Il 2 ottobre 2026 il Consiglio dei ministri ha approvato, in esame preliminare, lo schema di decreto legislativo volto ad adeguare l’ordinamento italiano al regolamento (UE) 2024/2847, noto come Cyber Resilience Act (CRA). Il provvedimento interviene principalmente sul piano dell’organizzazione delle competenze e dei poteri di controllo, individuando nell’Agenzia per la cybersicurezza nazionale (ACN) l’autorità di notifica degli organismi incaricati della valutazione della conformità e l’autorità nazionale di vigilanza del mercato. Lo schema, pertanto, non modifica gli obblighi sostanziali già previsti dal regolamento europeo, direttamente applicabile, ma individua i soggetti chiamati a garantirne l’attuazione e disciplina gli strumenti di vigilanza e il relativo sistema sanzionatorio.

Le funzioni attribuite all’ACN devono essere distinte in base alla loro diversa natura. In qualità di autorità di notifica, l’Agenzia svolge i compiti connessi alla designazione degli organismi di valutazione della conformità, mentre le attività di accreditamento e controllo di tali organismi restano affidate all’organismo nazionale di accreditamento. In veste di autorità di vigilanza del mercato, invece, l’ACN esercita i poteri di controllo sui prodotti con elementi digitali, potendo avvalersi anche della collaborazione della Guardia di finanza. La scelta operata dal legislatore nazionale appare riconducibile alla specificità del Cyber Resilience Act, che disciplina la sicurezza informatica dei prodotti digitali e connessi, distinguendosi così dalle normative relative ad altri settori produttivi.

Il sistema delineato dallo schema di decreto non attribuisce, tuttavia, all’ACN una competenza esclusiva. La vigilanza è infatti articolata in funzione della natura e delle caratteristiche dei prodotti interessati. Per i sistemi di intelligenza artificiale classificati ad alto rischio operano le autorità individuate dalla disciplina nazionale in materia di intelligenza artificiale; nel settore finanziario, le competenze spettano invece alla Banca d’Italia, alla Consob e all’Ivass, ciascuna nell’ambito delle rispettive attribuzioni. Per gli aspetti concernenti la protezione dei dati personali resta competente il Garante per la protezione dei dati personali. Ne deriva un sistema caratterizzato dalla presenza di una pluralità di autorità, chiamate a coordinarsi quando uno stesso prodotto presenti profili riconducibili a discipline differenti.

Lo schema di decreto introduce inoltre strumenti volti a favorire l’adeguamento delle imprese, con particolare attenzione alle microimprese, alle piccole e medie imprese e alle startup. In tale prospettiva, è prevista la predisposizione di un servizio di consulenza da parte dell’ACN e del Ministero delle imprese e del made in Italy, nonché l’applicazione di tariffe proporzionate per le attività di valutazione della conformità. Assume particolare rilievo anche la cosiddetta Sandbox-CRA, sottoposta alla supervisione dell’ACN, che consentirà di sperimentare i prodotti in un ambiente controllato prima della loro immissione sul mercato. Tale strumento è volto soprattutto a permettere alle imprese di minori dimensioni di verificare preventivamente la conformità dei propri prodotti ai requisiti di cybersicurezza.

Un ulteriore profilo riguarda la tutela dei consumatori, ai quali è riconosciuta la possibilità di segnalare vulnerabilità, incidenti e minacce al CSIRT Italia. Le violazioni del Cyber Resilience Act possono inoltre essere oggetto di azioni rappresentative promosse dalle associazioni dei consumatori, rafforzando così gli strumenti di tutela nei confronti dei fabbricanti.

Sul piano sanzionatorio, lo schema di decreto prevede un sistema volto a dare concreta attuazione alle prescrizioni del regolamento europeo. Per le violazioni più gravi, il limite massimo della sanzione può raggiungere i 15 milioni di euro oppure il 2,5% del fatturato mondiale annuo realizzato nell’esercizio precedente, qualora tale importo risulti superiore. Restano tuttavia da definire alcuni aspetti procedurali, in particolare con riferimento alle modalità di contestazione e impugnazione delle sanzioni. In assenza di una specifica disciplina dell’ACN sul procedimento sanzionatorio, troverebbero applicazione le disposizioni generali della legge n. 689 del 1981.

Parallelamente all’iter di adeguamento nazionale, alcuni obblighi previsti dal CRA sono già divenuti operativi. Dall’11 settembre 2026, infatti, i fabbricanti sono tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi. La piena applicazione del regolamento è invece prevista per l’11 dicembre 2027. Il sistema di segnalazione prevede termini differenziati: un preallarme entro 24 ore, una successiva notifica entro 72 ore e una relazione finale entro 14 giorni. Tali obblighi possono inoltre sovrapporsi a quelli derivanti dalla disciplina NIS2 e dal GDPR, rendendo necessario un adeguato coordinamento delle procedure interne per la gestione degli incidenti.

In definitiva, l’attuazione del CRA richiede alle imprese un tempestivo adeguamento dei processi produttivi e organizzativi, affinché la cybersicurezza sia integrata nell’intero ciclo di vita dei prodotti digitali.

Visualizzazioni: 1