Il Cyber Resilience Act (Reg. UE 2024/2847) impone requisiti di sicurezza informatica ai fabbricanti e distributori di prodotti con elementi digitali, con prime scadenze operative fissate a settembre 2026. Gli studi legali che assistono clienti tech, produttori hardware o fornitori SaaS devono già oggi verificare se i contratti in essere allocano correttamente i rischi di non conformità. Le linee guida della Commissione europea chiariscono perimetro, obblighi di notifica e gestione delle vulnerabilità, riducendo le zone grigie interpretative su cui si giocheranno le prime contestazioni.
Punti chiave
- Punto 1 — Dal settembre 2026 scattano gli obblighi di notifica delle vulnerabilità attivamente sfruttate.
- Punto 2 — Il CRA distingue prodotti standard, importanti e critici con requisiti di conformità crescenti.
- Punto 3 — I contratti con fornitori software e cloud vanno aggiornati per allocare correttamente la responsabilità CRA.
Chi assiste produttori di software, fornitori cloud o distributori di dispositivi connessi ha già un problema contrattuale aperto: il Cyber Resilience Act è in vigore e le prime scadenze operative — settembre 2026 — si avvicinano abbastanza da rendere urgente la revisione di contratti di fornitura, SLA e clausole di responsabilità. Le linee guida pubblicate dalla Commissione europea a giugno 2025 restringono le ambiguità interpretative e, con esse, lo spazio per difese basate sull’incertezza normativa.
La Commissione europea ha pubblicato orientamenti applicativi al Regolamento UE 2024/2847 (Cyber Resilience Act) che chiariscono l’ambito di applicazione per software, prodotti con elementi digitali, componenti open source e servizi cloud. Il documento, consultabile sul sito istituzionale, fissa criteri per identificare modifiche sostanziali, durata dei periodi di supporto e modalità di notifica degli incidenti. La fonte completa è disponibile su Agenda Digitale.
Il contesto normativo
Il Regolamento UE 2024/2847 è entrato in vigore l’11 dicembre 2024 con un regime di applicazione progressiva. L’art. 64 del Regolamento stabilisce che gli obblighi di notifica delle vulnerabilità attivamente sfruttate e degli incidenti significativi diventeranno esigibili a partire dal 11 settembre 2026, mentre la piena applicabilità di tutti gli obblighi sostanziali è fissata all’11 dicembre 2027. Il CRA si affianca alla Direttiva NIS 2 (recepita in Italia con d.lgs. 138/2024) e al Regolamento DORA (Reg. UE 2022/2554) per i soggetti finanziari, creando un sistema a strati in cui obblighi di sicurezza, notifica e responsabilità si sovrappongono e richiedono coordinamento contrattuale preciso.
Cosa cambia per lo studio
- Revisione dei contratti di fornitura software e SaaS. Il CRA imputa gli obblighi di conformità al fabbricante o, in certi casi, all’importatore. I contratti che non allocano esplicitamente costi di adeguamento, audit e notifica espongono il cliente a costi imprevisti e il fornitore a responsabilità extracontrattuali difficili da limitare.
- Clausole di modifica sostanziale. Le linee guida definiscono quando un aggiornamento software costituisce una «modifica sostanziale» che reimposta il ciclo di conformità. Nei contratti di sviluppo e manutenzione, questa definizione deve essere recepita esplicitamente per evitare controversie sulla distribuzione dei costi di ri-certificazione.
- Periodo di supporto garantito. Il CRA impone ai fabbricanti di definire e rispettare un periodo minimo di supporto per aggiornamenti di sicurezza. Nelle negoziazioni di licenza, questo elemento diventa una clausola essenziale: la sua assenza può configurare inadempimento rilevante ai sensi dell’art. 1453 c.c.
- Gestione delle notifiche agli organismi nazionali. Dal settembre 2026, le vulnerabilità attivamente sfruttate vanno notificate all’ENISA e alle autorità nazionali entro 24 ore dalla scoperta. Chi gestisce contratti di outsourcing IT deve verificare che il fornitore abbia procedure operative già attive, con responsabilità contrattuali chiare in caso di ritardo.
- Open source e componenti di terze parti. Le linee guida chiariscono che i soggetti che integrano componenti open source in prodotti commerciali assumono gli obblighi del fabbricante. Questa precisazione modifica il profilo di rischio di molte startup e PMI tech che si ritengono estranee al perimetro CRA.
Attenzione a
Sovrapposizione con NIS 2 e DORA. Studi che assistono soggetti finanziari o operatori di servizi essenziali devono mappare con attenzione quale regime prevale caso per caso. Il d.lgs. 138/2024 (NIS 2 italiana) e il Regolamento DORA già impongono obblighi di notifica incidenti con tempistiche differenti dal CRA: un contratto che recepisce solo uno dei tre regimi lascia lacune che in sede di contestazione diventano responsabilità del consulente legale.
Clausole di esonero da responsabilità generiche. Le limitazioni di responsabilità standard nei contratti software — spesso copie di template anglosassoni — non sono calibrate sul regime sanzionatorio CRA, che prevede sanzioni fino a 15 milioni di euro o il 2,5% del fatturato mondiale. Un’esimente contrattuale che non distingue tra violazioni CRA, NIS 2 e GDPR rischia di essere inefficace o controproducente in sede arbitrale.
Domande frequenti
Il Cyber Resilience Act si applica anche ai fornitori di software B2B italiani?
Sì. Il Reg. UE 2024/2847 si applica a qualsiasi fabbricante o importatore che immette sul mercato UE prodotti con elementi digitali, incluso software venduto a imprese. Non rileva la dimensione del soggetto né la nazionalità: un fornitore SaaS italiano che vende a clienti europei rientra nel perimetro dal 11 dicembre 2027, con obblighi di notifica già esigibili dal settembre 2026.
Cosa succede se il fornitore software non rispetta gli obblighi CRA e il cliente subisce un danno?
Il CRA non crea una responsabilità civile automatica verso il cliente finale, ma l’inadempimento degli obblighi di sicurezza può integrare un inadempimento contrattuale rilevante ex art. 1453 c.c. e fondare una domanda risarcitoria. Se il contratto non disciplina espressamente gli obblighi CRA, il giudice valuterà la diligenza richiesta al fornitore professionale secondo i criteri dell’art. 1176 comma 2 c.c.
Quali sono le scadenze operative del Cyber Resilience Act da segnare in agenda?
Tre date: 11 settembre 2026 per gli obblighi di notifica di vulnerabilità e incidenti all’ENISA; 11 dicembre 2027 per la piena applicabilità di tutti gli obblighi sostanziali di sicurezza e conformità. La marcatura CE per prodotti digitali sarà obbligatoria dalla stessa data del 2027. Le sanzioni possono arrivare fino a 15 milioni di euro o il 2,5% del fatturato mondiale.
Fonte di riferimento: AgendaDigitale