Domande frequenti

La classificazione segue la funzionalità principale del prodotto, non ogni funzione che esso include. Se la funzione principale corrisponde a una categoria indicata nell'Allegato III, il prodotto è «importante» (Classe I o II); se corrisponde all'Allegato IV è «critico»; in caso contrario è «predefinito». Una funzionalità come la gestione delle identità o una VPN, inclusa solo come funzione accessoria, non rende il prodotto «importante» a meno che ciò non costituisca la sua finalità principale. Qualora più categorie possano applicarsi, prevale la classe più rigorosa. Art. 7

Il software open source non commerciale sviluppato al di fuori di un'attività commerciale è in gran parte escluso dall'ambito di applicazione. Gli amministratori di software open source hanno un insieme di obblighi più leggero e adeguato. I componenti open source forniti nell'ambito di un'attività commerciale possono rientrare nell'ambito di applicazione.

I servizi autonomi sono generalmente esclusi dal CRA. Tuttavia, le soluzioni di elaborazione dati a distanza necessarie affinché un prodotto svolga le proprie funzioni sono considerate parte di tale prodotto e rientrano nell'ambito di applicazione. Art. 3(2)

Sì. Il CRA si applica ai prodotti immessi sul mercato dell'UE indipendentemente dal luogo in cui è stabilito il fabbricante. I fabbricanti stabiliti al di fuori dell'UE devono garantire che un operatore economico stabilito nell'Unione sia responsabile dei relativi obblighi.

Si suddividono in due parti dell’Allegato I: le proprietà di sicurezza che il prodotto deve possedere (sicuro per impostazione predefinita, riservatezza, integrità, disponibilità, superficie di attacco ridotta al minimo, aggiornamenti di sicurezza) e i processi di gestione delle vulnerabilità che il fabbricante deve attuare (SBOM, correzione, divulgazione coordinata). Allegato I

Sì. I fabbricanti devono individuare e documentare i componenti contenuti nel prodotto, anche redigendo una distinta base del software (SBOM) in un formato di uso comune e leggibile da una macchina. Allegato I · II(1)

Il periodo di supporto è l'arco di tempo durante il quale il fabbricante deve fornire aggiornamenti di sicurezza. Deve riflettere il periodo durante il quale si prevede ragionevolmente che il prodotto sia in uso: cinque anni per impostazione predefinita, più breve se l'uso previsto è più breve e più lungo se è più lungo. Art. 13(8)

Le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza del prodotto devono essere notificati all'ENISA e al CSIRT competente. Un preallarme è dovuto entro 24 ore dalla presa di conoscenza, seguito da una notifica più completa e da una relazione finale. Art. 14

Il regolamento è entrato in vigore il 10 dicembre 2024. Gli obblighi di notifica si applicano a partire da settembre 2026 (21 mesi dopo) e la maggior parte degli obblighi si applica a partire da dicembre 2027 (36 mesi dopo). Art. 71

Le violazioni dei requisiti essenziali o degli obblighi del fabbricante possono comportare sanzioni fino a €15 milioni o al 2,5% del fatturato mondiale annuo totale, se superiore. Massimali inferiori si applicano ad altre violazioni e alla comunicazione di informazioni inesatte.

Yes, since 11 September 2026, the day the Article 14 duty itself began. The platform is live at portal.cra-srp.enisa.europa.eu; you select the Assigned Representative role and sign in with an EU Login account that has multi-factor authentication enabled. ENISA published the address in its SRP FAQ on 10 September 2026, alongside an AR User Manual and platform terms and conditions. Four things did not arrive with it: voluntary reporting under Article 15, a reporting API, an awareness field for actively exploited vulnerabilities, and a 72-hour counter that measures from awareness rather than from submission of your early warning, which means the on-screen clock can show a filing as overdue before the legal deadline has passed. The platform runs in English only for now. See the guida alla notifica. Art. 14 · 16

La richiesta di normazione M/606 della Commissione è stata accettata da CEN, CENELEC ed ETSI nel 2025 e riguarda circa 41 norme (orizzontali e specifiche per prodotto). A seguito della bozza di modifica della Commissione di luglio 2026 al M/606, che ha posticipato le scadenze del 2026 di due mesi, le due norme orizzontali fondamentali (sviluppo sicuro e gestione delle vulnerabilità) sono ora attese entro il 31 ottobre 2026, le norme verticali di prodotto entro il 31 dicembre 2026 e le restanti norme orizzontali entro il 30 ottobre 2027, in vista della piena applicazione nel dicembre 2027. Il rispetto di una norma armonizzata citata conferisce una presunzione di conformità. Allegato I

Eseguire il percorso di valutazione della conformità per la classe del proprio prodotto, predisporre la documentazione tecnica, redigere e firmare la dichiarazione di conformità UE e quindi apporre la marcatura CE. I prodotti predefiniti possono effettuare un'autovalutazione; i prodotti importanti e critici richiedono percorsi più rigorosi. Art. 28 · 32

Iniziare con il CRA Fast Check per confermare l'ambito di applicazione e la classe, seguire la guida redatta per il proprio ruolo e utilizzare la matrice di conformità per portare a termine i requisiti essenziali.

Gli obblighi di notifica dell'Art. 14 diventano esecutivi. Da quella data i fabbricanti devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi a ENISA e al CSIRT competente attraverso la piattaforma di notifica unica. È il primo dei principali obblighi del CRA ad entrare in vigore, ben prima della piena applicazione dell'11 dicembre 2027. Consultate la guida alla notifica. Art. 14 · 71

No. Solo vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del vostro prodotto sono soggette a notifica ai sensi dell'Art. 14. Le vulnerabilità che scoprite e correggete prima che vengano sfruttate sono gestite attraverso il normale processo di gestione delle vulnerabilità, non il canale di notifica. Il guida alla notifica definisce il test e le scadenze. Art. 14

Through ENISA's single reporting platform, live since 11 September 2026 at portal.cra-srp.enisa.europa.eu, which routes your notification to ENISA and the relevant national CSIRT. You send an early warning within 24 hours of becoming aware, a fuller notification within 72 hours, and a final report within 14 days of a corrective measure being available for a vulnerability, or within one month of the 72-hour notification for a severe incident. Sign-in is through EU Login with multi-factor authentication. See the step-by-step guida alla notifica. Art. 14 · 16

Generalmente non da solo. Gli orientamenti della Commissione chiariscono che il software eseguito sul dispositivo dell'utente (un'app scaricata, un'estensione del browser, un client installato localmente) è un prodotto con elementi digitali, mentre un'applicazione web utilizzata solo tramite browser, o un sito web che si limita a presentare informazioni, non lo è. Un servizio remoto rientra nell'ambito di applicazione solo se costituisce un'elaborazione dei dati a distanza necessaria a un prodotto per svolgere le proprie funzioni. Art. 3 Consulta il Panoramica degli orientamenti della Commissione.

Solo quando l'aggiornamento è una modifica sostanziale: una modifica che altera il rischio di cibersicurezza del prodotto in un modo non già coperto dalla valutazione del rischio. Gli aggiornamenti di sicurezza ordinari generalmente non sono modifiche sostanziali. Quando un aggiornamento è sostanziale, il prodotto modificato è considerato come nuovamente immesso sul mercato ed è richiesta una nuova valutazione della conformità per le parti interessate. Art. 3(30) Il Orientamenti della Commissione stabilisce il criterio.