Complass – Navigate compliance Complass – Navigate compliance

framework

Regolamento sulla ciberresilienza (UE) 2024/2847

Il regolamento sulla ciberresilienza stabilisce requisiti per i prodotti con elementi digitali lungo l’intero ciclo di vita. Complass vi guida prodotto per prodotto, dall’applicabilità alla marcatura CE.

Fotogramma del breve video “Compliance management in 20 secondi”
Compliance management in 20 secondi Progetto, prossimo passo, checklist, dichiarazione di applicabilità, pacchetto per l’audit. Beispieldaten der Demo-Firma.

Che cos’è CRA?

Il regolamento sulla ciberresilienza (Cyber Resilience Act, CRA) è il regolamento (UE) 2024/2847 relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali. Prevede la sicurezza fin dalla progettazione, la gestione delle vulnerabilità per tutto il periodo di supporto, la notifica delle vulnerabilità sfruttate attivamente e una valutazione della conformità con marcatura CE.

Aggiornamento dei contenuti:

Vale anche per me?

Il CRA si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell’UE, ossia hardware e software con connessione dati come controllori, dispositivi e applicazioni. Gli obblighi riguardano principalmente i fabbricanti, oltre a importatori e distributori. Sono previste eccezioni, tra l’altro, per i prodotti già disciplinati da determinate altre norme dell’UE.

Gli obblighi di notifica ai sensi dell’art. 14 si applicano dall’11 settembre 2026, anche per i prodotti immessi sul mercato prima di tale data.

Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.

Base giuridica

  • Art. 2 CRAArticolo 2 Regolamento sulla ciberresilienza Ambito di applicazione1. Il presente regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete. 2. Il presente regolamento non si applica ai prodotti con elementi digitali a cui si applicano i seguenti atti giuridici dell’Unione: - a) …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Ambito di applicazione
  • Art. 3 CRAArticolo 3 Regolamento sulla ciberresilienza DefinizioniAi fini del presente regolamento si applicano le definizioni seguenti: 1) «prodotto con elementi digitali»: qualsiasi prodotto software o hardware e le relative soluzioni di elaborazione dati da remoto, compresi i componenti software o hardware immesso sul mercato separatamente; 2) «elaborazione dati da remoto»: qualsiasi elaborazione dati a distanza per la quale il software è stato progettato e sviluppato dal …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definizioni
  • Art. 7 CRAArticolo 7 Regolamento sulla ciberresilienza Prodotti con elementi digitali importanti1. I prodotti con elementi digitali che hanno la funzionalità principale di una categoria di prodotti di cui all’allegato III sono considerati prodotti con elementi digitali importanti e sono soggetti alle procedure di valutazione della conformità di cui all’articolo 32, paragrafi 2 e 3. L’integrazione di un prodotto con elementi digitali che ha la funzionalità principale di una categoria di prodotti di cui …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Prodotti importanti con elementi digitali
  • Art. 13 CRAArticolo 13 Regolamento sulla ciberresilienza Obblighi dei fabbricanti1. All’atto dell’immissione sul mercato di un prodotto con elementi digitali, i fabbricanti assicurano che esso sia stato progettato, sviluppato e prodotto conformemente ai requisiti essenziali di cibersicurezza di cui all’allegato I, parte I. 2. Ai fini della conformità al paragrafo 1, i fabbricanti effettuano una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e tengono conto …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obblighi dei fabbricanti

Date chiave

  1. Entrata in vigore del regolamento · Art. 71, par. 1Articolo 71 Regolamento sulla ciberresilienza Entrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  2. Si applica il capo IV (organismi notificati, art. 35–51) · Art. 71, par. 2Articolo 71 Regolamento sulla ciberresilienza Entrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  3. Si applicano gli obblighi di segnalazione ai sensi dell’art. 14 – anche per i prodotti esistenti · Art. 71, par. 2, art. 69, par. 3Articolo 71 Regolamento sulla ciberresilienza Entrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  4. EHR systems: conformity assessment under the EHDS Regulation (Art. 32(5a)); amendment of Art. 13(4) and Art. 31(3) · Art. 104 Regulation (EU) 2025/327Articolo 71 Regolamento sulla ciberresilienza Entrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  5. Piena applicazione del regolamento · Art. 71, par. 2Articolo 71 Regolamento sulla ciberresilienza Entrata in vigore e applicazione1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. 2. Il presente regolamento si applica dall’11 dicembre 2027. Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026.Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  6. 24 ore / 72 ore / 14 giorni Preallarme, notifica e relazione finale per le vulnerabilità sfruttate attivamente (relazione finale 14 giorni dopo la disponibilità di una correzione) · Art. 14 CRAArticolo 14 Regolamento sulla ciberresilienza Obblighi di segnalazione dei fabbricanti1. Un fabbricante notifica simultaneamente al CSIRT designato come coordinatore, conformemente al paragrafo 7 del presente articolo, e all’ENISA, qualsiasi vulnerabilità attivamente sfruttata contenuta nel prodotto con elementi digitali di cui viene a conoscenza. Il fabbricante notifica tale vulnerabilità attivamente sfruttata tramite la piattaforma unica di segnalazione istituita a norma dell’articolo 16. 2. Ai …Stato: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗

Calcolare gratuitamente i termini di notifica per il Suo caso

Come Complass aiuta

  • 10fasi
  • 33passi guidati
  • 17modelli di documento
  • 32requisiti nel catalogo
  • Un progetto per ogni prodotto

    Dieci fasi, da applicabilità e ruolo, passando per classificazione e valutazione dei rischi, fino alla dichiarazione di conformità, agli obblighi successivi all’immissione sul mercato e alla responsabilità per danno da prodotto.

  • Catalogo per l’Allegato I

    Requisiti essenziali di cybersicurezza e gestione delle vulnerabilità con stato ed evidenze, collegabili a IEC 62443-3-3 e al regolamento macchine.

  • Vulnerabilità nel vostro prodotto

    Importate la SBOM, confrontate in continuo i componenti con i dati pubblici sulle vulnerabilità e create l’incidente ai sensi dell’art. 14 già precompilato in caso di sfruttamento attivo.

  • Documentazione tecnica

    Modelli per, tra l’altro, valutazione del rischio, concetto di SBOM, processo di gestione delle vulnerabilità, politica di divulgazione, informazioni per l’utente ai sensi dell’Allegato II e dichiarazione di conformità UE.

Le fasi nel modulo

  1. Applicabilità, ruolo e cronologia
  2. Descrizione del prodotto, classificazione e procedura di valutazione della conformità
  3. Valutazione del rischio di cibersicurezza
  4. Requisiti essenziali di cibersicurezza per il prodotto (allegato I, parte I)
  5. Gestione delle vulnerabilità, SBOM e periodo di supporto (allegato I, parte II)
  6. Obblighi di notifica ai sensi dell'art. 14 (applicabili dall'11 settembre 2026)
  7. Informazioni per gli utenti e documentazione tecnica
  8. Valutazione della conformità, dichiarazione di conformità UE e marcatura CE
  9. Obblighi successivi all'immissione sul mercato
  10. Product liability under Directive (EU) 2024/2853

Catalogo: Allegato I – Requisiti essenziali di cibersicurezza

Moduli correlati

Dossier cyber CE per prodotto

CRA e Regolamento macchine in un unico dossier per prodotto e versione: requisiti, SBOM, vulnerabilità, periodo di assistenza. Complass prepara come bozza la documentazione tecnica e la dichiarazione di conformità UE.

Cosa Le serve come minimo in qualità di Produttori

La prima selezione copre gli obblighi in Complass, se valgono per Lei. La verifica di applicabilità gratuita mostra se è così. Alla verifica di applicabilità

Che cosa Le serve almeno

Se è un fabbricante ai sensi del CRA: questa selezione copre i relativi obblighi in Complass. È preselezionata quando prova o ordina.

Dimensioni del portale Start

  • Cyber Resilience Act (CRA): Requisiti fondamentali, valutazione della conformità e marcatura CE. (Art. 13 CRA (si apre in una nuova scheda))
  • Vulnerabilità e tecniche di attacco (incl. SBOM, fascicolo prodotto CRA e MITRE ATT&CK): Trattare le vulnerabilità e per le vulnerabilità sfruttate attivamente presentare un’allerta precoce entro 24 ore. (Art. 14, allegato I parte II CRA (si apre in una nuova scheda))
  • Incident management: incluso
  • GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base): incluso
Prezzo della selezione minima
VocePrezzo netto al mese
Start S179 €
Cyber Resilience Act (CRA)incluso
Vulnerabilità e tecniche di attacco (incl. SBOM, fascicolo prodotto CRA e MITRE ATT&CK)149 €
GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)incluso
Totale328 € netto/mese

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.

Modificare la selezione nella panoramica prezzi: Selezione minima Produttori

Se è solo importatore o distributore (art. 19, 20 CRA), in Complass basta la normativa CRA senza il modulo vulnerabilità: Start, 179 € netti/mese. Chi offre prodotti con il proprio nome o li modifica in modo sostanziale è considerato fabbricante (art. 21, 22 CRA). Vedere la selezione: Selezione minima Importatore o distributore

Consigliato per più efficacia Offerta, non obbligo

Business

Più efficacia con Risk management e Gestione della continuità operativa (BCM), spazio per 10 utenti e 2 normative.

598 € netti/mese, 270 € in più rispetto alla selezione minima.

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.

Vedi nella panoramica dei prezzi: Selezione minima Produttori

Domande frequenti

Costruiamo macchine con un controllore. Si applica il CRA o il regolamento macchine?

Spesso entrambi. Complass mostra le sovrapposizioni e collega i cataloghi in modo da fornire le evidenze una sola volta.

Complass trasmette la notifica all’ENISA?

No. Complass calcola le scadenze e prepara i contenuti; la notifica la trasmettete tramite la piattaforma di notifica.

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.