Condividere l'articolo
Il Cyber Resilience Act (UE) 2024 2847 (CRA) mira a creare un quadro normativo uniforme a livello dell’Unione europea per i requisiti di cibersicurezza dei prodotti con elementi digitali lungo il loro intero ciclo di vita.
Ai sensi dell’articolo 26 del CRA, la Commissione europea è tenuta a pubblicare linee guida volte ad assistere gli operatori economici nell’applicazione del regolamento. La Commissione europea ha pubblicato la versione definitiva di queste linee guida il 27 luglio 2026.
L’obiettivo di questo articolo tecnico è illustrare ai fabbricanti di macchine, impianti e apparecchiature elettriche (dispositivi IoT) i contenuti delle linee guida e supportarli nell’adempimento dei nuovi requisiti.
Linee guida CRA 2026: cosa chiarisce la versione definitiva per i fabbricanti di macchine?
Con la pubblicazione delle linee guida ufficiali sul CRA nel luglio 2026, la Commissione europea ha chiarito numerosi aspetti relativi all’applicazione pratica del Cyber Resilience Act.
Le nuove indicazioni sono particolarmente rilevanti per i fabbricanti di macchine, impianti, sistemi robotici e soluzioni di automazione industriale. Le linee guida confermano un approccio basato sul rischio e garantiscono una maggiore certezza giuridica nella gestione dei sistemi esistenti, dei pezzi di ricambio, degli aggiornamenti software e degli interventi di ammodernamento.
Cosa significa esattamente «immissione sul mercato» e quali chiarimenti forniscono le linee guida?
A questo proposito, le linee guida fanno riferimento alla «Blue Guide» e chiariscono che i termini «immissione sul mercato» e «messa a disposizione sul mercato» devono essere riferiti a ogni singolo prodotto e non a un tipo di prodotto, indipendentemente dal fatto che sia stato fabbricato come pezzo unico o in serie.
Per quanto riguarda il software autonomo fornito in formato digitale, ai sensi del regolamento (UE) 2024/2847 esso si considera immesso sul mercato quando il suo sviluppo è stato completato e viene offerto per la prima volta, nell’ambito di un’attività commerciale, per la distribuzione o l’utilizzo sul mercato dell’UE.
Poiché il software distribuito in formato digitale può essere riprodotto senza le limitazioni fisiche proprie della produzione o dello stoccaggio, già con questa prima offerta si considera immesso sul mercato un numero praticamente illimitato di copie identiche. I download o gli accessi successivi costituiscono semplicemente una messa a disposizione dello stesso prodotto già immesso sul mercato, anche se avvengono in momenti diversi.
Le nuove versioni del software sono considerate nuovamente immesse sul mercato solo se costituiscono una modifica sostanziale («substantial modification»). Gli aggiornamenti minori o le iterazioni che non comportano una modifica sostanziale non richiedono una nuova valutazione della conformità e non modificano la data originaria di immissione sul mercato.
Questa interpretazione si applica esclusivamente al software autonomo distribuito in formato digitale. Non si applica se:
Come si applica il CRA alla combinazione di hardware e software in un unico prodotto?
Il regolamento (UE) 2024/2847 si applica ai prodotti con elementi digitali, vale a dire prodotti hardware o software e le relative soluzioni di trattamento remoto dei dati, purché includano una connessione dati diretta o indiretta a un dispositivo o a una rete.
Il campo di applicazione comprende, tra l’altro:
Ciò che conta non è come o quando il software viene fornito, ma se esso sia necessario per le funzioni previste del prodotto. Se un dispositivo hardware può svolgere le proprie funzioni solo insieme a un determinato software, l’hardware e il software sono considerati congiuntamente un unico prodotto con elementi digitali.
Ciò vale anche se il software viene fornito solo dopo la vendita dell’hardware attraverso altri canali, come un sito web, un app store o un download. Ne sono un esempio i driver necessari per una stampante o le app utilizzate per controllare un fitness tracker, purché siano necessarie per il funzionamento o l’utilizzo del dispositivo.
Come viene interpretato il termine «connessione dati» nelle linee guida sul CRA?
Il regolamento (UE) 2024/2847 si applica ai prodotti con elementi digitali qualora la loro finalità prevista o ragionevolmente prevedibile includa una connessione dati diretta o indiretta a un dispositivo o a una rete.
La definizione di «prodotto con elementi digitali» si basa, in ultima analisi, sulla definizione di «sistema informativo elettronico», vale a dire un sistema, comprese le apparecchiature elettriche o elettroniche, in grado di elaborare, memorizzare o trasmettere dati digitali.
Il campo di applicazione del CRA non dipende quindi dalla semplice presenza di componenti elettronici, bensì dalla capacità di un prodotto di scambiare informazioni digitali.
Si ha una connessione dati ai sensi del CRA solo quando le informazioni vengono intenzionalmente codificate in formato digitale – ad esempio in forma binaria – e trasmesse in modo tale da poter essere interpretate come dati dal destinatario.
I segnali puramente elettrici che si limitano ad attivare una funzione – ad esempio segnali di accensione/spegnimento senza trasmissione di informazioni – non sono considerati una connessione dati e non rientrano pertanto in questo aspetto del campo di applicazione del CRA..
Come si applica il CRA alle macchine e agli impianti classificati nelle linee guida come «sistemi complessi»?
Il regolamento (UE) 2024/2847 si applica anche ai «sistemi complessi» costituiti da più componenti hardware e software qualora siano immessi sul mercato come un unico prodotto.
La versione definitiva delle linee guida CRA dedica un capitolo specifico ai sistemi complessi (capitolo 2.6 «Complex systems», paragrafi da 29 a 32). In tale capitolo, la Commissione europea riconosce espressamente che le macchine industriali, le linee di produzione e le soluzioni di automazione sono spesso costituite da numerosi componenti hardware e software, hanno cicli di vita lunghi e dipendono da architetture, interfacce e requisiti di interoperabilità esistenti.
Le linee guida confermano che tali vincoli tecnici possono essere presi in considerazione. Qualora determinate misure di cibersicurezza non possano essere attuate integralmente a causa di limitazioni tecniche o di architetture di sistema esistenti, è possibile ricorrere a misure alternative o compensative. Resta tuttavia necessario documentare in modo comprensibile i rischi connessi e valutarli nell’ambito della valutazione dei rischi di cibersicurezza.
Questi sistemi possono risultare difficili da adattare ai nuovi requisiti di sicurezza a causa dei lunghi cicli di sviluppo, delle architetture esistenti o dei requisiti di interoperabilità. Ciò non significa tuttavia che siano automaticamente esclusi dal campo di applicazione del CRA. Si applica invece un approccio basato sul rischio.
I fabbricanti devono:
Tali limitazioni, rischi e misure devono essere descritti in modo trasparente nella documentazione tecnica e nelle informazioni destinate agli utenti. Devono inoltre essere riesaminati periodicamente e, se necessario, aggiornati durante il periodo di supporto.
I componenti preesistenti e le interfacce consolidate possono rappresentare un problema ai sensi del CRA?
Molti fabbricanti di macchine utilizzano da anni protocolli di comunicazione, sistemi fieldbus o componenti di controllo consolidati.
Le linee guida definitive riconoscono espressamente che, a causa dei requisiti di interoperabilità o di determinate limitazioni tecniche, non sempre è possibile implementare integralmente le misure di sicurezza più moderne.
In questi casi, i fabbricanti possono ricorrere a misure di protezione alternative o compensative, a condizione che i rischi siano documentati in modo comprensibile nell’ambito della valutazione dei rischi di cibersicurezza. Questo chiarimento riveste particolare importanza pratica per i fabbricanti e gli operatori di impianti di produzione esistenti.
Come devono essere trattati i prodotti sviluppati prima dell’applicazione del CRA?
I prodotti sviluppati prima della data di applicazione del regolamento (UE) 2024/2847 possono continuare a essere immessi sul mercato senza dover essere sviluppati nuovamente.
La versione definitiva delle linee guida CRA (capitolo 2.7 «Products with digital elements designed before the CRA entered into application», paragrafi da 33 a 39) precisa ulteriormente questo aspetto. Per molti fabbricanti di macchine si tratta probabilmente di uno dei chiarimenti più importanti contenuti nelle linee guida.
La Commissione europea chiarisce espressamente che i prodotti con elementi digitali sviluppati prima dell’applicazione del CRA non devono essere automaticamente riprogettati o sviluppati nuovamente da zero.
I fabbricanti possono continuare a utilizzare progetti esistenti, a condizione che possano dimostrare, sulla base di una valutazione dei rischi di cibersicurezza, che i requisiti essenziali di cibersicurezza sono soddisfatti.
La Commissione chiarisce inoltre che la documentazione storica relativa allo sviluppo e alle prove non deve necessariamente essere ricostruita integralmente. È invece possibile utilizzare le evidenze esistenti e le valutazioni dei rischi aggiornate per dimostrare la conformità ai requisiti del CRA.
A tal fine, il fabbricante deve:
Anche in assenza di modifiche progettuali devono tuttavia essere rispettati tutti gli obblighi previsti dal CRA, in particolare:
Qualora non sia disponibile una valutazione della sicurezza originaria risalente alla fase di sviluppo, il fabbricante deve effettuare una valutazione dei rischi aggiornata e documentare in che modo le misure esistenti riducano i rischi identificati.
Devono inoltre essere istituiti processi per la gestione delle vulnerabilità e la valutazione dei rischi deve essere aggiornata periodicamente durante il periodo di supporto.
Come deve essere valutata una «modifica sostanziale» dei prodotti che rientrano nel campo di applicazione del CRA?
L’articolo 3, punto 30, del regolamento (UE) 2024/2847 definisce una «modifica sostanziale» come una modifica del prodotto con elementi digitali, successiva alla sua immissione sul mercato, che incida sulla conformità del prodotto ai requisiti essenziali di cibersicurezza di cui all’allegato I, parte I, oppure che comporti una modifica della finalità prevista per la quale il prodotto è stato valutato.
Ai sensi del CRA, qualsiasi persona fisica o giuridica che apporti una modifica sostanziale a un prodotto e lo metta successivamente a disposizione sul mercato è considerata un fabbricante.
Ciò riguarda in particolare:
Ai sensi del regolamento (UE) 2024/2847 si distingue tra modifiche, riparazioni, pezzi di ricambio e aggiornamenti software per determinare se sussista una modifica sostanziale di un prodotto.
La manutenzione, la riparazione o la sostituzione di componenti non comportano automaticamente una modifica sostanziale.
È determinante verificare se:
La sostituzione di componenti difettosi con componenti equivalenti o migliori non è generalmente considerata una modifica sostanziale, purché la funzionalità e il profilo di rischio rimangano invariati.
I pezzi di ricambio identici, fabbricati secondo le stesse specifiche, non sono soggetti al CRA come nuovi prodotti.
I pezzi di ricambio non identici sono invece considerati prodotti a sé stanti e sono soggetti al CRA.
La loro installazione, tuttavia, non costituisce di norma una modifica sostanziale del prodotto originale, purché la finalità prevista e il profilo di rischio rimangano invariati.
Le linee guida definitive contengono spiegazioni molto più dettagliate sul tema dei pezzi di ricambio (capitolo 4.2 «Spare parts», paragrafi da 96 a 102).
La Commissione europea chiarisce che non ogni modifica tecnica comporta automaticamente una nuova valutazione ai sensi del CRA. È determinante, in particolare, verificare se vengano modificate caratteristiche del prodotto rilevanti per la cibersicurezza, come funzioni crittografiche, meccanismi di autenticazione, protocolli di comunicazione o altre proprietà rilevanti per la sicurezza.
Allo stesso tempo, le linee guida precisano le condizioni in base alle quali un pezzo di ricambio può continuare a essere considerato «identico». Finché la funzione, il profilo di sicurezza e la finalità prevista rimangono invariati, la sostituzione di un pezzo di ricambio non comporta di norma nuovi obblighi CRA per l’intero sistema.
Un aggiornamento software è considerato una modifica sostanziale se:
I normali aggiornamenti di sicurezza o gli aggiornamenti già previsti nella valutazione dei rischi originaria non sono generalmente considerati modifiche sostanziali.
Soprattutto nel settore della costruzione di macchine e impianti, i prodotti vengono modernizzati, ampliati e adattati a nuovi requisiti nel corso di molti anni.
La versione definitiva delle linee guida CRA (capitolo 4.3 «Software updates as substantial modifications», paragrafi da 103 a 112) chiarisce che non ogni estensione funzionale deve essere automaticamente classificata come modifica sostanziale.
Ciò che conta è se la finalità prevista originaria sia cambiata o se siano sorti rischi di cibersicurezza nuovi o maggiori.
Come esempio, la Commissione europea cita il passaggio da una soluzione destinata esclusivamente al monitoraggio a una soluzione che interviene attivamente nel controllo. Questo chiarimento garantisce una maggiore certezza giuridica, in particolare per i progetti di retrofit e ammodernamento.
Quali sono le conseguenze di una modifica sostanziale di un prodotto?
Quando viene apportata una modifica sostanziale:
Per quanto riguarda la documentazione a seguito di una modifica sostanziale, le linee guida rimandano al punto 2.1 della «Blue Guide». Quest’ultima chiarisce che la documentazione tecnica deve essere aggiornata nella misura in cui la modifica incida sui requisiti della normativa applicabile.
Non è necessario ripetere prove o predisporre nuova documentazione per gli aspetti che non sono interessati dalla modifica.
Spetta alla persona fisica o giuridica che apporta o fa apportare le modifiche dimostrare che non è necessario aggiornare tutti gli elementi della documentazione tecnica.
Tale persona è responsabile della conformità del prodotto modificato e deve rilasciare una dichiarazione di conformità, anche qualora utilizzi prove e documentazione tecnica preesistenti.
I prodotti immessi sul mercato prima dell’11 dicembre 2027 rientrano nel campo di applicazione del CRA solo se vengono modificati in modo sostanziale dopo tale data.
Le linee guida definitive sul CRA forniscono importanti chiarimenti al riguardo (capitoli 4.4.1 e 4.4.2 «Consequences of a substantial modification», paragrafi da 117 a 124).
Anche in presenza di una modifica sostanziale, non è necessariamente richiesta una nuova valutazione dell’intero prodotto. Se la modifica non influisce negativamente sulla cibersicurezza dell’intero sistema e può essere chiaramente circoscritta, gli obblighi previsti dal CRA possono essere limitati ai componenti e alle funzioni modificati. Questo chiarimento riveste una notevole importanza pratica, in particolare per i progetti di retrofit e ammodernamento di macchine e impianti industriali.
Per quanto tempo i fabbricanti di macchine dovranno fornire aggiornamenti di sicurezza?
Le linee guida chiariscono espressamente che i cinque anni spesso citati rappresentano soltanto il requisito minimo previsto dalla legge, vale a dire il limite inferiore. Non devono essere intesi come un valore standard applicabile a tutti i prodotti.
Il fabbricante deve invece stabilire il periodo di supporto sulla base della durata di utilizzo effettivamente prevista («expected use time») del prodotto.
Per i prodotti il cui utilizzo previsto supera i cinque anni può quindi essere necessario un periodo di supporto considerevolmente più lungo (capitolo 5 «Support period», paragrafi 125-126).
Nel determinare il periodo di supporto, i fabbricanti devono tenere conto in particolare dei seguenti fattori:
Questo chiarimento riveste particolare importanza proprio per il settore della costruzione di macchine e impianti. Mentre per determinati prodotti software o dispositivi di consumo un periodo di supporto di cinque anni può essere adeguato, gli impianti industriali, le macchine di produzione, i sistemi robotici e le soluzioni di automazione vengono spesso utilizzati per dieci, quindici o addirittura vent’anni.
I fabbricanti dovrebbero pertanto verificare tempestivamente se i propri processi di assistenza, gestione delle patch e gestione delle vulnerabilità siano adeguati a fornire aggiornamenti di sicurezza durante l’intero ciclo di vita effettivamente previsto del prodotto.
La Commissione europea chiarisce che, in linea di principio, i prodotti con una durata di utilizzo prevista superiore a cinque anni dovrebbero disporre di un periodo di supporto corrispondentemente più lungo.
Una modifica sostanziale prolunga automaticamente il periodo di supporto previsto dal CRA?
Le linee guida definitive rispondono espressamente, per la prima volta, a questa frequente domanda.
Una modifica sostanziale («substantial modification») non comporta automaticamente il riavvio o la proroga del periodo di supporto. Occorre invece verificare se la modifica alteri le ipotesi originarie relative alla durata di utilizzo prevista del prodotto. Solo in questo caso può essere necessario adeguare il periodo di supporto.
Le linee guida relative al regolamento (UE) 2024/2847 chiariscono concetti fondamentali e casi di applicazione del CRA e offrono ai fabbricanti di macchine, impianti e apparecchiature elettriche un importante orientamento per l’applicazione pratica dei nuovi requisiti di cibersicurezza.
Uno dei principali chiarimenti riguarda il momento in cui un prodotto si considera immesso sul mercato e quali prodotti rientrano effettivamente nel campo di applicazione del CRA. Non è determinante soltanto la presenza di componenti elettronici, bensì la capacità di un prodotto di elaborare o scambiare dati digitali.
Anche le combinazioni di hardware e software sono considerate un unico prodotto con elementi digitali quando entrambi sono necessari per la funzionalità del prodotto.
Le linee guida chiariscono inoltre che il CRA adotta un approccio basato sul rischio. I fabbricanti devono valutare e documentare i rischi di cibersicurezza lungo l’intero ciclo di vita del prodotto e adottare misure di protezione adeguate. Ciò vale anche per sistemi complessi, come macchine o impianti industriali, per i quali possono essere prese in considerazione limitazioni tecniche, interfacce esistenti, componenti preesistenti o requisiti di interoperabilità.
Le linee guida definitive confermano espressamente che, in questi casi, è possibile adottare misure di protezione alternative o compensative, purché i rischi siano valutati e documentati in modo comprensibile.
In linea di principio, i prodotti sviluppati prima dell’applicazione del CRA non devono essere sviluppati nuovamente. La Commissione europea chiarisce che le piattaforme di macchine esistenti possono continuare a essere utilizzate, a condizione che i fabbricanti possano dimostrare, mediante una valutazione aggiornata dei rischi di cibersicurezza, che i requisiti essenziali sono soddisfatti.
Ciò offre una maggiore certezza di pianificazione ai fabbricanti con famiglie di prodotti consolidate da molti anni.
Particolare importanza riveste inoltre il concetto di «modifica sostanziale». Solo le modifiche che cambiano la finalità prevista di un prodotto o introducono rischi di cibersicurezza nuovi o maggiori comportano che il prodotto sia considerato nuovamente immesso sul mercato e debba essere sottoposto a una nuova valutazione della conformità.
La manutenzione, le riparazioni, i pezzi di ricambio identici o i semplici aggiornamenti di sicurezza non comportano generalmente tale classificazione.
Le linee guida definitive forniscono inoltre maggiore chiarezza per i progetti di retrofit e ammodernamento, poiché non ogni estensione funzionale costituisce automaticamente una modifica sostanziale.
Vengono inoltre precisati i requisiti relativi al periodo di supporto. I cinque anni spesso citati rappresentano soltanto il requisito minimo previsto dalla legge. I fabbricanti devono invece tenere conto della durata di utilizzo prevista del prodotto.
Per macchine, impianti, sistemi robotici e soluzioni di automazione industriale, ciò può comportare obblighi significativamente più lunghi in materia di fornitura di aggiornamenti di sicurezza e gestione delle vulnerabilità.
Nel complesso, le linee guida definitive sul CRA mostrano che il regolamento non si limita a definire nuovi requisiti di cibersicurezza, ma stabilisce anche regole concrete per gli aggiornamenti software, le modifiche ai prodotti, la documentazione tecnica, i periodi di supporto e le responsabilità lungo l’intero ciclo di vita del prodotto.
Per i fabbricanti ciò significa soprattutto integrare sistematicamente la cibersicurezza nei processi di sviluppo, modifica, assistenza e supporto e documentare in modo trasparente le relative evidenze nella documentazione tecnica.
Scarica le linee guida
È possibile aprire e scaricare le linee guida CRA cliccando sul seguente link:
Linee guida CRA
Pubblicato il: 05/08/2026 (Ultimo aggiornamento)
Wolfgang ReichDiploma HTL in Elettrotecnica, indirizzo Tecnica energetica (Dipl.-HTL-Ing.), 20 anni di esperienza nei settori della marcatura CE, della sicurezza delle macchine, della modifica di macchine, dell’elettrotecnica e della protezione contro le esplosioni, di cui 10 presso TÜV Austria e Intertek Deutschland GmbH. Presidente della commissione d’esame per il titolo di maestro artigiano presso la Camera di Commercio della Stiria per la meccatronica (tecnica di automazione ed elettronica).
E-Mail: wolfgang.reich@ibf-solutions.com | www.ibf-solutions.com
Hendrik Stupin
Redattore tecnico qualificato (certificato tekom) e coordinatore CE certificato. In precedenza, 11 anni di esperienza nella comunicazione tecnica e come coordinatore CE nel settore dell’ingegneria meccanica e impiantistica, con specializzazione in prodotti “Engineered to Order (ETO)”.
E-Mail: hendrik.stupin@ibf-solutions.com| www.ibf-solutions.com
Software CE per l'ingegneria della sicurezza sistematica e professionale
Seminari pratici sulla sicurezza dei prodotti (in inglese)
Il CE-InfoService vi tiene informati sugli sviluppi importanti nel campo della sicurezza dei prodotti (in inglese).