Software per il regolamento sulla ciberresilienza per le macchine: attuare il CRA in CE-Copilot
Dall’11 settembre 2026 i fabbricanti di macchine con una connessione dati devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, anche per le macchine già immesse sul mercato, e dall’11 dicembre 2027 segue l’applicazione integrale del regolamento sulla ciberresilienza. Questa guida riassume le novità e illustra poi come svolgere il lavoro in CE-Copilot: i passaggi, dove si trovano nell’app, che cosa produce ciascuno e che cosa il software lascia volutamente a Lei.
Le novità
Dall’11 settembre 2026
Obblighi di segnalazione ai sensi dell’articolo 14 del CRA
Le vulnerabilità attivamente sfruttate e gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto vengono notificati tramite la piattaforma unica di segnalazione (Single Reporting Platform) dell’ENISA al CSIRT designato come coordinatore e all’ENISA: un preallarme entro 24 ore e una notifica entro 72 ore dal momento in cui se ne è venuti a conoscenza, seguiti da una relazione finale. Ciò vale anche per le macchine con connessione dati già immesse sul mercato (articolo 69, paragrafo 3).
Dal 20 gennaio 2027
Protezione dall’alterazione secondo il regolamento macchine
Ai sensi dell’allegato III, punti 1.1.9 e 1.2.1, del regolamento (UE) 2023/1230, i dispositivi collegati, gli accessi remoti e gli interventi sul software e sui dati non devono determinare una situazione pericolosa. CE-Copilot lo tratta nella valutazione del rischio secondo la EN ISO 12100.
Fino al 10 dicembre 2027
Cibersicurezza delle apparecchiature radio
Le apparecchiature radio rientranti nel regolamento delegato (UE) 2022/30 che sono immesse sul mercato dal 1° agosto 2025 al 10 dicembre 2027 devono soddisfare i requisiti applicabili dell’articolo 3, paragrafo 3, lettere d), e) ed f), della direttiva sulle apparecchiature radio. La EN 18031 dà una presunzione di conformità solo entro i limiti della decisione di esecuzione (UE) 2025/138, ad esempio non quando gli utenti possono scegliere di non usare alcuna password. Il regolamento delegato (UE) 2026/339 abroga tale obbligo con effetto dall’11 dicembre 2027.
Dall’11 dicembre 2027
Il regolamento sulla ciberresilienza si applica integralmente
Per le macchine immesse sul mercato a partire da tale data, o sottoposte a una modifica sostanziale a partire da essa: requisiti dell’allegato I, valutazione dei rischi di cibersicurezza, periodo di assistenza, valutazione della conformità ai sensi dell’articolo 32, dichiarazione di conformità UE e marcatura CE (articolo 71, paragrafo 2, articolo 69, paragrafo 2).
Ambito di applicazione, classificazione, procedure e sanzioni con tutti i riferimenti normativi sono trattati nella guida Il regolamento sulla ciberresilienza per le macchine; come si coordina con il regolamento macchine e con la direttiva sulle apparecchiature radio è spiegato nella guida Cibersicurezza delle macchine.
Sei passaggi in CE-Copilot
1. Verificare se il CRA si applica
Starter e superioriRicerca norme e descrizione della macchina
La ricerca norme indica il CRA come applicabile solo quando la descrizione mostra una connessione dati; le affermazioni negate come «nessuna connessione dati» non contano e, senza elementi di prova, il CRA compare come «DA VERIFICARE» e senza spunta. Si aggiunge un’avvertenza sull’obbligo di segnalazione.
2. Classificare e confermare la data
Starter e superioriValutazione del rischio, modulo Cibersicurezza
Connessione dati, esclusioni ai sensi dell’articolo 2, funzionalità principale e categoria ai sensi dell’allegato III o IV, più la data di immissione sul mercato confermata. L’app ne ricava quali obblighi si applicano e, una volta applicabili gli obblighi principali, le procedure ammesse ai sensi dell’articolo 32.
3. Registrare interfacce e risorse
Starter e superioriValutazione del rischio, modulo Protezione dall’alterazione (da Professional anche nella pagina di progetto)
Un unico inventario alimenta tre valutazioni: la protezione dall’alterazione ai sensi del regolamento macchine, la cibersicurezza delle apparecchiature radio e il CRA. Per ogni interfaccia si registrano raggiungibilità, protezione dell’accesso e canale di aggiornamento.
4. Valutare i rischi e documentare i requisiti
Professional e superioriPagina di progetto Cibersicurezza (CRA)
Ambito della valutazione, minacce con misure e rischio residuo, una matrice dei requisiti dell’allegato I, parti I e II, componenti di terzi, periodo di assistenza, gestione delle vulnerabilità con archiviazione della SBOM e informazioni per l’utilizzatore dell’allegato II.
5. Impostare le segnalazioni e seguire i casi
Professional e superioriPagina di progetto, sezione delle segnalazioni
CSIRT designato come coordinatore e disponibilità e, per ogni caso, il momento in cui se ne è venuti a conoscenza, i termini con semaforo e preavviso, modelli di testo conformi al testo dell’articolo 14 e il numero di pratica della piattaforma.
6. Produrre prove e documenti
dipende dal moduloEsportazioni, dichiarazione di conformità, istruzioni per l’uso
Relazione CRA in PDF e Word, un capitolo nel dossier completo, una sezione nella documentazione tecnica, i punti di prova da C1 a C10, il CRA come atto giuridico nella dichiarazione e il capitolo sulla cibersicurezza delle istruzioni per l’uso.
Le funzioni nel dettaglio
Stato degli obblighi ricavato dalla data di immissione sul mercato confermata
L’app applica gli articoli 69 e 71 del CRA come regole fisse: per le unità immesse sul mercato prima dell’11 dicembre 2027 si applicano solo gli obblighi di segnalazione; per quelle immesse sul mercato a partire da tale data, o sottoposte a una modifica sostanziale a partire da essa, si applica l’intero regolamento. Una data semplicemente letta dalla descrizione della macchina non produce alcun effetto giuridico finché non la conferma.
La pagina di progetto, la relazione, il dossier, la dichiarazione di conformità, il rapporto di prova e le istruzioni per l’uso dicono tutti la stessa cosa. A una macchina immessa sul mercato prima dell’11 dicembre 2027 non viene assegnata alcuna valutazione della conformità CRA; per una successiva l’app mostra gli obblighi dell’allegato I.
Un unico inventario per il regolamento macchine, le apparecchiature radio e il CRA
Interfacce come bus di campo, OPC UA, manutenzione remota, USB o radio e le risorse che ne dipendono vengono registrate una sola volta. La valutazione della protezione dall’alterazione, la lista di controllo della EN 18031 e la valutazione dei rischi CRA si basano tutte su di esso.
Niente tre elenchi che divergono. Una nuova interfaccia compare in tutte le valutazioni in cui è rilevante.
Matrice dei requisiti dell’allegato I con motivazione, attuazione e prove
Per la parte I, punto 2, lettere da a) a m), si registra se il requisito si applica sulla base della valutazione del rischio, con una motivazione se non si applica; il punto 1 e la parte II sulla gestione delle vulnerabilità si applicano sempre. Per ogni requisito si documentano attuazione e prove.
È ciò che l’articolo 13, paragrafi 3 e 4, e l’allegato VII richiedono alla documentazione tecnica. Lo stato di ogni sezione è sempre visibile e i punti aperti compaiono come avvertenze nella relazione.
Casi di segnalazione ai sensi dell’articolo 14 con monitoraggio dei termini e modelli
Dal momento in cui se ne viene a conoscenza, l’app calcola il preallarme (24 ore), la notifica (72 ore) e la relazione finale (per le vulnerabilità al più tardi 14 giorni dopo la disponibilità di una misura correttiva o di attenuazione, per gli incidenti entro un mese dalla notifica) e nella pagina di progetto li segnala come «in scadenza a breve» prima che scadano. Finché la valutazione iniziale è aperta, l’app fa decorrere i termini in via precauzionale dal momento di conoscenza registrato. I casi segnalati restano agli atti e non possono essere eliminati.
Quando serve, ogni ora conta. I modelli seguono il testo dell’articolo 14: Lei completa le lacune e presenta la notifica tramite la piattaforma dell’ENISA.
Relazione CRA, capitolo del dossier e documentazione tecnica
La relazione CRA riunisce tutte le sezioni della pagina di progetto in PDF o Word, con un avviso di riservatezza. Nel dossier completo compare come capitolo senza casi di segnalazione e senza la protezione dell’accesso o il canale di aggiornamento delle singole interfacce; la documentazione tecnica riceve una sezione sull’allegato VII.
A clienti e organismi arriva solo ciò che li riguarda. Internamente si conserva la relazione completa con ogni caso e ogni termine.
Dichiarazione di conformità, rapporto di prova e istruzioni per l’uso sempre allineati
La dichiarazione cita il regolamento solo quando classificazione e data sono confermate e gli obblighi principali si applicano; i campi della procedura sono precompilati. Il rapporto di prova segna i punti da C1 a C10 come obbligatori in funzione della data e segnala un «non applicabile» contraddittorio. Le istruzioni per l’uso ricevono un capitolo sulla cibersicurezza con le informazioni per l’utilizzatore, presentate come informazioni dell’allegato II una volta confermata la classificazione.
Il regolamento compare nella dichiarazione solo quando si applica a questo esemplare, e il controllo segnala i dati mancanti. Le informazioni per l’utilizzatore si curano una sola volta e si ritrovano nella relazione e nelle istruzioni.
Che cosa mostra l’app in base alla data di immissione sul mercato
La data confermata decide quali obblighi si applicano a un’unità. CE-Copilot ne ricava la stessa risposta in ogni documento:
| Ambito | Data non confermata | Prima dell’11 dicembre 2027 | Dall’11 dicembre 2027, o con modifica sostanziale a partire da tale data |
|---|---|---|---|
| Obblighi di segnalazione ai sensi dell’articolo 14 | si applicano a ogni prodotto interessato | si applicano | si applicano |
| Dichiarazione di conformità | CRA non spuntato, motivo indicato sotto le caselle | nessuna dichiarazione ai sensi del CRA, motivo indicato sotto le caselle | CRA spuntato (con classificazione confermata), campi della procedura precompilati |
| Documentazione tecnica, sezione dell’allegato VII | preparazione senza indicatori di obbligatorietà | preparazione senza indicatori di obbligatorietà | punti obbligatori |
| Rapporto di prova da C1 a C10 | classificazione e processo di segnalazione obbligatori, avviso in caso di «non applicabile» | classificazione e processo di segnalazione obbligatori | tutti e dieci i punti obbligatori |
| Istruzioni per l’uso, capitolo sulla cibersicurezza | informazioni del fabbricante, nessun controllo obbligatorio | informazioni volontarie | regola di controllo e avviso di esportazione; informazioni dell’allegato II con classificazione confermata |
| Relazione CRA | avviso «data non confermata» | nota sulla preparazione volontaria | piena applicazione con la procedura dell’articolo 32 |
Che cosa CE-Copilot volutamente non fa
- Non invia notifiche all’ENISA. La notifica la presenta Lei tramite la piattaforma unica di segnalazione; CE-Copilot fornisce termini, modelli e la traccia delle prove.
- Non offre consulenza legale né conformità automatica. Classificazione, data e valutazione le conferma Lei; attuazione tecnica e approvazione restano al fabbricante.
- Non può creare una presunzione di conformità: per questa servono una norma armonizzata, una specifica comune o un sistema di certificazione, e finora nessuno esiste per il CRA (fonti all’11 settembre 2026); le specifiche come la IEC 62443 vanno registrate come specifiche applicate.
- Non genera la SBOM. Proviene dai Suoi strumenti di sviluppo; CE-Copilot la archivia.
- Non usa l’IA per le conseguenze giuridiche. Date di riferimento, procedure e termini sono regole fisse, e la classe deriva dalle categorie che Lei spunta.
Come si presenta il risultato
Il dossier di esempio di una cella di saldatura robotizzata con manutenzione remota contiene il capitolo sulla cibersicurezza (capitolo 7, pagg. 151–164), e le istruzioni per l’uso di esempio contengono il capitolo sulla cibersicurezza (capitolo 13, pagg. 119–123). La cella è immessa sul mercato prima dell’11 dicembre 2027, quindi si vede come l’app tratta gli obblighi di segnalazione come applicabili e le altre sezioni come preparazione. I piani sono elencati nella pagina dei prezzi.
FAQ
Domande frequenti
CE-Copilot invia le notifiche all’ENISA?
Mi serve se la mia macchina è immessa sul mercato prima dell’11 dicembre 2027?
Quale piano comprende quali funzioni CRA?
La valutazione dei rischi CRA sostituisce la valutazione del rischio secondo la EN ISO 12100?
Un’IA decide la classificazione o i termini?
CE-Copilot genera la distinta base del software (SBOM)?
Conformità UE delle macchine gestita internamente, in italiano
Questa guida è scritta dal team di CE-Copilot, una piattaforma software per l'intero processo CE delle macchine nell'UE: classificazione delle direttive, una ricerca norme su 3600+ norme con stato di armonizzazione, valutazione del rischio secondo EN ISO 12100, documentazione della sicurezza funzionale, rapporti di prova, documentazione tecnica, istruzioni per l'uso e dichiarazione di conformità UE con esportazioni in inglese, tedesco, francese e italiano. La piattaforma è disponibile in italiano e in inglese; l'IA redige le bozze, Lei verifica e approva.
Altre guide
Questa guida è un’informazione generale per i fabbricanti di macchine, verificata sui testi giuridici ufficiali dell’UE (stato: 15 settembre 2026). Non costituisce consulenza legale. Per decisioni sul Suo prodotto specifico consulti i testi giuridici (EUR-Lex) o un consulente qualificato.