Cyber Resilience Act: quali documenti servono al fabbricante e quando?

Tre date

Le date sono fissate nell’art. 71, paragrafo 2.

• 11 giugno 2026: capo IV sulle autorità di notifica e gli organismi notificati (articoli da 35 a 51)
• 11 settembre 2026: obblighi di segnalazione dei fabbricanti (art. 14), per tutti i prodotti che rientrano nel regolamento
• 11 dicembre 2027: tutti gli altri obblighi, compresa la distinta base del software

A chi si applica

Il regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete (art. 2, paragrafo 1). Può essere un software, un apparecchio connesso o una macchina con comando e interfaccia dati. Alcuni prodotti con norme proprie, per esempio i dispositivi medici, sono esclusi.

I prodotti immessi sul mercato prima dell’11 dicembre 2027 sono soggetti agli altri requisiti solo se, da quella data, subiscono una modifica sostanziale (art. 69, paragrafo 2). Gli obblighi di segnalazione dell’art. 14 si applicano comunque anche a loro (art. 69, paragrafo 3).

Quali documenti servono dall’11 dicembre 2027

• Documentazione tecnica prima dell’immissione sul mercato, almeno con gli elementi dell’allegato VII (art. 13, paragrafo 12, art. 31)
• Dentro: descrizione generale, progettazione e gestione delle vulnerabilità, valutazione dei rischi, informazioni per determinare il periodo di assistenza, norme applicate, relazioni di prova, copia della dichiarazione
• Dichiarazione di conformità UE secondo l’allegato V (art. 28), fornita con il prodotto, oppure una dichiarazione di conformità UE semplificata secondo l’allegato VI con l’esatto indirizzo Internet della dichiarazione completa (art. 13, paragrafo 20)
• Informazioni e istruzioni per l’utilizzatore secondo l’allegato II, in forma cartacea o elettronica (art. 13, paragrafo 18)
• Data finale del periodo di assistenza, almeno mese e anno, indicata in modo chiaro al momento dell’acquisto (art. 13, paragrafo 19)
• Distinta base del software in un formato di uso comune e leggibile meccanicamente, che comprenda almeno le dipendenze di primo livello (allegato I, parte II, punto 1)

Da quando vale la distinta base del software

Le fonti indicano date diverse. Il testo è chiaro: l’art. 71, paragrafo 2, anticipa soltanto l’art. 14 e il capo IV. La distinta base è descritta nell’allegato I, parte II, quindi vale dall’11 dicembre 2027. Il regolamento non ne chiede la pubblicazione: se il fabbricante la mette a disposizione degli utilizzatori, indica dove (allegato II, punto 9). All’autorità di vigilanza del mercato la fornisce su richiesta motivata (allegato VII, punto 8). Formato ed elementi la Commissione può specificarli con atti di esecuzione (art. 13, paragrafo 24).

Che cosa documentare dall’11 settembre 2026

Vulnerabilità attivamente sfruttate e incidenti gravi si notificano tramite la piattaforma unica di segnalazione: preallarme entro 24 ore, notifica entro 72 ore, relazione finale per le vulnerabilità entro 14 giorni dalla messa a disposizione di una misura correttiva o di attenuazione, per gli incidenti entro un mese dalla notifica (art. 14, paragrafi 2 e 4). Secondo la Commissione la piattaforma è operativa dall’11 settembre 2026.

Conviene quindi annotare chi notifica, quando il fabbricante è venuto a conoscenza dell’evento e che cosa ha notificato. Secondo gli orientamenti della Commissione non occorre notificare a posteriori vulnerabilità di cui il fabbricante sapeva già prima dell’11 settembre 2026 che erano sfruttate. La gestione tecnica delle vulnerabilità questa pagina non la tratta.

Per quanto tempo conservare

Documentazione tecnica e dichiarazione per almeno dieci anni dall’immissione sul mercato o per il periodo di assistenza, se superiore (art. 13, paragrafo 13). Lo stesso per le informazioni per l’utilizzatore (paragrafo 18). Il periodo di assistenza è di almeno cinque anni, salvo che il prodotto sia destinato a essere utilizzato per meno tempo (paragrafo 8). Gli importatori conservano una copia della dichiarazione per lo stesso periodo (art. 19, paragrafo 6).

A che punto sono le imprese

L’ENISA ha condotto nel 2026 un sondaggio tra piccole e medie imprese (194 risposte da 31 paesi e regioni, non rappresentativo secondo l’ENISA): il 66 % conosceva il regolamento prima del sondaggio. Il 42 % ha dichiarato di capire i documenti richiesti solo in parte o per niente. Oltre il 70 % desiderava modelli per la documentazione tecnica.

Domande frequenti