Dall’11 settembre 2026 scatta l’obbligo di segnalare le vulnerabilità e gli incidenti gravi per i produttori con elementi presenti nel mercato europeo. Gli obblighi fanno parte del percorso di piena applicazione del Regolamento europeo Cyber Resilience Act (Reg. UE 2847/2024).

Per favorire i destinatari, la Commissione Europea ha pubblicato le linee guida non vincolanti destinate ad assistere produttori, sviluppatori e imprese negli adempimenti. Il documento è il frutto di un percorso di consultazione e di partecipazione attiva di imprese ed esperti di cybersicurezza dei prodotti digitali nel quadro dei lavori del CRA Expert Group, cui partecipa anche ACN e le altre Autorità degli Stati membri incaricate di attuare il Cyber Resilience Act. 

Le linee guida sono suddivise in nove sezioni che contengono esempi pratici e casi d’uso.

Si chiarisce in primo luogo che il CRA si applica lungo tutto il ciclo di vita del prodotto, dalla progettazione agli aggiornamenti, con un ruolo centrale per le autorità nazionali di vigilanza sul mercato e il supporto di Commissione ed ENISA.

Un capitolo di particolare rilievo è dedicato al software libero e open source (FOSS), ambito che aveva sollevato forti preoccupazioni nella comunità degli sviluppatori. Le linee guida precisano che il criterio decisivo è la “commercialità” dell’attività: la semplice messa a disposizione di FOSS non monetizzato non è considerata attività commerciale e resta quindi fuori dall’ambito di applicazione del CRA.

Un altro punto riguarda le “modifiche sostanziali” di prodotti già immessi sul mercato, in particolare tramite aggiornamenti software. È sostanziale la modifica che altera il profilo di rischio di cybersicurezza in modo non previsto dalla valutazione iniziale, ad esempio quando una dashboard da strumento di monitoraggio diventa in grado di controllare macchinari o quando un’app di gestione dati evolve in sistema di decisione automatizzata. Anche cambiamenti apparentemente minori, come l’introduzione di funzioni di login persistente, possono essere considerati sostanziali se introducono nuovi rischi non valutati.

Le linee guida affrontano inoltre il tema dei pezzi di ricambio digitali: i ricambi identici a componenti originari non sono soggetti al CRA, mentre quelli che incidono sulle caratteristiche di sicurezza diventano a loro volta “prodotti con elementi digitali” e devono rispettare i requisiti essenziali del regolamento. 

Fonte: Linee Guida CRA