Software per la conformità al CRA: quali obblighi del Cyber Resilience Act copre CE-Copilot
Chi cerca un software per il CRA trova due tipi di strumenti: strumenti di sviluppo che generano una SBOM, analizzano il codice alla ricerca di vulnerabilità e distribuiscono gli aggiornamenti, e software per la conformità che gestisce classificazione, valutazione, prove e segnalazioni. CE-Copilot appartiene al secondo tipo. Questa guida illustra fino a che punto CE-Copilot copre gli obblighi del Cyber Resilience Act: obbligo per obbligo, con il riferimento normativo e il piano.
Copertura, obbligo per obbligo
Dei 25 ambiti di obblighi, CE-Copilot ne copre 12 e 8 in parte; 5 esulano dal software. In tutti e tre i casi, l’attuazione tecnica sulla macchina e la responsabilità restano al fabbricante.
Coperto in CE-Copilot (12)
Il software La guida attraverso l’obbligo e ne documenta il risultato.
Verificare l’ambito di applicazione
Art. 2; art. 3, punto 1
La ricerca norme propone il CRA come applicabile solo quando la descrizione della macchina mostra una connessione dati; le affermazioni negate non contano e, senza elementi di prova, il CRA compare come da verificare. Nel modulo Cibersicurezza Lei verifica la connessione dati e le esclusioni di cui all’articolo 2, compreso il regolamento delegato (UE) 2025/1535.
dal piano Starter
Classificare i prodotti importanti e critici
Art. 7; art. 8; allegati III e IV
Lei indica la funzionalità principale e spunta le categorie applicabili degli allegati III e IV, con le descrizioni tecniche del regolamento di esecuzione (UE) 2025/2392. La classificazione diventa vincolante solo con la Sua conferma.
dal piano Starter
Obblighi in base alla data di immissione sul mercato
Art. 69; art. 71, par. 2
La data confermata decide quali obblighi si applicano a un’unità: gli obblighi di segnalazione dall’11 settembre 2026, l’intero regolamento per l’immissione sul mercato a partire dall’11 dicembre 2027 e, allo stesso modo, dopo una modifica sostanziale a partire da tale data.
dal piano Starter
Determinare la procedura di valutazione della conformità
Art. 32
L’app ricava le procedure ammesse dalla classificazione. Tiene conto del fatto che, per i prodotti di classe I senza norma armonizzata, specifica comune o sistema di certificazione, il controllo interno (modulo A) non è disponibile.
dal piano Starter
Valutare i rischi di cibersicurezza
Art. 13, par. 2 e 3
L’ambito della valutazione con finalità prevista, uso ragionevolmente prevedibile, ambiente operativo, risorse da proteggere e condizioni d’uso, più le minacce con misure e rischio residuo. Si basa sull’inventario delle interfacce del progetto.
dal piano Professional
Documentare i requisiti dell’allegato I
Allegato I, parti I e II; art. 13, par. 4
Una matrice con il testo di ciascun requisito: se si applica sulla base della valutazione del rischio, con una motivazione quando non si applica, più attuazione e prove. La parte I, punto 1, e i requisiti di gestione delle vulnerabilità della parte II si applicano sempre.
dal piano Professional
Componenti di terzi e open source
Art. 13, par. 5
Un elenco dei componenti che contrassegna il software libero e open source e registra per ciascun componente la prova della dovuta diligenza.
dal piano Professional
Stabilire il periodo di assistenza
Art. 13, par. 8 e 19
Il periodo di assistenza con la motivazione basata sul tempo di utilizzo previsto, una verifica rispetto al minimo di cinque anni e la data di fine che deve essere comunicata agli utilizzatori al momento dell’acquisto.
dal piano Professional
Gestire i casi di segnalazione ai sensi dell’articolo 14
Art. 14, par. da 1 a 4; art. 69, par. 3
Per ogni caso: momento in cui se ne è venuti a conoscenza, preallarme entro 24 ore, notifica entro 72 ore e relazione finale, con semaforo nella pagina di progetto, modelli di testo conformi al testo dell’articolo 14, il CSIRT competente e il numero di pratica della piattaforma di segnalazione. I casi segnalati non possono essere eliminati.
dal piano Professional
Informazioni per l’utilizzatore ai sensi dell’allegato II
Art. 13, par. 18; allegato II
Le informazioni dell’allegato II le cura Lei una sola volta. Compaiono nella relazione CRA e nel capitolo sulla cibersicurezza delle istruzioni per l’uso (modulo aggiuntivo dal piano Professional).
dal piano Professional
Documentazione tecnica
Art. 31; allegato VII
Una sezione sulla cibersicurezza ai sensi dell’allegato VII nella lista di controllo della documentazione tecnica (dal piano Starter), più la relazione CRA in PDF e Word e un capitolo dedicato nel dossier completo (dal piano Professional).
dal piano Starter
Dichiarazione di conformità UE
Art. 28; allegato V
Il CRA compare nella dichiarazione solo quando classificazione e data sono confermate e gli obblighi principali si applicano all’unità. Procedura e specifiche applicate hanno campi propri.
dal piano Starter
Coperto in parte (8)
Una parte è nel software; il resto lo fornisce Lei.
Distinta base del software (SBOM)
Allegato I, parte II, punto 1
CE-Copilot archivia nel progetto il file della SBOM, ad esempio in formato CycloneDX o SPDX, e registra se e come gli utilizzatori vi hanno accesso. La SBOM la genera e la analizza Lei con i Suoi strumenti di sviluppo.
dal piano Professional
Gestire le vulnerabilità
Allegato I, parte II, punti da 2 a 8
Per la correzione, le verifiche periodiche, la divulgazione delle vulnerabilità risolte, la politica di divulgazione coordinata delle vulnerabilità, la distribuzione sicura e gli aggiornamenti di sicurezza gratuiti, Lei documenta attuazione e prove nella matrice. Gli avvisi di sicurezza e la politica di divulgazione li redige e li pubblica Lei.
dal piano Professional
Punto di contatto unico per le vulnerabilità
Art. 13, par. 17
Il punto di contatto lo inserisce Lei nella sezione Vulnerabilità della pagina di progetto; compare nella relazione CRA e nelle informazioni per l’utilizzatore. La casella di posta o il portale di segnalazione li gestisce Lei.
dal piano Professional
Informare gli utilizzatori sugli incidenti
Art. 14, par. 8
Ogni caso ha un modello per l’informazione degli utilizzatori e registra come prova quando gli utilizzatori sono stati informati. L’informazione ai Suoi clienti la invia Lei.
dal piano Professional
Modifica sostanziale
Art. 3, punto 30; art. 22
Nell’app la data di una modifica sostanziale fa scattare gli obblighi previsti dal regolamento. Se un aggiornamento software o una trasformazione sia sostanziale lo valuta Lei.
dal piano Starter
Versioni software e serie di prodotti
Art. 13, par. 8 e 10
Periodo di assistenza, valutazione e casi di segnalazione sono gestiti per progetto. Più versioni software consegnate, o una vulnerabilità che riguarda più serie di prodotti, si gestiscono attraverso i singoli progetti.
Copia o dichiarazione di conformità semplificata
Art. 13, par. 20; allegato VI
L’app produce la dichiarazione completa in PDF e Word da allegare al prodotto. Una dichiarazione semplificata ai sensi dell’allegato VI con l’indirizzo Internet la redige Lei.
dal piano Starter
Conservare i documenti per dieci anni
Art. 13, par. 13
I progetti con casi segnalati sono protetti dall’eliminazione, e la relazione e il dossier li esporta Lei in PDF e Word. La conservazione per dieci anni la organizza Lei nel Suo archivio.
Resta al fabbricante (5)
Nessuna funzione dedicata in CE-Copilot; Lei adempie l’obbligo al di fuori del software.
Sviluppo sicuro e prove di sicurezza
Allegato I, parte I, punto 2
Attuazione tecnica, test di penetrazione e revisioni del codice avvengono nel Suo processo di sviluppo. CE-Copilot documenta quale misura soddisfa quale requisito.
Segnalazione sulla piattaforma dell’ENISA
Art. 14; art. 16
La notifica la presenta Lei tramite la piattaforma unica di segnalazione dell’ENISA. CE-Copilot non è collegato alla piattaforma; termini, modelli e prove provengono dall’app.
Valutazione da parte di un organismo notificato
Art. 32, par. da 2 a 4
Quando la procedura richiede un organismo notificato, è Lei a incaricarlo. La relazione e la documentazione tecnica di CE-Copilot servono come documenti di base.
Misure correttive, richiamo e informazioni alle autorità
Art. 13, par. da 21 a 23
Le misure correttive, il ritiro dal mercato, la cooperazione con la vigilanza del mercato e la comunicazione in caso di cessazione dell’attività restano al fabbricante.
Obblighi degli importatori e dei distributori
Art. 19; art. 20
CE-Copilot è concepito per i fabbricanti. Gli obblighi di verifica degli importatori e dei distributori non sono rappresentati separatamente.
Accanto al CRA: lo stesso inventario delle interfacce alimenta la valutazione della protezione dall’alterazione ai sensi dell’allegato III, punti 1.1.9 e 1.2.1, del regolamento macchine e la lista di controllo della EN 18031 per le apparecchiature radio, con le restrizioni della decisione di esecuzione (UE) 2025/138. Maggiori dettagli nella guida Cibersicurezza delle macchine.
Come riconoscere un buon software CRA
Sette domande da porre a qualsiasi software CRA, e come risponde CE-Copilot:
1. Il software ricava le date di riferimento dalla data di immissione sul mercato?
Se a una macchina si applicano solo gli obblighi di segnalazione o l’intero regolamento dipende da tale data e dalle successive modifiche sostanziali (articoli 69 e 71).
In CE-Copilot: Sì. Una data semplicemente letta dalla descrizione non produce alcun effetto giuridico finché Lei non la conferma.
2. Conosce i termini di segnalazione in ore e in giorni di calendario?
Preallarme e notifica decorrono in ore dal momento in cui se ne viene a conoscenza, la relazione finale in giorni o entro un mese; in caso di emergenza le prove devono essere già pronte.
In CE-Copilot: Sì. Termini per ogni caso con semaforo, modelli di testo e una traccia delle prove che, una volta effettuata la segnalazione, non può più essere eliminata.
3. Documenta l’allegato I requisito per requisito?
L’articolo 13, paragrafo 4, richiede una motivazione per ogni requisito che non si applica; l’allegato VII richiede una descrizione di come ciascuno è attuato.
In CE-Copilot: Sì. Una matrice con testo, applicabilità, motivazione, attuazione e prove.
4. Collega il CRA con il regolamento macchine e con la direttiva sulle apparecchiature radio?
Per le macchine, la protezione dall’alterazione (allegato III, punti 1.1.9 e 1.2.1, del regolamento macchine), la cibersicurezza delle apparecchiature radio e il CRA procedono in parallelo.
In CE-Copilot: Sì. Un unico inventario delle interfacce per tutte e tre le valutazioni, nello stesso fascicolo della valutazione del rischio e della dichiarazione di conformità.
5. Produce documenti adatti al fascicolo CE?
Documentazione tecnica, dichiarazione di conformità e istruzioni per l’uso devono dire la stessa cosa.
In CE-Copilot: Sì. Relazione CRA, capitolo del dossier, sezione della documentazione tecnica, dichiarazione e capitolo delle istruzioni per l’uso a partire dagli stessi dati.
6. Separa le prove interne dai documenti destinati ai clienti?
Le vulnerabilità aperte non devono comparire in un documento destinato a clienti o organismi.
In CE-Copilot: Sì. Il capitolo del dossier non mostra casi di segnalazione; la relazione completa reca un avviso di riservatezza.
7. Le conseguenze giuridiche restano regole fisse anziché decisioni dell’IA?
Date di riferimento, procedure e termini devono essere tracciabili.
In CE-Copilot: Sì. Queste regole sono logica fissa; le bozze di testo dell’IA si usano solo quando Lei le conferma.
A chi si addice CE-Copilot come software CRA
- Costruttori di macchine e di macchine speciali le cui macchine scambiano dati tramite bus di campo, Ethernet, manutenzione remota, cloud o radio.
- Costruttori di impianti e integratori che immettono sul mercato impianti interconnessi in qualità di fabbricante e valutano la cibersicurezza dell’insieme.
- Fabbricanti che consegnano prima dell’11 dicembre 2027: per loro gli obblighi di segnalazione si applicano già oggi, e le altre sezioni preparano le unità successive.
- CE-Copilot non è pensato come strumento di sviluppo software: generatori di SBOM, scanner di vulnerabilità e server di aggiornamento restano strumenti separati.
Quadro giuridico
Gli obblighi di segnalazione ai sensi dell’articolo 14 si applicano dall’11 settembre 2026, anche alle macchine con connessione dati già immesse sul mercato (articolo 69, paragrafo 3). Gli altri obblighi si applicano ai prodotti immessi sul mercato a partire dall’11 dicembre 2027 (articolo 71, paragrafo 2). Alla data del quadro giuridico di questa guida, nella Gazzetta ufficiale non è stata pubblicata alcuna norma armonizzata ai sensi del CRA; non esiste quindi ancora una presunzione di conformità tramite norme armonizzate ai sensi dell’articolo 27. In CE-Copilot Lei registra come tali le specifiche applicate, ad esempio la IEC 62443. Come funziona l’app in base alla data di immissione sul mercato è illustrato nella guida Software per il regolamento sulla ciberresilienza per le macchine; i piani sono elencati nella pagina dei prezzi.
FAQ
Domande frequenti
Di quale software ho bisogno per rispettare il CRA?
CE-Copilot copre tutti gli obblighi del Cyber Resilience Act?
CE-Copilot rientra a sua volta nel CRA?
In CE-Copilot c’è una lista di controllo per il CRA?
Per quali prodotti è adatto CE-Copilot come software CRA?
Quale piano comprende le funzioni CRA?
CE-Copilot sostituisce un organismo notificato o una consulenza legale?
Conformità UE delle macchine gestita internamente, in italiano
Questa guida è scritta dal team di CE-Copilot, una piattaforma software per l'intero processo CE delle macchine nell'UE: classificazione delle direttive, una ricerca norme su 3600+ norme con stato di armonizzazione, valutazione del rischio secondo EN ISO 12100, documentazione della sicurezza funzionale, rapporti di prova, documentazione tecnica, istruzioni per l'uso e dichiarazione di conformità UE. I documenti vengono esportati in inglese o in tedesco, la dichiarazione di conformità UE anche in francese e in italiano. La piattaforma è disponibile in italiano e in inglese; l'IA redige le bozze, Lei verifica e approva.
Altre guide
Questa guida è un’informazione generale per i fabbricanti di macchine, verificata sui testi giuridici ufficiali dell’UE (stato: 30 ottobre 2026). Non costituisce consulenza legale. Per decisioni sul Suo prodotto specifico consulti i testi giuridici (EUR-Lex) o un consulente qualificato.