Cyber Resilience Act: cosa cambia per chi sviluppa app e software
Il Cyber Resilience Act (CRA) è il regolamento europeo che porta la sicurezza informatica dentro ogni prodotto digitale. Riguarda app, software e dispositivi connessi venduti nell’Unione.
Molte aziende lo considerano una scadenza lontana, fissata al 2027. In realtà, dall’11 settembre 2026 è già in vigore il primo obbligo concreto. Vediamo cosa prevede e come prepararsi senza allarmismi.
Cos’è il Cyber Resilience Act e chi riguarda
Il Regolamento (UE) 2024/2847 è in vigore dal 10 dicembre 2024. Si applica ai prodotti con elementi digitali, cioè hardware e software collegabili a una rete o a un altro dispositivo.
Le app rientrano pienamente nel perimetro. Vale lo stesso per il backend cloud, quando senza di esso il prodotto non svolge le sue funzioni. Il regolamento riguarda anche le app gratuite, se distribuite nell’ambito di un’attività commerciale.
Gli obblighi principali ricadono sul fabbricante, cioè chi sviluppa o fa sviluppare il prodotto e lo commercializza con il proprio marchio. Se commissioni un’app e la pubblichi con il tuo brand, il fabbricante sei tu.
Cyber Resilience Act: gli obblighi in vigore dall’11 settembre 2026
Dall’11 settembre 2026 si applica l’articolo 14 del Cyber Resilience Act. I fabbricanti devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che colpiscono la sicurezza dei loro prodotti.
L’obbligo vale per tutti i prodotti disponibili sul mercato UE, compresi quelli lanciati prima del 2027. Non è previsto un periodo di grazia: anche un’app pubblicata anni fa è già coinvolta.
Per vulnerabilità attivamente sfruttata si intende una falla che un soggetto malevolo ha già usato senza autorizzazione. Non basta quindi un bug teorico: serve una prova attendibile dello sfruttamento.
Le tempistiche: 24 ore, 72 ore e report finale
Le scadenze sono strette e scandite in più fasi. In primo luogo serve un preallarme entro 24 ore. Entro 72 ore arriva poi la notifica principale.
Segue un report finale. Per le vulnerabilità va inviato entro 14 giorni dalla disponibilità della correzione. Per gli incidenti gravi, invece, entro un mese dalla notifica a 72 ore.
Tutto passa dalla piattaforma unica di segnalazione dell’ENISA, operativa dall’11 settembre. La notifica arriva al CSIRT del Paese di stabilimento principale, in Italia il CSIRT dell’ACN.
Una nota di equilibrio: micro e piccole imprese non sono sanzionabili per il solo mancato rispetto delle 24 ore. Le altre scadenze, però, restano valide per tutti.
Cyber Resilience Act e filiera: librerie, open source e fornitori
Nessuna app nasce da zero. Ogni progetto usa librerie, SDK e componenti open source, e ognuno di questi elementi può contenere una falla.
Il Cyber Resilience Act chiede al fabbricante di esercitare la dovuta diligenza sui componenti di terze parti. Di conseguenza, una vulnerabilità in una libreria diventa un problema del prodotto finale.
Per questo motivo serve un inventario aggiornato dei componenti, la cosiddetta SBOM (Software Bill of Materials). Senza sapere cosa contiene l’app, è impossibile capire in 24 ore se una falla la riguarda.
Anche i contratti con i fornitori vanno rivisti. Conviene prevedere tempi e canali precisi per comunicarsi le vulnerabilità scoperte.
Verso il 2027: security by design e marcatura CE
Dall’11 dicembre 2027 il regolamento si applicherà per intero. I prodotti dovranno rispettare requisiti essenziali di sicurezza fin dalla progettazione e riportare la marcatura CE.
Il fabbricante dovrà inoltre dichiarare un periodo di supporto, indicando mese e anno di fine. In quel periodo dovrà gestire le vulnerabilità e distribuire gli aggiornamenti di sicurezza.
Per la maggior parte dei prodotti, app comprese, basterà un’autovalutazione di conformità. Alcune categorie considerate importanti o critiche richiederanno invece la verifica di un organismo terzo.
In questo modo la sicurezza diventa una voce stabile del budget. È un tema che approfondiamo nell’articolo sulla manutenzione delle app e i suoi costi reali.
Come prepararsi oggi, anche in ottica NIS2
Il primo passo è mappare quali prodotti rientrano nel Cyber Resilience Act e chi ne è il fabbricante. Subito dopo va definito un processo interno per gestire le segnalazioni.
Il processo deve stabilire chi riceve l’allarme, chi decide se notificare e chi invia la segnalazione. Conviene anche creare in anticipo l’accesso EU Login usato dalla piattaforma ENISA.
Serve poi un monitoraggio continuo, con test periodici sul codice e sulle dipendenze. Le vulnerabilità più comuni sono descritte nella nostra guida alla mobile security per app iOS e Android.
Chi rientra anche nella NIS2 ha un motivo in più per muoversi. Entro il 31 ottobre 2026 i soggetti già in elenco devono rendere operative le misure di sicurezza di base. I due percorsi possono confluire in un unico processo.
Cyber Resilience Act: dall’obbligo al vantaggio competitivo
Il Cyber Resilience Act non va letto solo come un onere burocratico. È anche un’occasione per costruire prodotti più solidi e conquistare la fiducia dei clienti.
Restano alcune incertezze: gli standard armonizzati sono ancora in arrivo e la piattaforma ENISA verrà ampliata nei prossimi mesi. Proprio per questo conviene partire ora, con metodo.
Vuoi capire se la tua app rientra nel CRA e come gestire le segnalazioni? Analizziamo insieme il tuo prodotto e definiamo un piano di adeguamento su misura.
Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Per la conformità specifica della tua impresa rivolgiti a un professionista qualificato.
