Il Cyber Resilience Act prende forma anche nell’ordinamento italiano. Con la trasmissione alla Camera, il 9 ottobre 2026, dello schema di decreto legislativo per l’adeguamento al regolamento europeo, diventano finalmente disponibili le disposizioni nazionali che dovranno disciplinare controlli, certificazioni, procedimenti sanzionatori e coordinamento tra le autorità.
Il documento, identificato come Atto del Governo n. 447, consente di approfondire gli aspetti che erano rimasti aperti quando abbiamo analizzato le prime indicazioni sull’attribuzione ad ACN della vigilanza sul CRA.
La novità non riguarda tanto gli obblighi di sicurezza dei prodotti digitali, già stabiliti dal regolamento UE 2024/2847, quanto il sistema attraverso cui saranno verificati e fatti rispettare in Italia.
Dalla valutazione della conformità alla gestione delle vulnerabilità, dal raccordo con l’AI Act alla sperimentazione per le startup, lo schema delinea un’organizzazione più articolata di quanto lasciasse intendere la sola designazione dell’Agenzia per la cybersicurezza nazionale.
Il testo, approvato in via preliminare dal Consiglio dei ministri il 2 ottobre, è ancora sottoposto all’iter previsto per il parere parlamentare. Le disposizioni illustrate, dunque, rappresentano il contenuto dello schema e non ancora quello di un decreto legislativo definitivo.
Indice degli argomenti
Dal regolamento europeo al decreto italiano: che cosa cambia
Il primo elemento da chiarire è la natura dell’intervento normativo. Il Cyber Resilience Act è un regolamento europeo direttamente applicabile: non richiede un recepimento nazionale come avviene per le direttive.
L’Italia deve, però, adottare le disposizioni necessarie a renderne operativa l’applicazione, individuando le autorità competenti, disciplinando le procedure di controllo e assicurando il coordinamento con le normative già vigenti.
È questo l’obiettivo dello schema, composto da 27 articoli suddivisi in otto capi, oltre a un allegato.
Il provvedimento interviene su un sistema di vigilanza già esistente, quello disciplinato dal regolamento UE 2019/1020 e, nell’ordinamento italiano, dal decreto legislativo 157/2022. La scelta è significativa: i prodotti con elementi digitali non vengono sottoposti a una struttura di controllo completamente autonoma, ma entrano nel sistema europeo di sorveglianza del mercato.
Questo significa che la conformità cyber assume anche una dimensione di sicurezza e regolarità commerciale del prodotto.
Un dispositivo con vulnerabilità non gestite, un software privo della documentazione richiesta o un prodotto che non rispetta i requisiti essenziali del CRA possono diventare oggetto di interventi dell’autorità di vigilanza, secondo i presupposti e le procedure stabiliti dal regolamento.
La sicurezza informatica non è, quindi, soltanto una caratteristica tecnica dichiarata dal produttore, ma diventa un requisito verificabile anche dopo l’immissione sul mercato.
ACN e Accredia: come funzionerà la valutazione della conformità
La designazione di ACN quale autorità di notifica e di vigilanza del mercato era già emersa nella fase preparatoria del decreto. Il testo pubblicato permette ora di distinguere con maggiore precisione le due funzioni.
Organismi notificati: il ruolo dell’accreditamento
Gli articoli da 4 a 8 disciplinano il sistema degli organismi di valutazione della conformità.
ACN viene individuata come autorità di notifica ai sensi dell’articolo 36 del CRA. I compiti di valutazione e controllo degli organismi sono invece affidati ad Accredia, l’organismo nazionale di accreditamento, sulla base di una convenzione con l’Agenzia.
Gli organismi interessati dovranno presentare ad ACN la domanda di notifica, corredata dalla documentazione prevista dal regolamento europeo, incluso il certificato di accreditamento.
Le procedure di designazione e notifica saranno definite con un successivo provvedimento del direttore generale dell’Agenzia e pubblicate sul sito istituzionale.
Lo schema disciplina anche le conseguenze della sospensione, limitazione o revoca della notifica: in tali circostanze, così come in caso di cessazione dell’attività, l’organismo interessato non potrà rilasciare certificati di conformità.
Inoltre, è prevista una procedura di ricorso trasparente e accessibile contro le decisioni degli organismi notificati.
Per i fabbricanti, queste disposizioni hanno una conseguenza pratica. Nei casi in cui il CRA richiede l’intervento di un organismo notificato, la pianificazione della conformità dovrà considerare non soltanto le attività tecniche, ma anche la disponibilità degli organismi competenti, i tempi di valutazione e le procedure applicabili.
Non tutti i prodotti, però, richiedono automaticamente una certificazione di terza parte: il percorso dipende dalla classificazione del prodotto e dalle procedure previste dal regolamento europeo.
La vigilanza non si esaurisce con il certificato
La seconda funzione attribuita ad ACN riguarda il controllo dei prodotti sul mercato.
L’articolo 10 richiama i poteri previsti dal CRA, dal regolamento europeo sulla vigilanza del mercato e dal decreto legislativo 157/2022. L’Agenzia potrà, inoltre, avvalersi della collaborazione della Guardia di finanza.
Le modalità e i termini per l’esercizio di questi poteri dovranno essere definiti con un regolamento adottato mediante decreto del Presidente del Consiglio dei ministri.
È un passaggio da seguire con attenzione, in quanto la qualità della vigilanza dipenderà anche dalla capacità di svolgere verifiche tecniche sui prodotti, acquisire documentazione, valutare le non conformità e adottare misure proporzionate al rischio.
CRA e AI Act: il nodo della vigilanza sui prodotti di IA ad alto rischio
Una delle disposizioni più interessanti dello schema è contenuta nell’articolo 9.
La norma affronta il caso dei prodotti con elementi digitali che ricadono contemporaneamente nell’ambito del CRA e nella categoria dei sistemi di intelligenza artificiale ad alto rischio prevista dall’AI Act.
In queste situazioni, la vigilanza non viene attribuita indistintamente ad ACN. Lo schema richiama le autorità individuate dalla disciplina nazionale di adeguamento al regolamento sull’intelligenza artificiale, secondo gli ambiti di rispettiva competenza.
Accanto all’Agenzia possono quindi intervenire la Banca d’Italia, la Consob, l’IVASS e il Garante per la protezione dei dati personali.
La scelta risponde a un’esigenza concreta: evitare che uno stesso prodotto sia sottoposto a controlli completamente scollegati, quando i requisiti di cyber sicurezza del CRA si intrecciano con quelli applicabili ai sistemi di IA ad alto rischio.
Accordi e scambio di informazioni tra autorità
Gli articoli 12 e 13 prevedono meccanismi di cooperazione e scambio informativo tra le autorità di vigilanza e, quando necessario, con gli altri soggetti coinvolti nei controlli sui prodotti.
Lo schema contempla inoltre forme di coordinamento operativo con il Garante privacy, nel rispetto delle rispettive competenze.
Questo raccordo sarà particolarmente importante per i prodotti che trattano dati personali, integrano componenti di IA o vengono impiegati in settori sottoposti a vigilanza specifica.
Il punto critico non è soltanto individuare l’autorità competente, ma garantire che le informazioni su vulnerabilità, rischi e non conformità possano circolare tempestivamente senza generare duplicazioni procedurali.
Per le aziende che sviluppano prodotti digitali destinati a più settori, la conformità richiederà quindi una lettura coordinata delle norme applicabili, non una successione di verifiche isolate.
Vulnerabilità e incidenti: il raccordo con il CSIRT Italia
Lo schema chiarisce anche come dovranno essere organizzati alcuni canali nazionali di segnalazione.
L’articolo 14 disciplina i reclami presentati dai consumatori alle autorità di vigilanza del mercato. Ogni autorità li riceverà e tratterà secondo le proprie competenze; quelli indirizzati a un soggetto non competente dovranno essere trasmessi all’autorità corretta, informandone il reclamante.
La stessa disposizione prevede che ACN definisca le procedure attraverso cui i consumatori potranno segnalare direttamente al CSIRT Italia vulnerabilità, incidenti e minacce informatiche.
È una previsione che amplia le possibilità di acquisire informazioni sui problemi di sicurezza dei prodotti già in circolazione.
Occorre tuttavia distinguere questo canale dagli obblighi di notifica dei fabbricanti previsti direttamente dal CRA per le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti.
L’articolo 17 aggiunge un tassello operativo: ACN dovrà adeguare il proprio Portale segnalazioni per gli adempimenti di notifica e per il collegamento con la piattaforma di ENISA.
Perché il flusso delle segnalazioni sarà decisivo
La disponibilità di un canale tecnico non garantisce, da sola, un’efficace gestione delle vulnerabilità.
Serviranno procedure che consentano di distinguere le segnalazioni attendibili, collegarle ai prodotti interessati e gestire il coordinamento con fabbricanti e autorità competenti.
Per le imprese produttrici questo rafforza la necessità di disporre di processi strutturati di vulnerability management, con responsabilità definite per ricezione delle segnalazioni, analisi, correzione e comunicazione agli utilizzatori.
Il CRA richiede una gestione della sicurezza lungo il ciclo di vita del prodotto. Le disposizioni italiane dovranno rendere concretamente utilizzabili i meccanismi di vigilanza e segnalazione previsti a livello europeo.
Sandbox-CRA: uno spazio di sperimentazione per i prodotti innovativi
Tra le novità dello schema figura l’istituzione della Sandbox-CRA, prevista dall’articolo 19.
Si tratta di uno spazio di sperimentazione normativa, sotto la supervisione e con il sostegno di ACN, destinato a facilitare lo sviluppo, la progettazione, la convalida e le prove di prodotti innovativi con elementi digitali.
La sperimentazione dovrà avvenire in ambienti controllati, per un periodo limitato e prima dell’immissione sul mercato.
La misura è rilevante soprattutto per le imprese che sviluppano tecnologie innovative e devono affrontare i costi della verifica di conformità quando il prodotto non è ancora commercializzato.
Lo schema prevede infatti un accesso prioritario e agevolato per microimprese e piccole imprese, comprese le startup.
Accesso, durata e condizioni ancora da definire
L’articolo 19 non rende però immediatamente operativa la sandbox.
Un successivo decreto del direttore generale di ACN dovrà stabilire i criteri di ammissibilità, i servizi disponibili, le modalità di partecipazione e la durata massima delle sperimentazioni.
È previsto che la valutazione delle domande si concluda entro 90 giorni dalla loro presentazione. Anche questo termine, tuttavia, si inserisce nella disciplina attuativa ancora da adottare.
Il testo contempla, inoltre, la possibilità di utilizzare l’infrastruttura di high performance computing dell’Agenzia per effettuare test regolatori e verifiche di conformità.
L’articolo 20 apre alla collaborazione con laboratori universitari, centri di eccellenza, poli europei dell’innovazione digitale, impianti di prova e sperimentazione e con l’AI Factory italiana IT4LIA.
Sono previsti anche meccanismi di coordinamento con le sperimentazioni FinTech e con lo spazio nazionale dedicato all’intelligenza artificiale.
La scelta appare coerente con la crescente convergenza tra prodotti software, sistemi di IA e dispositivi connessi. Resta da verificare quanto questa rete di competenze potrà tradursi in servizi accessibili e tempi compatibili con le esigenze di sviluppo delle imprese.
La partecipazione alla sandbox, in ogni caso, non deve essere interpretata come un’esenzione generalizzata dagli obblighi del CRA o come un’autorizzazione automatica alla commercializzazione del prodotto.
PMI e startup: il sostegno alla conformità passa anche dalle competenze
Accanto alla sandbox, l’articolo 18 introduce misure dedicate alle microimprese e alle PMI, comprese le startup.
ACN, nella sua funzione di Centro nazionale di coordinamento, dovrà promuovere iniziative per il miglioramento delle competenze in materia di cyber sicurezza e resilienza dei prodotti digitali.
Lo schema prevede inoltre un coordinamento con il Ministero delle Imprese e del Made in Italy per l’attuazione delle misure di sostegno contemplate dal regolamento europeo.
Un ulteriore elemento riguarda le tariffe applicate dagli organismi di valutazione della conformità.
Il testo richiede di tenere conto delle esigenze delle imprese di minori dimensioni, adottando criteri di proporzionalità e un approccio basato sul rischio.
La previsione è importante perché la conformità al CRA può incidere in modo diverso sulle organizzazioni, a seconda delle risorse disponibili, della complessità dei prodotti e della maturità dei processi di sviluppo sicuro.
Per una piccola software house, documentare i requisiti di sicurezza, mantenere un processo di gestione delle vulnerabilità e assicurare il supporto durante il periodo previsto dal regolamento può richiedere investimenti organizzativi significativi.
Le misure nazionali potranno contribuire a ridurre alcune difficoltà di accesso alle competenze e alla valutazione della conformità. Non modificano però i requisiti sostanziali imposti dal CRA.
Sanzioni: il decreto disciplina chi interviene e con quali procedure
Il capitolo dedicato alle sanzioni conferma un altro aspetto rilevante dell’impostazione nazionale.
L’articolo 15 attribuisce alle autorità di vigilanza del mercato, secondo le rispettive competenze, il potere di irrogare le sanzioni previste dall’articolo 64 del CRA.
Importi massimi e principali violazioni sanzionabili sono già definiti dal regolamento europeo. Il decreto italiano interviene soprattutto sull’organizzazione dei procedimenti e sulle norme applicabili alle diverse autorità.
Per ACN, le modalità di adozione delle sanzioni saranno definite attraverso il regolamento richiamato dalla normativa istitutiva dell’Agenzia.
Per Banca d’Italia, Consob e IVASS vengono invece richiamate le rispettive discipline settoriali.
Il testo richiede inoltre che il procedimento sanzionatorio si concluda entro un termine ragionevole.
La conseguenza è un sistema nel quale la base normativa delle sanzioni rimane europea, mentre le procedure nazionali dipendono dall’autorità competente.
I proventi delle sanzioni ad ACN
L’articolo 16 dispone che i proventi delle sanzioni amministrative pecuniarie irrogate da ACN siano versati al bilancio dello Stato e riassegnati, secondo il meccanismo previsto, per incrementare la dotazione finanziaria dell’Agenzia.
Per le altre autorità rimangono ferme le rispettive disposizioni di settore.
Si tratta di una scelta organizzativa da considerare insieme alle risorse destinate alla vigilanza: l’applicazione del CRA richiederà infatti competenze specialistiche, strumenti di analisi e capacità di intervento sui prodotti digitali.
Risorse e personale: quanto viene stanziato per attuare il CRA
L’articolo 26 contiene uno degli elementi più concreti del provvedimento: la quantificazione delle risorse finanziarie destinate all’attuazione di specifiche disposizioni.
Lo schema autorizza una spesa di 2,1 milioni di euro per il 2026, 5,875 milioni per il 2027, 9,125 milioni per il 2028 e 6,925 milioni annui a decorrere dal 2029.
Una parte delle risorse è destinata all’incremento della dotazione organica del personale non dirigenziale di ACN: 900mila euro nel 2026, 2,7 milioni nel 2027 e 5,85 milioni annui dal 2028.
Sono stanziamenti che riguardano specifiche funzioni previste dal decreto e non devono essere letti come il costo complessivo della conformità al CRA per il sistema economico nazionale.
Il loro significato è comunque evidente: la vigilanza sui prodotti digitali richiede capacità operative aggiuntive.
Verificare la sicurezza di software, componenti hardware e dispositivi connessi è un’attività diversa dal controllo puramente documentale. Richiede competenze di analisi delle vulnerabilità, valutazione dei rischi e conoscenza delle architetture tecnologiche.
La disponibilità delle risorse rappresenta quindi una condizione necessaria, anche se non sufficiente, per rendere efficace il nuovo sistema di controlli.
Gli aspetti ancora aperti: i provvedimenti attuativi
La pubblicazione dello schema consente di conoscere le scelte del legislatore nazionale, ma non esaurisce il percorso di attuazione.
Diverse disposizioni rinviano, infatti, a provvedimenti successivi.
Tra queste rientrano le procedure per la designazione e la notifica degli organismi di valutazione della conformità, le modalità di esercizio dei poteri di vigilanza di ACN, la gestione dei reclami e delle segnalazioni dei consumatori e le regole operative della Sandbox-CRA.
Anche i meccanismi di coordinamento tra le autorità richiederanno accordi e protocolli.
È proprio su questi passaggi che si misurerà l’effettiva capacità del sistema nazionale di garantire controlli tempestivi e procedure comprensibili agli operatori economici.
Un ulteriore elemento riguarda la protezione delle informazioni scambiate tra le autorità. L’articolo 27 stabilisce che il coordinamento operativo e la condivisione dei dati debbano rispettare la normativa sulla protezione dei dati personali e i principi di necessità, proporzionalità e minimizzazione.
Una previsione particolarmente importante quando le attività di vigilanza comportano l’accesso a documentazione tecnica, informazioni sulle vulnerabilità e altri dati potenzialmente sensibili.
Cosa devono fare adesso produttori e responsabili della sicurezza
Per le aziende, la pubblicazione dello schema non modifica il calendario europeo di applicazione del Cyber Resilience Act.
Gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti si applicano dall’11 settembre 2026; le disposizioni generali del regolamento si applicheranno dall’11 dicembre 2027, secondo le regole transitorie previste.
Non è, quindi, necessario attendere l’approvazione definitiva del decreto italiano per avviare o proseguire il percorso di adeguamento.
I fabbricanti dovrebbero già aver individuato i prodotti interessati, verificato le procedure di valutazione della conformità applicabili e organizzato i processi di gestione delle vulnerabilità.
Per le organizzazioni che acquistano e integrano prodotti digitali, il CRA rappresenta invece un’occasione per rafforzare le verifiche sui fornitori, sulla disponibilità degli aggiornamenti di sicurezza e sulla documentazione tecnica.
Per CISO e responsabili della sicurezza il punto è integrare questi elementi nei processi di procurement, gestione degli asset e controllo della supply chain, distinguendo gli obblighi direttamente applicabili ai fabbricanti dalle verifiche che un’organizzazione utilizzatrice può richiedere ai propri fornitori.
Lo schema italiano aggiunge ora un’informazione importante: chiarisce quali autorità saranno coinvolte, come potranno intervenire e quali strumenti nazionali dovranno essere messi a disposizione.
La prossima verifica riguarderà la capacità di tradurre questa architettura in procedure operative efficaci, evitando che la complessità del coordinamento istituzionale si trasformi in un ulteriore ostacolo per le imprese chiamate a rendere più sicuri i propri prodotti digitali.
Partecipa alla community