Cyber Resilience Act, Commissione UE pubblica linee guida per imprese e sviluppatori

Il 27 luglio 2026 la Commissione europea ha diffuso le linee guida ufficiali per l’applicazione del Cyber Resilience Act, il regolamento che introduce requisiti obbligatori di cybersicurezza per i prodotti digitali immessi sul mercato UE. Il documento chiarisce ambito di applicazione, modifiche sostanziali, periodi di supporto e obblighi di segnalazione, con particolare attenzione a micro, piccole e medie imprese.

Cosa prevede il nuovo documento della Commissione

Produttori, sviluppatori e imprese di ogni dimensione dispongono ora di indicazioni operative per prepararsi ai requisiti obbligatori di sicurezza informatica e agli obblighi di segnalazione previsti dal Cyber Resilience Act (CRA).

Le linee guida spiegano nel dettaglio quali prodotti rientrano nell’ambito di applicazione della normativa, cosa costituisce una modifica sostanziale di un prodotto, come vanno interpretati i periodi di supporto e in che modo adempiere agli obblighi di segnalazione e di valutazione del rischio.

Il documento chiarisce l’ambito di applicazione del regolamento, i periodi di supporto e gli obblighi di segnalazione degli incidenti, con 67 esempi pratici pensati per PMI e sviluppatori.

Le indicazioni rispondono anche ai quesiti sollevati dalle imprese, con un’attenzione particolare rivolta a microimprese e PMI, includendo casi d’uso concreti per ridurre gli oneri amministrativi non necessari.

Quote della vicepresidente Virkkunen

Secondo la vicepresidente esecutiva Henna Virkkunen, responsabile per Sovranità tecnologica, sicurezza e democrazia, la pubblicazione dimostra come sicurezza informatica e competitività delle imprese possano procedere insieme, offrendo agli operatori strumenti concreti per rispettare gli obblighi nei tempi stabiliti.

Le linee guida si inseriscono nel programma di semplificazione della Commissione, che punta a evitare oneri inutili e incertezza giuridica per le aziende, garantendo al contempo che i prodotti sul mercato europeo siano protetti dalle minacce informatiche.

Perché il tempismo è cruciale

La Commissione collega esplicitamente l’urgenza dell’attuazione ai recenti sviluppi dei modelli di intelligenza artificiale più avanzati, che mostrano capacità crescenti in ambito cybersicurezza.

Questo scenario rende ancora più necessaria un’applicazione rapida e corretta del regolamento.

Deadline

Il CRA è in vigore dal 10 dicembre 2024 e stabilisce requisiti obbligatori di sicurezza informatica lungo l’intero ciclo di vita dei prodotti digitali.

Le tappe principali:

• 11 giugno 2026: entrata in applicazione del Capo IV (artt. 35-51), relativo alle autorità responsabili del controllo di conformità
• 11 settembre 2026: decorrenza degli obblighi di segnalazione al CSIRT nazionale e all’ENISA per le vulnerabilità attivamente sfruttate
• 11 dicembre 2027: piena applicabilità delle disposizioni principali del regolamento

Il regolamento si applica a un’ampia gamma di dispositivi connessi e software: router, modem, prodotti per smart home come elettrodomestici, serrature e videocamere di sicurezza, baby monitor, smart toys, smartwatch e altri indossabili, oltre a sistemi operativi, firewall, VPN, browser e antivirus.

Iter costruito con gli stakeholder

Il documento è il risultato di un ampio processo di consultazione che ha coinvolto il gruppo di esperti sulla cybersicurezza dei prodotti con elementi digitali e una consultazione pubblica avviata nei primi mesi del 2026.

La Commissione ha inoltre precisato che, qualora emergessero ulteriori esigenze interpretative durante l’attuazione del regolamento, potranno essere pubblicate nuove linee guida ai sensi dell’articolo 26 del CRA.