Il Cyber Resilience Act impone requisiti di sicurezza by design sui prodotti con elementi digitali, affiancando GDPR e NIS2 in un sistema normativo integrato. Per gli studi legali, questo significa dover aggiornare la contrattualistica con fornitori software, rivedere le clausole di responsabilità nella supply chain digitale e verificare la conformità degli strumenti tecnologici in uso. Chi assiste aziende nel settore ICT o nella gestione dati deve oggi padroneggiare tre livelli normativi distinti ma collegati.
Punti chiave
- Il CRA copre i prodotti digitali, il GDPR i dati personali, NIS2 la resilienza organizzativa delle entità essenziali.
- I contratti con fornitori software vanno aggiornati con clausole CRA sulla sicurezza by design e gestione vulnerabilità.
- Le sanzioni CRA arrivano fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo.
Se assisti aziende che sviluppano, distribuiscono o semplicemente acquistano prodotti con componenti digitali, il tuo perimetro di consulenza si è appena allargato. Il Cyber Resilience Act introduce obblighi diretti di sicurezza by design che ricadono su produttori, importatori e distributori, con implicazioni immediate sulla redazione dei contratti di fornitura e sulla gestione della supply chain tecnologica.
L’analisi pubblicata da Agenda Digitale ricostruisce come il Cyber Resilience Act (Regolamento UE 2024/2847) si integri con il GDPR (Regolamento UE 2016/679) e la Direttiva NIS2 (Direttiva UE 2022/2555, recepita in Italia con d.lgs. 138/2024), disegnando un sistema a tre livelli: sicurezza del prodotto, protezione dei dati personali e resilienza organizzativa.
Il contesto normativo
Il CRA è entrato in vigore l’11 dicembre 2024 e si applicherà pienamente dall’11 dicembre 2027, con alcune disposizioni operative anticipate al settembre 2026. Il Regolamento classifica i prodotti digitali in tre categorie — default, critici classe I e critici classe II — con obblighi crescenti di valutazione della conformità. L’art. 13 CRA impone al produttore di garantire sicurezza by design per l’intero ciclo di vita del prodotto, inclusa la gestione delle vulnerabilità post-commercializzazione. Sul versante sanzionatorio, l’art. 64 CRA prevede fino a 15 milioni di euro o il 2,5% del fatturato mondiale per le violazioni più gravi, soglie paragonabili a quelle del GDPR (art. 83, par. 5: fino a 20 milioni o 4% del fatturato). Il d.lgs. 138/2024, che recepisce NIS2, completa il quadro imponendo alle entità essenziali e importanti misure di gestione del rischio cyber, con sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale.
Cosa cambia per lo studio
- Contrattualistica con fornitori software: ogni accordo di acquisto o licenza di prodotti digitali deve ora includere clausole che attestino la conformità CRA del fornitore, con meccanismi di audit e responsabilità per mancata gestione delle vulnerabilità segnalate.
- Due diligence nella supply chain: chi assiste operatori di infrastrutture critiche o entità NIS2 deve mappare l’intera catena di fornitura digitale. Il CRA responsabilizza importatori e distributori, non solo il produttore originario.
- Coordinamento tra DPO e CISO: le notifiche di incidente ora seguono doppio binario — all’ACN entro 24 ore per NIS2 (art. 25 d.lgs. 138/2024) e al Garante entro 72 ore per GDPR (art. 33) — con contenuti parzialmente diversi. Nei contratti di assistenza è utile disciplinare chi coordina le due comunicazioni.
- Responsabilità del prodotto digitale: il CRA si affianca al nuovo Regolamento sulla responsabilità per i prodotti difettosi (Direttiva UE 2024/2853), creando un doppio regime di responsabilità per i prodotti digitali che presentano vulnerabilità sfruttate da terzi.
- Aggiornamento delle policy interne allo studio: gli strumenti software usati dallo studio stesso — gestionali, sistemi di fatturazione elettronica, piattaforme di firma digitale — rientrano nel perimetro CRA se i fornitori operano nel mercato UE. Verificare la roadmap di conformità del proprio provider è un adempimento di governance da inserire già oggi.
Attenzione a
Confondere i tre regimi sanzionatori. GDPR, NIS2 e CRA hanno autorità competenti diverse (Garante Privacy, ACN, e per il CRA le autorità di vigilanza del mercato designate dagli Stati membri), termini di notifica distinti e parametri sanzionatori non omogenei. Un incidente cyber che coinvolge dati personali su un prodotto digitale difettoso può attivare simultaneamente tutti e tre i regimi: gestire le notifiche in modo non coordinato espone il cliente a sanzioni su più fronti.
Sottovalutare il periodo transitorio. Il CRA si applica pienamente dal dicembre 2027, ma gli obblighi di notifica delle vulnerabilità attivamente sfruttate scattano già dal settembre 2026. Inserire nei contratti pluriennali clausole di adeguamento progressivo evita di trovarsi a rinegoziare da una posizione di debolezza quando le scadenze si avvicinano.
Domande frequenti
Quando entra in vigore il Cyber Resilience Act in Italia?
Il CRA (Regolamento UE 2024/2847) è entrato in vigore l’11 dicembre 2024. Gli obblighi di notifica delle vulnerabilità si applicano dal settembre 2026, mentre il regime completo scatta dall’11 dicembre 2027. Non richiede recepimento nazionale: si applica direttamente come tutti i regolamenti UE.
Quali sono le sanzioni previste dal Cyber Resilience Act?
L’art. 64 CRA prevede sanzioni fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo per le violazioni più gravi, come l’immissione sul mercato di prodotti non conformi. Per violazioni meno gravi la soglia scende a 10 milioni o 2%. Le autorità di vigilanza del mercato di ciascuno Stato membro sono competenti per l’applicazione.
Differenza tra NIS2 e Cyber Resilience Act: a chi si applica ciascuno?
NIS2 (recepita con d.lgs. 138/2024) si applica alle organizzazioni — entità essenziali e importanti — imponendo misure di resilienza operativa e gestione del rischio. Il CRA si applica invece ai prodotti con elementi digitali, responsabilizzando produttori, importatori e distributori indipendentemente dalle dimensioni aziendali. I due regimi si sovrappongono quando un’entità NIS2 produce anche prodotti digitali.
Fonte di riferimento: AgendaDigitale