A chi si rivolge
Sviluppate software, firmware, app o dispositivi connessi e li vendete nell’UE. Dall’11 settembre 2026 dovete notificare le vulnerabilità sfruttate attivamente e gli incidenti gravi ai sensi del Cyber Resilience Act; dall’11 dicembre 2027 si applicano tutti i requisiti per i vostri prodotti. Complass vi guida per ogni prodotto, dalla classificazione fino alla marcatura CE e per tutto il periodo di supporto.
Per una vulnerabilità sfruttata attivamente restano 24 ore per il preallarme, anche per i prodotti sul mercato da tempo. Ciò riesce solo con una procedura collaudata.
Librerie, open source e componenti dei fornitori: senza una distinta base del software aggiornata non si può dire quale prodotto sia interessato da una nuova vulnerabilità.
La direttiva sulle apparecchiature radio (RED), il CRA, il Data Act e, se del caso, il regolamento sull’IA si intrecciano, con scadenze e periodi transitori propri.
Il Cyber Resilience Act si applica ai prodotti con elementi digitali che possono collegarsi a un dispositivo o a una rete, quindi alla maggior parte dei software e a quasi tutti i dispositivi connessi. Sono esclusi, tra l’altro, i dispositivi medici e i veicoli con una propria omologazione.
Framework: CRA · Direttiva sulle apparecchiature radio (RED) · IEC 62443 per fabbricanti · Data Act · Regolamento sull’IA
Non siete sicuri di quali framework si applichino a voi? Avviare il test “Sono interessato?”
Costi, impegno e tempi: solo consulente, consulente con Complass o implementazione interna con Complass? Apri il calcolatore dei costi di compliance
IA nel prodotto. Se il vostro prodotto contiene un sistema di IA, verificate la classificazione ai sensi del regolamento sull’IA. Se l’IA è un componente di sicurezza di un prodotto che ai sensi del diritto dell’UE richiede una valutazione della conformità da parte di terzi, può essere ad alto rischio. Gli obblighi di trasparenza, ad esempio per i chatbot, si applicano dal 2 agosto 2026. Art. 6 del regolamento sull’IAArticle 6 AI Act Classification rules for high-risk AI systems1. Irrespective of whether an AI system is placed on the market or put into service independently of the products referred to in points (a) and (b), that AI system shall be considered to be high-risk where both of the following conditions are fulfilled: - (a) the AI system is intended to be used as a safety component of a product, or the AI system is itself a product, covered by the Union harmonisation legislation …Apri l’originale (EUR-Lex – consolidated version of 27.07.2026) ↗ Art. 50 del regolamento sull’IAArticle 50 AI Act Transparency obligations for providers and deployers of certain AI systems1. Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This …Apri l’originale (EUR-Lex – consolidated version of 27.07.2026) ↗
Informazione generale, non consulenza legale. Questa pagina riassume il quadro giuridico in forma semplificata e non sostituisce la valutazione del vostro caso specifico. Fa fede il testo delle leggi e delle norme.
Software standard, app e firmware: distinta base del software, update e notifiche per l’intero periodo di supporto.
Dispositivi smart home, IoT e industriali con radio: oggi direttiva sulle apparecchiature radio (RED), da dicembre 2027 CRA.
Controllori, gateway e componenti di rete; router e altri componenti di rete sono in parte considerati prodotti importanti con una procedura di conformità più rigorosa. IEC 62443-4-1 e 4-2 sono un quadro diffuso.
Prodotti con IA integrata: classificazione ai sensi del regolamento sull’IA in aggiunta al CRA.
Classificazione, valutazione dei rischi, requisiti ai sensi dell’allegato I, documentazione tecnica e dichiarazione di conformità, gestite per fasi.
Scoprire di più sulla funzioneImportare distinte base del software (CycloneDX, SPDX), associare vulnerabilità e avvisi dei produttori (CSAF) ed esportare SBOM e VEX per clienti e autorità.
Scoprire di più sulla funzioneVulnerabilità sfruttata attivamente o incidente grave: Complass mostra le tre fasi di notifica con scadenza e le informazioni richieste.
Scoprire di più sulla funzioneUn framework dedicato ai fabbricanti con modelli per il processo di sviluppo, il modello delle minacce e il processo PSIRT, collegato al CRA.
Il modello settoriale “Produttori” preseleziona il CRA, la direttiva sulle apparecchiature radio e la gestione delle vulnerabilità con SBOM. Il regolamento sull’IA lo aggiunge se serve.
disponibile
da 427 € al mese più IVA nel pacchetto Start, dimensione S, pagamento annuale
disponibile
da 79 € al mese più IVA nel pacchetto Studio, dimensione S, pagamento annuale
Tutti i prezzi si rivolgono alle imprese, non ai consumatori. Si intendono al netto più IVA con pagamento annuale; per il pagamento mensile si applica una maggiorazione del 15 %. Aggiornato al 16/10/2026. Enterprise e gruppi di imprese su richiesta.
Sì. Anche il software venduto autonomamente è un prodotto con elementi digitali. I servizi cloud puri senza riferimento a un prodotto non rientrano di regola nel CRA, ma nella NIS2. Il trattamento dei dati a distanza, senza il quale un prodotto non può svolgere la propria funzione, fa invece parte del prodotto.
Dovete notificare le vulnerabilità sfruttate attivamente e gli incidenti di sicurezza gravi tramite la piattaforma di notifica unica, con preallarme entro 24 ore. Ciò vale anche per i prodotti che avete immesso sul mercato prima di tale data.
La serie di norme non è obbligatoria, ma viene spesso richiesta per i componenti industriali. IEC 62443-4-1 descrive i requisiti per un processo di sviluppo sicuro, IEC 62443-4-2 i requisiti tecnici di sicurezza per i componenti. Complass collega entrambe ai requisiti del CRA.
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.
