generale del CRA e l'abrogazione del Regolamento Delegato RED).

Conclusione

Il Cyber Resilience Act non riscrive il diritto di prodotto UE: lo integra con uno strato orizzontale di cybersicurezza che si somma – senza sostituirsi – alle direttive e ai regolamenti settoriali. La regola d'oro è il cumulo dei requisiti con dimostrazione delle sinergie: la conformità a un regime può facilitare, ma mai sostituire, la conformità all'altro. Per macchine, giocattoli, DPI e apparecchi a gas questo significa una marcatura CE che diventa progressivamente più «spessa»; per le apparecchiature radio significa una staffetta ordinata tra RED e CRA con spartiacque all'11 dicembre 2027. La sfida per i fabbricanti e per chi li assiste è governare questa stratificazione con valutazioni del rischio robuste, norme armonizzate ben scelte e fascicoli tecnici capaci di reggere il confronto con più regimi contemporaneamente.

Fonti principali: testo del Regolamento (UE) 2024/2847 (Cyber Resilience Act); FAQ ufficiali della Commissione europea pubblicate tramite l'Open Regulatory Compliance Working Group (ORCWG); documentazione tecnica di supporto all'attuazione del CRA. Articolo a scopo informativo; per decisioni di conformità fare sempre riferimento ai testi normativi ufficiali e alla guidance della Commissione europea.