Domande frequenti

La classificazione segue la funzionalità principale del prodotto, non ogni funzione che esso include. Se la funzione principale corrisponde a una categoria indicata nell'Allegato III, il prodotto è «importante» (Classe I o II); se corrisponde all'Allegato IV è «critico»; in caso contrario è «predefinito». Una funzionalità come la gestione delle identità o una VPN, inclusa solo come funzione accessoria, non rende il prodotto «importante» a meno che ciò non costituisca la sua finalità principale. Qualora più categorie possano applicarsi, prevale la classe più rigorosa. Art. 7

Il software open source non commerciale sviluppato al di fuori di un'attività commerciale è in gran parte escluso dall'ambito di applicazione. Gli amministratori di software open source hanno un insieme di obblighi più leggero e adeguato. I componenti open source forniti nell'ambito di un'attività commerciale possono rientrare nell'ambito di applicazione.

I servizi autonomi sono generalmente esclusi dal CRA. Tuttavia, le soluzioni di elaborazione dati a distanza necessarie affinché un prodotto svolga le proprie funzioni sono considerate parte di tale prodotto e rientrano nell'ambito di applicazione. Art. 3(2)

Sì. Il CRA si applica ai prodotti immessi sul mercato dell'UE indipendentemente dal luogo in cui è stabilito il fabbricante. I fabbricanti stabiliti al di fuori dell'UE devono garantire che un operatore economico stabilito nell'Unione sia responsabile dei relativi obblighi.

Si suddividono in due parti dell’Allegato I: le proprietà di sicurezza che il prodotto deve possedere (sicuro per impostazione predefinita, riservatezza, integrità, disponibilità, superficie di attacco ridotta al minimo, aggiornamenti di sicurezza) e i processi di gestione delle vulnerabilità che il fabbricante deve attuare (SBOM, correzione, divulgazione coordinata). Allegato I

Sì. I fabbricanti devono individuare e documentare i componenti contenuti nel prodotto, anche redigendo una distinta base del software (SBOM) in un formato di uso comune e leggibile da una macchina. Allegato I · II(1)

Il periodo di supporto è l'arco di tempo durante il quale il fabbricante deve fornire aggiornamenti di sicurezza. Deve riflettere il periodo durante il quale si prevede ragionevolmente che il prodotto sia in uso: cinque anni per impostazione predefinita, più breve se l'uso previsto è più breve e più lungo se è più lungo. Art. 13(8)

Le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza del prodotto devono essere notificati all'ENISA e al CSIRT competente. Un preallarme è dovuto entro 24 ore dalla presa di conoscenza, seguito da una notifica più completa e da una relazione finale. Art. 14

Il regolamento è entrato in vigore il 10 dicembre 2024. Gli obblighi di notifica si applicano a partire da settembre 2026 (21 mesi dopo) e la maggior parte degli obblighi si applica a partire da dicembre 2027 (36 mesi dopo). Art. 71

Le violazioni dei requisiti essenziali o degli obblighi del fabbricante possono comportare sanzioni fino a €15 milioni o al 2,5% del fatturato mondiale annuo totale, se superiore. Massimali inferiori si applicano ad altre violazioni e alla comunicazione di informazioni inesatte.

Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its Single Reporting Platform page before go-live, and has scheduled it to be operational by 11 September 2026 with user and security testing beforehand. ENISA has published a factsheet, an FAQ and step-by-step registration and submission guidance, all last updated 3 August 2026. You can create the EU Login account the platform uses today. Note too that the harmonised standards underpinning vulnerability handling are expected around 30 August 2026 and none has yet been cited in the Official Journal; so build your internal process now rather than waiting for the final mechanics. See the guida alla notifica. Art. 14 · 16

La richiesta di normazione M/606 della Commissione è stata accettata da CEN, CENELEC ed ETSI nel 2025 e riguarda circa 41 norme (orizzontali e specifiche per prodotto). Le due norme orizzontali fondamentali (sviluppo sicuro e gestione delle vulnerabilità) sono attese entro il 30 agosto 2026, le norme verticali di prodotto entro il 30 ottobre 2026 e le restanti norme orizzontali entro il 30 ottobre 2027, in vista della piena applicazione nel dicembre 2027. Il rispetto di una norma armonizzata citata conferisce una presunzione di conformità. Allegato I

Eseguire il percorso di valutazione della conformità per la classe del proprio prodotto, predisporre la documentazione tecnica, redigere e firmare la dichiarazione di conformità UE e quindi apporre la marcatura CE. I prodotti predefiniti possono effettuare un'autovalutazione; i prodotti importanti e critici richiedono percorsi più rigorosi. Art. 28 · 32

Iniziare con il CRA Fast Check per confermare l'ambito di applicazione e la classe, seguire la guida redatta per il proprio ruolo e utilizzare la matrice di conformità per portare a termine i requisiti essenziali.

Gli obblighi di notifica dell'Art. 14 diventano esecutivi. Da quella data i fabbricanti devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi a ENISA e al CSIRT competente attraverso la piattaforma di notifica unica. È il primo dei principali obblighi del CRA ad entrare in vigore, ben prima della piena applicazione dell'11 dicembre 2027. Consultate la guida alla notifica. Art. 14 · 71

No. Solo vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del vostro prodotto sono soggette a notifica ai sensi dell'Art. 14. Le vulnerabilità che scoprite e correggete prima che vengano sfruttate sono gestite attraverso il normale processo di gestione delle vulnerabilità, non il canale di notifica. Il guida alla notifica definisce il test e le scadenze. Art. 14

Attraverso la piattaforma di notifica unica di ENISA, che instrada la notifica a ENISA e al CSIRT nazionale competente. Inviate un preavviso entro 24 ore dal momento in cui ne venite a conoscenza, una notifica più completa entro 72 ore e un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva. Consultate la guida passo dopo passo guida alla notifica. Art. 14 · 16

Generalmente non da solo. Gli orientamenti della Commissione chiariscono che il software eseguito sul dispositivo dell'utente (un'app scaricata, un'estensione del browser, un client installato localmente) è un prodotto con elementi digitali, mentre un'applicazione web utilizzata solo tramite browser, o un sito web che si limita a presentare informazioni, non lo è. Un servizio remoto rientra nell'ambito di applicazione solo se costituisce un'elaborazione dei dati a distanza necessaria a un prodotto per svolgere le proprie funzioni. Art. 3 Consulta il Panoramica degli orientamenti della Commissione.

Solo quando l'aggiornamento è una modifica sostanziale: una modifica che altera il rischio di cibersicurezza del prodotto in un modo non già coperto dalla valutazione del rischio. Gli aggiornamenti di sicurezza ordinari generalmente non sono modifiche sostanziali. Quando un aggiornamento è sostanziale, il prodotto modificato è considerato come nuovamente immesso sul mercato ed è richiesta una nuova valutazione della conformità per le parti interessate. Art. 3(30) Il Orientamenti della Commissione stabilisce il criterio.