Il regolamento sulla ciberresilienza per le macchine: obblighi, scadenze e segnalazioni
Se la Sua macchina ha un controllore con porta Ethernet, un router per la manutenzione remota o un terminale portatile senza fili, il regolamento europeo sulla ciberresilienza (CRA) quasi certamente si applica. Una parte è già in vigore: dall’11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, anche per le macchine consegnate anni fa. I requisiti di progettazione, di gestione delle vulnerabilità e di documentazione seguono l’11 dicembre 2027. Questa guida spiega ambito di applicazione, scadenze, classificazione e che cosa preparare, con i riferimenti agli articoli necessari per verificare da sé.
Le date principali
Pubblicazione nella Gazzetta ufficiale
Regolamento (UE) 2024/2847 del 23 ottobre 2024, GU L, 2024/2847. Rettificato da GU L, 2025/90555 del 2 luglio 2025 (articoli 13, paragrafo 8, e 64, paragrafo 10) e da GU L, 2025/90828 del 17 ottobre 2025 (articolo 67).
Entrata in vigore
Venti giorni dopo la pubblicazione (articolo 71, paragrafo 1). A questa data non si applica ancora alcun obbligo per i fabbricanti.
Organismi notificati
Si applica il capo IV (articoli da 35 a 51): gli organismi di valutazione della conformità possono quindi essere notificati ai sensi del CRA (articolo 71, paragrafo 2).
Si applicano gli obblighi di segnalazione
Le vulnerabilità attivamente sfruttate e gli incidenti gravi devono essere segnalati, anche per i prodotti immessi sul mercato prima di questa data (articolo 71, paragrafo 2, e articolo 69, paragrafo 3). Lo stesso giorno è entrata in funzione, in una prima versione, la Single Reporting Platform (piattaforma unica di segnalazione) dell’ENISA.
Piena applicazione
I prodotti immessi sul mercato a partire da questa data devono soddisfare tutti i requisiti: allegato I, valutazione del rischio, valutazione della conformità, dichiarazione e marcatura CE (articolo 71, paragrafo 2). I prodotti immessi sul mercato in precedenza rientrano nel regolamento solo se dopo questa data subiscono una modifica sostanziale (articolo 69, paragrafo 2).
Fine della validità transitoria dei certificati
I certificati di esame UE del tipo e le decisioni di approvazione relativi ai requisiti di cibersicurezza rilasciati ai sensi di altra normativa di armonizzazione dell’Unione restano validi fino a questa data, salvo che scadano prima o che tale normativa disponga diversamente (articolo 69, paragrafo 1).
Ciò che decide quali obblighi si applicano è dunque la data in cui un prodotto viene immesso sul mercato dell’UE. Per le linee di prodotti in corso, gli orientamenti della Commissione C(2026) 5252 (contenuto approvato il 27 luglio 2026; al 15 settembre 2026 non risulta alcuna adozione formale) offrono un certo alleggerimento: i prodotti progettati prima dell’11 dicembre 2027 e immessi sul mercato dopo tale data non devono essere riprogettati se la valutazione del rischio mostra che sono in atto misure adeguate. La valutazione della conformità, la dichiarazione e la marcatura CE restano comunque richieste.
La Sua macchina rientra nell’ambito di applicazione?
L’articolo 2, paragrafo 1, riguarda i prodotti con elementi digitali messi a disposizione sul mercato «la cui finalità prevista o il cui uso ragionevolmente prevedibile comprende una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete». Per prodotto con elementi digitali si intende qualsiasi prodotto software o hardware insieme alle sue soluzioni di elaborazione dei dati a distanza (articolo 3, punto 1), e ai sensi dell’articolo 3, punto 2, ne fa parte il software di elaborazione dei dati a distanza progettato o sviluppato dal fabbricante o sotto la sua responsabilità, come un’applicazione cloud da cui dipende una funzione della macchina.
Tipici elementi scatenanti nelle macchine
- Interfaccia Ethernet o bus di campo verso la rete dell’impianto o altre macchine
- Accesso per la manutenzione remota tramite router, VPN o portale
- Porta USB per il caricamento di programmi o ricette
- Wi-Fi, Bluetooth o rete cellulare, compresi i terminali portatili senza fili
- Collegamento all’applicazione cloud del fabbricante
Esclusioni di cui all’articolo 2, paragrafi da 2 a 7
- Dispositivi medici e dispositivi medico-diagnostici in vitro (regolamenti (UE) 2017/745 e 2017/746)
- Veicoli ai sensi del regolamento (UE) 2019/2144 e prodotti aeronautici certificati ai sensi del regolamento (UE) 2018/1139
- Equipaggiamenti marittimi ai sensi della direttiva 2014/90/UE
- Prodotti esclusi mediante atto delegato, finora quelli rientranti nel regolamento (UE) n. 168/2013 (articolo 2, paragrafo 5, regolamento delegato (UE) 2025/1535)
- Pezzi di ricambio identici (articolo 2, paragrafo 6)
- Prodotti sviluppati esclusivamente per la sicurezza nazionale o la difesa (articolo 2, paragrafo 7)
Le macchine non figurano in questo elenco. Il considerando 53 va oltre: i fabbricanti di macchine ai sensi del regolamento (UE) 2023/1230 dovrebbero rispettare sia il CRA sia il regolamento macchine. La bozza di orientamenti della Commissione aggiunge che una connessione dati presuppone informazioni digitali codificate: una macchina puramente meccanica, senza controllore né interfaccia, resta quindi fuori dal CRA. Il software necessario per far funzionare, configurare o controllare la macchina conta come parte del prodotto, anche quando i clienti lo scaricano separatamente.
Obblighi di segnalazione già applicabili
Due eventi attivano l’articolo 14. Una vulnerabilità attivamente sfruttata è una vulnerabilità per la quale esistono prove attendibili che un soggetto malintenzionato l’ha sfruttata in un sistema senza l’autorizzazione del proprietario (articolo 3, punto 42). Un incidente grave incide o può incidere sulla capacità del prodotto di proteggere la disponibilità, l’autenticità, l’integrità o la riservatezza di dati o funzioni sensibili o importanti, oppure ha determinato o può determinare l’introduzione o l’esecuzione di codice maligno nel prodotto o nella rete di un utilizzatore (articolo 14, paragrafo 5).
| Fase | Vulnerabilità attivamente sfruttata | Incidente grave |
|---|---|---|
| Preallarme | senza indebito ritardo e comunque entro 24 ore dal momento in cui ne è venuto a conoscenza, indicando gli Stati membri in cui, per quanto a conoscenza del fabbricante, il prodotto è stato messo a disposizione (art. 14, par. 2, lett. a)) | senza indebito ritardo e comunque entro 24 ore dal momento in cui ne è venuto a conoscenza, precisando se si sospettano atti illeciti o dolosi e, se del caso, gli Stati membri interessati (art. 14, par. 4, lett. a)) |
| Notifica | salvo che sia già stata fornita, senza indebito ritardo ed entro 72 ore: il prodotto, la natura generale dello sfruttamento e della vulnerabilità, le misure correttive adottate e le misure che gli utilizzatori possono adottare (art. 14, par. 2, lett. b)) | salvo che sia già stata fornita, senza indebito ritardo ed entro 72 ore: natura dell’incidente, valutazione iniziale, misure adottate e misure che gli utilizzatori possono adottare (art. 14, par. 4, lett. b)) |
| Relazione intermedia | su richiesta del CSIRT (art. 14, par. 6) | su richiesta del CSIRT (art. 14, par. 6) |
| Relazione finale | salvo che sia già stata fornita, entro 14 giorni dalla disponibilità di una misura correttiva o di attenuazione (art. 14, par. 2, lett. c)) | salvo che sia già stata fornita, entro un mese dalla notifica delle 72 ore (art. 14, par. 4, lett. c)) |
Le segnalazioni vengono presentate attraverso la piattaforma unica di segnalazione ai sensi dell’articolo 16, tramite il terminale per la notifica elettronica del CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha lo stabilimento principale, e sono contemporaneamente accessibili all’ENISA (articolo 14, paragrafo 7). Lo stabilimento principale è il luogo in cui le decisioni di cibersicurezza relative ai prodotti sono prevalentemente adottate o, in mancanza, lo Stato membro del suo stabilimento con il maggior numero di dipendenti nell’UE. I fabbricanti senza stabilimento principale nell’UE seguono un ordine sussidiario previsto dallo stesso paragrafo: lo Stato membro del rappresentante autorizzato che agisce per il maggior numero dei loro prodotti, poi quello dell’importatore che ne immette sul mercato il maggior numero, poi quello del distributore che ne mette a disposizione il maggior numero e infine lo Stato membro in cui si trova la maggior parte dei loro utilizzatori. Anche gli utilizzatori interessati devono essere informati, se necessario con indicazioni sulle misure di attenuazione (articolo 14, paragrafo 8).
Il termine decorre dal momento in cui se ne viene a conoscenza. Secondo la bozza di orientamenti della Commissione, un fabbricante viene a conoscenza del fatto quando una valutazione iniziale, svolta senza ritardo, dà un grado ragionevole di certezza che si sia verificato uno sfruttamento o un incidente grave. Una vulnerabilità in un componente di terzi va segnalata solo se è stata sfruttata nel Suo prodotto. Rispettare le 24 ore richiede un processo concordato in anticipo: chi valuta, chi segnala e in quali paesi è stato venduto ciascun tipo di macchina.
Alleggerimento per i piccoli fabbricanti: le sanzioni pecuniarie ai sensi dell’articolo 64 CRA non si applicano alle microimprese e alle piccole imprese per il solo mancato rispetto del termine di 24 ore per il preallarme (articolo 64, paragrafo 10, lettera a), come rettificato dalla GU L, 2025/90555). L’obbligo di segnalazione in sé e gli altri termini restano. Occorre però considerare la tempistica: ai sensi dell’articolo 71, paragrafo 2, l’articolo 64 si applica solo dall’11 dicembre 2027, poiché sono stati anticipati solo l’articolo 14 e il capo IV. Se e come le violazioni degli obblighi di segnalazione possano essere sanzionate prima di tale data dipende dal diritto nazionale; in Germania, al 15 settembre 2026, non è stato possibile trovare alcuna promulgazione della legge nazionale di attuazione.
Prodotto standard, importante o critico?
La procedura di valutazione della conformità dipende dalla classificazione, e la classificazione segue la funzionalità principale del prodotto (articoli 7, paragrafo 1, e 8, paragrafo 1). Il regolamento di esecuzione (UE) 2025/2392 contiene le descrizioni tecniche delle categorie. Secondo la bozza di orientamenti della Commissione, a questi fini un prodotto ha esattamente una funzionalità principale, che dovrebbe essere indicata nella documentazione tecnica.
| Categoria | Che cosa vi rientra | Valutazione della conformità |
|---|---|---|
| Prodotto standard | Tutto ciò la cui funzionalità principale non corrisponde a una categoria dell’allegato III o IV. È qui che si colloca normalmente la macchina stessa. | Controllo interno (modulo A) oppure, su base volontaria, esame UE del tipo più conformità al tipo (moduli B e C), garanzia della qualità totale (modulo H) o, se disponibile e applicabile, un sistema europeo di certificazione della cibersicurezza (articolo 32, paragrafo 1). |
| Importante, classe I (allegato III) | 19 categorie, tra cui router, modem per la connessione a Internet e switch (punto 12), interfacce di rete fisiche e virtuali (punto 10), sistemi operativi (punto 11), sistemi di gestione della rete (punto 6) e prodotti VPN (punto 5). | Modulo A solo se norme armonizzate, specifiche comuni o sistemi europei di certificazione con livello di affidabilità almeno «sostanziale» sono applicati integralmente; altrimenti moduli B e C oppure modulo H (articolo 32, paragrafo 2). |
| Importante, classe II (allegato III) | Ipervisori e sistemi di runtime container, firewall, sistemi di rilevamento e prevenzione delle intrusioni, microprocessori e microcontrollori a prova di manomissione. | Moduli B e C, modulo H oppure, se disponibile e applicabile, un sistema europeo di certificazione con livello almeno «sostanziale»; il modulo A non è disponibile (articolo 32, paragrafo 3). |
| Critico (allegato IV) | Dispositivi hardware con cassette di sicurezza, gateway per contatori intelligenti e altri dispositivi a fini di sicurezza avanzati, carte intelligenti ed elementi sicuri. | Un sistema europeo di certificazione non appena un atto delegato ai sensi dell’articolo 8, paragrafo 1, lo prescrive; fino ad allora le procedure della classe II (articolo 32, paragrafo 4). |
La regola dell’integrazione
L’articolo 7, paragrafo 1, stabilisce che l’integrazione di un prodotto con la funzionalità principale di una categoria dell’allegato III non assoggetta di per sé il prodotto in cui è integrato alle procedure dell’articolo 32, paragrafi 2 e 3. Lo switch gestito nel quadro elettrico, il pannello HMI con sistema operativo o la scheda bus di campo non trasformano la Sua macchina in un prodotto importante. La macchina resta normalmente un prodotto standard.
Presti maggiore attenzione se vende anche componenti singolarmente. Il regolamento di esecuzione (UE) 2025/2392 elenca espressamente i controllori e gli adattatori bus di campo tra le interfacce di rete di classe I e i sistemi operativi in tempo reale tra i sistemi operativi di classe I. Un router per la manutenzione remota, una scheda di interfaccia bus di campo o un firewall da quadro che commercializza separatamente richiede quindi una propria classificazione.
Valutazione della conformità e norme mancanti
I prodotti importanti di classe I possono usare il controllo interno solo se norme armonizzate, specifiche comuni o schemi di certificazione sono applicati integralmente (articolo 32, paragrafo 2). È esattamente qui che sta il collo di bottiglia: all’11 settembre 2026 nessuna norma armonizzata ai sensi del CRA è stata citata nella Gazzetta ufficiale, secondo i monitoraggi delle norme e i rapporti di settore. La richiesta di normazione M/606 della Commissione del 3 febbraio 2025 riguarda 41 norme, con lavori in corso sulla serie orizzontale EN 40000 e, per i prodotti della tecnologia operativa, sulla serie prEN 50770 basata sulla IEC 62443. Un rinvio dei termini di normazione esiste solo come bozza.
Per la macchina in sé la questione è meno critica. Come prodotto standard può usare il modulo A senza norme armonizzate; la documentazione tecnica deve allora descrivere le soluzioni adottate per l’allegato I, parti I e II, ed elencare le altre specifiche tecniche applicate (allegato VII, punto 5). La IEC 62443-4-1 e -4-2 restano la base tecnica più ovvia, anche se un’analisi di settore del 6 luglio 2026 ritiene improbabile una citazione ai sensi del CRA.
Quando una macchina rientra sia nel regolamento macchine sia nel CRA, un’unica dichiarazione di conformità UE copre entrambi gli atti e li elenca con i relativi riferimenti della Gazzetta ufficiale (articolo 28, paragrafo 3). L’allegato V stabilisce che cosa la dichiarazione deve contenere per il CRA.
Che cosa si applica dall’11 dicembre 2027
1. Valutazione del rischio di cibersicurezza (articolo 13, paragrafi da 2 a 4)
La valutazione parte dalla finalità prevista e dall’uso ragionevolmente prevedibile, considera l’ambiente operativo, le risorse da proteggere e il tempo di utilizzo previsto, e alimenta la pianificazione, la progettazione, la produzione, la consegna e la manutenzione. Per ogni requisito dell’allegato I, parte I, punto 2, deve indicare se e come si applica e come è attuato; un requisito che non si applica richiede una chiara motivazione nella documentazione tecnica. La valutazione è documentata e, se del caso, aggiornata durante il periodo di assistenza (articolo 13, paragrafo 3).
2. Requisiti del prodotto (allegato I, parte I)
In base alla valutazione del rischio e, ove applicabile, il punto 2 richiede:
- anessuna vulnerabilità sfruttabile nota al momento della messa a disposizione
- buna configurazione sicura per impostazione predefinita e la possibilità di ripristinare lo stato originale
- cla possibilità di correggere le vulnerabilità mediante aggiornamenti di sicurezza
- dprotezione dall’accesso non autorizzato, ad es. autenticazione e gestione degli accessi, con segnalazione di possibili accessi non autorizzati
- eriservatezza dei dati conservati, trasmessi o trattati
- fintegrità di dati, comandi, programmi e configurazione, con segnalazione di eventuali corruzioni
- gminimizzazione dei dati
- hdisponibilità delle funzioni essenziali, compresa la resilienza agli attacchi di negazione del servizio
- iimpatto negativo minimo su altri dispositivi e reti
- jsuperfici di attacco limitate, comprese le interfacce esterne
- kmeccanismi che riducono l’impatto di un incidente
- lregistrazione o monitoraggio delle attività interne rilevanti, con un meccanismo di disattivazione per gli utilizzatori
- meliminazione sicura e semplice di tutti i dati e le impostazioni, e trasferimento sicuro dei dati
Sintesi nostra dei punti da a) a m); fa fede il testo del regolamento. Il punto c) richiede aggiornamenti di sicurezza automatici solo ove applicabile e, secondo il considerando 56, le relative norme non dovrebbero applicarsi quando gli utilizzatori normalmente non si aspetterebbero aggiornamenti automatici, ad esempio negli ambienti industriali in cui un aggiornamento automatico potrebbe interrompere l’operatività.
3. Gestione delle vulnerabilità (allegato I, parte II)
La parte II si applica senza la riserva «ove applicabile». Richiede una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico che copra almeno le dipendenze di primo livello, l’eliminazione senza ritardo delle vulnerabilità mediante aggiornamenti di sicurezza tenuti separati dagli aggiornamenti delle funzionalità, ove tecnicamente fattibile, verifiche di sicurezza periodiche, la pubblicazione delle vulnerabilità risolte, una politica di divulgazione coordinata delle vulnerabilità, un indirizzo di contatto per le segnalazioni di vulnerabilità, la distribuzione sicura degli aggiornamenti e aggiornamenti di sicurezza gratuiti. Non è obbligatorio pubblicare la SBOM (considerando 77), ma le autorità di vigilanza del mercato possono richiederla con richiesta motivata (allegato VII, punto 8).
4. Componenti di terzi (articolo 13, paragrafi 5 e 6)
I fabbricanti devono esercitare la dovuta diligenza nell’integrare componenti di terzi, compreso il software open source, in modo che non compromettano la cibersicurezza del prodotto. Una vulnerabilità riscontrata in un componente viene segnalata a chi lo fabbrica o lo mantiene, insieme all’eventuale correzione sviluppata. Per PLC, HMI, router e azionamenti significa raccogliere e documentare le informazioni di sicurezza e i periodi di assistenza dei fornitori.
5. Periodo di assistenza (articolo 13, paragrafi 8, 9 e 19)
Il periodo di assistenza rispecchia il tempo di utilizzo previsto e dura almeno cinque anni, salvo che il prodotto sia destinato a essere usato per meno tempo. La bozza di orientamenti della Commissione chiarisce che cinque anni non sono un valore predefinito, e il considerando 60 cita i sistemi di controllo industriali come esempio di uso molto più lungo. La data di fine deve essere indicata al momento dell’acquisto con almeno mese e anno, e ogni aggiornamento di sicurezza resta disponibile per almeno dieci anni o per il resto del periodo di assistenza, se più lungo. La motivazione del periodo scelto va nella documentazione tecnica.
6. Informazioni per gli utilizzatori (allegato II)
La macchina deve essere accompagnata, tra l’altro, da: dati di contatto del fabbricante, punto di contatto unico per le segnalazioni di vulnerabilità e politica di divulgazione, identificazione inequivocabile del prodotto, finalità prevista con l’ambiente di sicurezza e le proprietà di sicurezza, circostanze note che possono comportare rischi significativi di cibersicurezza, se del caso l’indirizzo internet della dichiarazione di conformità, il tipo di assistenza tecnica di sicurezza e la fine del periodo di assistenza, e istruzioni per la messa in servizio sicura, gli aggiornamenti, la dismissione e l’integrazione. Si inserisce naturalmente in un capitolo dedicato delle istruzioni per l’uso e deve restare disponibile per almeno dieci anni o per il periodo di assistenza, se più lungo (articolo 13, paragrafo 18).
7. Documentazione tecnica, dichiarazione e marcatura CE
Prima dell’immissione sul mercato vengono la documentazione tecnica dell’allegato VII, la valutazione della conformità ai sensi dell’articolo 32, la dichiarazione di conformità UE e la marcatura CE (articolo 13, paragrafo 12). Documentazione e dichiarazione sono conservate per almeno dieci anni o per il periodo di assistenza, se più lungo (articolo 13, paragrafo 13). I fabbricanti designano inoltre un punto di contatto unico tramite cui gli utilizzatori possono raggiungerli direttamente (articolo 13, paragrafo 17).
Rapporto tra CRA, regolamento macchine e RED
Il CRA non sostituisce alcun requisito delle macchine. Dal 20 gennaio 2027 l’allegato III del regolamento macchine richiede la protezione dall’alterazione (punto 1.1.9) e sistemi di comando che, ove opportuno in funzione delle circostanze e dei rischi, resistano a tentativi deliberati ragionevolmente prevedibili da parte di terzi che conducono a una situazione pericolosa (punto 1.2.1). Il considerando 53 del CRA afferma che il rispetto del CRA può agevolare la conformità a tali punti, ma il fabbricante deve dimostrare tale sinergia e dovrebbe seguire entrambe le procedure di valutazione della conformità. La sola conformità al CRA non dà alcuna presunzione di conformità per i punti 1.1.9 e 1.2.1. Ai sensi del regolamento macchine tale presunzione deriva dalle norme armonizzate citate nella Gazzetta ufficiale (articolo 20, paragrafo 1) o dalle specifiche comuni (articolo 20, paragrafo 6) e, per questi due punti in particolare, anche dalla certificazione o da una dichiarazione di conformità nell’ambito di un sistema ai sensi del regolamento sulla cibersicurezza (UE) 2019/881 citato nella Gazzetta ufficiale (articolo 20, paragrafo 9).
Se una macchina con modulo radio è considerata apparecchiatura radio e soddisfa i criteri del regolamento delegato (UE) 2022/30, ad esempio comunica tramite internet, i conseguenti requisiti di cibersicurezza della direttiva sulle apparecchiature radio si applicano alle unità immesse sul mercato fino al 10 dicembre 2027; il regolamento delegato è abrogato con effetto dall’11 dicembre 2027 dal regolamento delegato (UE) 2026/339. Come interagiscono i tre regimi, e perché la valutazione del rischio di cibersicurezza richiede un metodo proprio accanto alla EN ISO 12100, è spiegato in Cibersicurezza delle macchine.
Sanzioni e autorità
- Inosservanza dell’allegato I o degli obblighi degli articoli 13 e 14: fino a 15 milioni di EUR o al 2,5 % del fatturato mondiale annuo (articolo 64, paragrafo 2).
- Violazioni di altri obblighi, comprese dichiarazione, marcatura CE, documentazione tecnica e valutazione della conformità: fino a 10 milioni di EUR o al 2 % (articolo 64, paragrafo 3).
- Informazioni inesatte, incomplete o fuorvianti fornite agli organismi notificati e alle autorità di vigilanza del mercato: fino a 5 milioni di EUR o all’1 % (articolo 64, paragrafo 4).
In ogni caso si applica l’importo più elevato; si tiene conto della natura, della gravità e della durata della violazione e delle dimensioni dell’impresa (articolo 64, paragrafo 5). L’articolo 64 si applica dall’11 dicembre 2027 (articolo 71, paragrafo 2); se le violazioni degli obblighi di segnalazione applicabili dall’11 settembre 2026 possano essere sanzionate prima dipende dal diritto nazionale.
Gli Stati membri designano le proprie autorità di vigilanza del mercato. In Germania il BSI ha annunciato che il suo CERT-Bund opera come CSIRT coordinatore dall’11 settembre 2026, e un progetto di legge federale di attuazione del CRA (documento del Bundestag 21/6134 del 26 maggio 2026) designa il BSI come autorità di vigilanza del mercato, autorità di notifica e autorità competente per le sanzioni; al 15 settembre 2026 non è stata trovata alcuna promulgazione. Per il diritto delle macchine restano competenti le autorità di vigilanza del mercato dei Länder tedeschi, e il modo in cui i controlli sugli aspetti CRA delle macchine saranno ripartiti con il BSI è ancora aperto. Gli obblighi dei fabbricanti si applicano comunque direttamente in base al regolamento.
Ancora aperto al 15 settembre 2026
- Gli orientamenti della Commissione C(2026) 5252 del 27 luglio 2026 sono stati approvati nel contenuto; non risulta alcuna adozione formale con tutte le versioni linguistiche. Non sono giuridicamente vincolanti; le interpretazioni citate in questa guida provengono da quella versione.
- Nessuna norma armonizzata ai sensi del CRA è citata nella Gazzetta ufficiale (fonti all’11 settembre 2026).
- Non ancora adottati, tra l’altro: il formato della SBOM (articolo 13, paragrafo 24), il formato e la procedura delle notifiche (articolo 14, paragrafo 10) e il modulo semplificato di documentazione tecnica per le microimprese e le piccole imprese (articolo 33, paragrafo 5).
Come lo copre CE-Copilot
CE-Copilot gestisce il lavoro sul CRA nello stesso progetto della valutazione del rischio, della dichiarazione di conformità e delle istruzioni per l’uso. Classificazione, scadenze e regole di procedura sono logica fissa, non stime dell’IA.
- Ricerca norme e valutazione del rischio (Starter e superiori): la ricerca norme elenca il CRA come obbligatorio solo quando la descrizione della macchina mostra una connessione dati, con un’avvertenza sull’obbligo di segnalazione. Nell’editor della valutazione del rischio, il modulo di cibersicurezza guida passo dopo passo attraverso ambito di applicazione, funzionalità principale e classificazione secondo gli allegati III e IV, mostra che cosa si applica in base alla data di immissione sul mercato e, per le macchine immesse sul mercato dall’11 dicembre 2027, registra la procedura dell’articolo 32.
- Pagina di progetto Cibersicurezza (Professional e superiori): inventario delle interfacce e delle risorse, valutazione del rischio di cibersicurezza, matrice dei requisiti dell’allegato I con applicabilità, motivazione, attuazione e prove, componenti di terzi, periodo di assistenza, gestione delle vulnerabilità con archiviazione della SBOM, casi di segnalazione ai sensi dell’articolo 14 con monitoraggio dei termini e modelli, e le informazioni per l’utilizzatore dell’allegato II.
- Documenti: relazione CRA in PDF e Word, un capitolo sulla cibersicurezza nel dossier completo, una sezione sulla cibersicurezza nel fascicolo tecnico, il CRA come atto aggiuntivo nella dichiarazione di conformità (spuntato solo quando gli obblighi principali si applicano all’unità) e un capitolo sulla cibersicurezza con le informazioni dell’allegato II nelle istruzioni per l’uso (modulo aggiuntivo dal piano Professional, acquisto una tantum per progetto).
La guida passo per passo è in Software per il regolamento sulla ciberresilienza per le macchine. Veda il risultato nel dossier di esempio (capitolo 7, pagg. 151–164) e nelle istruzioni per l’uso di esempio (capitolo 13). I piani sono elencati nella pagina dei prezzi.
Il software struttura e documenta il lavoro. Valutazione, attuazione tecnica e approvazione restano al fabbricante, e le segnalazioni ai sensi dell’articolo 14 vengono presentate tramite la piattaforma unica di segnalazione dell’ENISA, non da CE-Copilot.
FAQ
Domande frequenti
Il regolamento sulla ciberresilienza si applica alle macchine?
Che cosa devono fare i fabbricanti di macchine dall’11 settembre 2026?
Gli obblighi di segnalazione riguardano anche le macchine vendute anni fa?
Uno switch o un router industriale integrato rende la mia macchina un prodotto importante?
Per la mia macchina ho bisogno di un organismo notificato ai sensi del CRA?
Quanto dovrebbe durare il periodo di assistenza per le macchine industriali?
Non abbiamo una sede nell’UE. Dove effettuiamo le segnalazioni?
Esistono già norme armonizzate per il regolamento sulla ciberresilienza?
La valutazione del rischio di cibersicurezza può far parte della nostra valutazione del rischio secondo la EN ISO 12100?
Fonti
- Regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza), GU L, 2024/2847, 20 novembre 2024: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R2847
- Rettifica del regolamento (UE) 2024/2847, GU L, 2025/90555, 2 luglio 2025: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:L_202590555
- Rettifica del regolamento (UE) 2024/2847, GU L, 2025/90828, 17 ottobre 2025: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:L_202590828
- Regolamento (UE) 2025/327 (l’articolo 104 modifica l’articolo 13, paragrafo 4, del CRA): https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32025R0327
- Regolamento di esecuzione (UE) 2025/2392 della Commissione (descrizione tecnica dei prodotti importanti e critici): https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32025R2392
- Commissione europea: orientamenti sull’attuazione del CRA, C(2026) 5252 del 27 luglio 2026: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- Commissione europea: normazione per il CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- ENISA: la piattaforma unica di segnalazione del CRA è stata avviata, 11 settembre 2026: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- BSI (Ufficio federale tedesco per la sicurezza delle tecnologie dell’informazione): comunicato stampa sull’avvio dell’obbligo di segnalazione CRA, 11 settembre 2026 (in tedesco): https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260911_CRA_Meldepflicht_Schwachstellen.html
- Progetto di legge tedesco di attuazione del CRA, documento del Bundestag 21/6134 del 26 maggio 2026 (in tedesco): https://dserver.bundestag.de/btd/21/061/2106134.pdf
Conformità UE delle macchine gestita internamente, in italiano
Questa guida è scritta dal team di CE-Copilot, una piattaforma software per l'intero processo CE delle macchine nell'UE: classificazione delle direttive, una ricerca norme su 3600+ norme con stato di armonizzazione, valutazione del rischio secondo EN ISO 12100, documentazione della sicurezza funzionale, rapporti di prova, documentazione tecnica, istruzioni per l'uso e dichiarazione di conformità UE con esportazioni in inglese, tedesco, francese e italiano. La piattaforma è disponibile in italiano e in inglese; l'IA redige le bozze, Lei verifica e approva.
Altre guide
Questa guida è un’informazione generale per i fabbricanti di macchine, verificata sui testi giuridici ufficiali dell’UE (stato: 15 settembre 2026). Non costituisce consulenza legale. Per decisioni sul Suo prodotto specifico consulti i testi giuridici (EUR-Lex) o un consulente qualificato.