Cos’è il CRA e chi riguarda
Il Regolamento (UE) 2024/2847, noto come CRA, fissa requisiti di cybersicurezza per i prodotti con elementi digitali: hardware e software che si collegano, direttamente o indirettamente, a un altro dispositivo o a una rete. Si applica a ciò che si immette sul mercato dell’UE, e le linee guida della Commissione del 2026 confermano che l’hardware con software integrato, come un computer o una scheda madre, vi rientra.
Il responsabile è il fabbricante: chi immette il prodotto sul mercato con il proprio nome. Se vendi una macchina con un computer dentro, rispondi dell’intera macchina, e il computer è uno dei suoi pezzi digitali più importanti.
Le date che contano
| Data | Cosa inizia |
|---|---|
| 11 settembre 2026 | Segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi: preallarme entro 24 ore, notifica entro 72 ore e relazione finale, tramite la piattaforma unica dell’ENISA. Anche per i prodotti già venduti. |
| 20 gennaio 2027 | Si applica il nuovo Regolamento macchine (UE) 2023/1230, che include la protezione dei sistemi di comando contro le manomissioni. |
| 11 dicembre 2027 | Obblighi completi del CRA: requisiti essenziali, valutazione della conformità, documentazione tecnica e marcatura CE secondo il regolamento. |
Cosa chiede il CRA, in pratica
- Sicurezza fin dalla progettazione e per impostazione predefinita: niente password generiche e servizi inutili chiusi.
- Gestione delle vulnerabilità durante il periodo di supporto, che in genere dovrebbe essere di almeno cinque anni, salvo che il prodotto sia destinato a un uso più breve.
- Aggiornamenti di sicurezza gratuiti, separati da quelli funzionali quando possibile.
- Una distinta base del software (SBOM) in un formato leggibile da macchina, con almeno le dipendenze di primo livello, nella documentazione tecnica.
- Un punto di contatto dove chiunque possa segnalare una vulnerabilità, e la data di fine del supporto comunicata all’utente.
Il mancato rispetto è punito con sanzioni fino a 15 milioni di euro o al 2,5 % del fatturato mondiale, e un prodotto senza la marcatura CE corrispondente non può essere venduto nell’UE.
Il computer dentro: cosa chiedere al tuo fornitore
Molti costruttori di macchine si trovano con lo stesso problema: non riescono a completare la documentazione perché i fornitori non danno loro le informazioni. Per il computer, chiedi questo:
- L’elenco dei componenti e delle versioni del firmware (BIOS o UEFI, controller e gestione remota) di ogni configurazione.
- Un impegno sugli aggiornamenti del firmware durante il periodo di supporto del tuo prodotto.
- Un avviso se compare una vulnerabilità in uno dei suoi pezzi, per poter rispettare la tua scadenza di 24 ore.
- Una piattaforma congelata: cambiare il computer ti obbliga a rivedere la documentazione tecnica.
- Un sistema operativo a supporto lungo (Windows IoT Enterprise LTSC o una versione Linux LTS), Secure Boot e TPM attivati, e nessun account con password di fabbrica.
- Una registrazione per numero di serie della configurazione esatta di ogni unità.
Un piano semplice fino a dicembre 2027
- Fai l’inventario dei tuoi prodotti e di tutto ciò che hanno di digitale.
- Chiedi a ogni fornitore il suo elenco di componenti e i suoi impegni di aggiornamento.
- Decidi il periodo di supporto di ogni prodotto.
- Organizza subito il processo di segnalazione delle vulnerabilità: è obbligatorio da settembre 2026.
- Prepara la documentazione tecnica e la valutazione della conformità, e falle rivedere da uno specialista.
Come trattiamo il computer del tuo prodotto
Nel programma OEM il computer esce con la piattaforma congelata (nessun cambio senza preavviso e rivalidazione), con la sua configurazione esatta e il risultato del test di 24 ore registrati per numero di serie, con la tua immagine di sistema caricata e provata, con sistemi a supporto lungo e con gestione remota tramite KVM-IPMI dedicato. Su richiesta, ti consegniamo l’elenco dei componenti e delle versioni del firmware di ogni unità per la tua documentazione tecnica.
Hardware e guide correlati
Domande frequenti
Il CRA riguarda le unità già vendute?
L’obbligo di segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi, in vigore dall’11 settembre 2026, si applica anche ai prodotti già sul mercato. Gli altri requisiti si applicano a ciò che si immette sul mercato dall’11 dicembre 2027.
Cos’è una SBOM?
La distinta base del software: tutto il software, le librerie e i componenti di un prodotto, con le loro versioni. Il CRA la chiede in formato leggibile da macchina nella documentazione tecnica; non va pubblicata.
Per quanto tempo devo fornire aggiornamenti?
Per il periodo di supporto che dichiari, che in genere dovrebbe essere di almeno cinque anni, salvo che il prodotto sia destinato a un uso più breve.
Cosa succede in caso di mancato rispetto?
Le sanzioni possono arrivare a 15 milioni di euro o al 2,5 % del fatturato mondiale, e un prodotto senza la marcatura CE corrispondente non può essere venduto nell’UE.
Prepariamo il computer della tua macchina?
Raccontaci cosa costruisci e quante unità all’anno. Ti proponiamo la piattaforma e ciò che documentiamo di ogni unità in meno di 12 ore lavorative.