Punti chiave
- Il Cyber Resilience Act, regolamento (UE) 2024/2847, è entrato in vigore il 10 dicembre 2024 e si applica per gradi: l'articolo 71 fissa tre momenti distinti invece di una scadenza unica.
- Dall'11 giugno 2026 si applica il capo IV, articoli da 35 a 51, cioè le regole su autorità di notifica e organismi notificati: riguarda gli Stati membri e gli organismi di valutazione della conformità, non ancora i fabbricanti.
- Dall'11 settembre 2026 si applica l'articolo 14, gli obblighi di segnalazione: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni o entro un mese a seconda dell'evento.
- L'11 dicembre 2026 è il termine entro cui gli Stati membri, secondo l'articolo 35 paragrafo 2, si adoperano per garantire un numero sufficiente di organismi notificati nell'Unione.
- Dall'11 dicembre 2027 il regolamento si applica in pieno: requisiti essenziali, valutazione della conformità, marcatura CE e documentazione tecnica per i prodotti immessi sul mercato da quella data.
- I prodotti già sul mercato prima dell'11 dicembre 2027 restano fuori dai requisiti di prodotto salvo che, a decorrere da quella data, subiscano una modifica sostanziale (articolo 69 paragrafo 2), ma gli obblighi di segnalazione dell'articolo 14 valgono anche per loro (articolo 69 paragrafo 3).
Il Cyber Resilience Act, regolamento (UE) 2024/2847, non ha una scadenza sola. L'articolo 71 scagliona l'applicazione in tre momenti: il capo IV sugli organismi di valutazione della conformità dall'11 giugno 2026, gli obblighi di segnalazione dell'articolo 14 dall'11 settembre 2026, tutto il resto dall'11 dicembre 2027. L'entrata in vigore è anteriore: 10 dicembre 2024.
Qui sotto ogni data con chi è toccato e cosa deve essere pronto prima. Il perimetro, cioè quali prodotti e quali ruoli rientrano, sta nella guida Cyber Resilience Act: cos'è e chi riguarda: questa pagina parla solo di tempo.
Il calendario in ordine cronologico
Sette date che toccano chi immette prodotti sul mercato, tutte scritte nel regolamento o in un atto adottato in sua forza. Le prime quattro sono già passate. In fondo alla pagina ce ne sono altre due, di sola verifica istituzionale.
- 10 dicembre 2024: entrata in vigore.
- 21 dicembre 2025: entra in vigore il regolamento di esecuzione (UE) 2025/2392, con la descrizione tecnica delle categorie di prodotti importanti e critici.
- 11 giugno 2026: si applica il capo IV, articoli da 35 a 51, sugli organismi di valutazione della conformità.
- 11 settembre 2026: si applica l'articolo 14, obblighi di segnalazione dei fabbricanti.
- 11 dicembre 2026: termine dell'articolo 35 paragrafo 2 sul numero di organismi notificati disponibili.
- 11 dicembre 2027: il regolamento si applica in pieno.
- 11 giugno 2028: scadono i certificati mantenuti in vita dalla disposizione transitoria dell'articolo 69 paragrafo 1.
Nella versione italiana pubblicata in Gazzetta ufficiale dell'Unione europea, l'articolo 71 paragrafo 2 si apre con "Il presente regolamento si applica dall'11 dicembre 2027." e prosegue, al comma successivo: "Tuttavia, l'articolo 14 si applica a decorrere dall'11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall'11 giugno 2026." Il resto del calendario sta in altri articoli, ed è il motivo per cui in giro si legge spesso una sola data.
10 dicembre 2024: entrata in vigore
Il regolamento è stato adottato il 23 ottobre 2024 e pubblicato nella Gazzetta ufficiale dell'Unione europea il 20 novembre 2024. L'articolo 71 paragrafo 1 lo fa entrare in vigore il ventesimo giorno successivo alla pubblicazione, cioè il 10 dicembre 2024.
Chi è toccato: nessuno, in termini di obblighi esigibili. In vigore significa che l'atto esiste nell'ordinamento, non che i suoi obblighi siano già pretendibili: la stessa distinzione che vale per la sequenza degli adempimenti NIS2.
21 dicembre 2025: la descrizione tecnica delle categorie di prodotti
L'articolo 7 paragrafo 4 dava alla Commissione tempo fino all'11 dicembre 2025 per adottare un atto di esecuzione con la descrizione tecnica delle categorie di prodotti importanti delle classi I e II dell'Allegato III e delle categorie di prodotti critici dell'Allegato IV. L'atto è il regolamento di esecuzione (UE) 2025/2392 del 28 novembre 2025, pubblicato il 1 dicembre 2025 ed entrato in vigore il ventesimo giorno successivo, cioè il 21 dicembre 2025.
Chi è toccato: chi deve capire in quale categoria ricade il proprio prodotto. La classificazione non fa scattare obblighi a questa data: decide quale procedura di valutazione della conformità servirà dall'11 dicembre 2027.
Cosa deve essere pronto: l'elenco dei prodotti che immetti sul mercato con il tuo marchio, confrontato con le descrizioni tecniche dell'atto di esecuzione. È un lavoro che oggi si può chiudere, perché il testo di riferimento esiste.
11 giugno 2026: il capo IV e gli organismi notificati
Dall'11 giugno 2026 si applicano gli articoli da 35 a 51: designazione delle autorità di notifica, requisiti degli organismi di valutazione della conformità, domanda e procedura di notifica, obblighi operativi e di informazione degli organismi notificati.
Chi è toccato: gli Stati membri, che designano l'autorità di notifica e istruiscono le procedure, e gli organismi di valutazione della conformità, che da questa data possono chiedere di essere notificati. Il fabbricante non ha obblighi nuovi qui, ma è l'infrastruttura che valuterà i suoi prodotti: il capo IV si applica un anno e mezzo prima del resto perché gli organismi esistano quando serviranno.
11 settembre 2026: gli obblighi di segnalazione
Questa è la data operativa, ed è già passata. Dall'11 settembre 2026 il fabbricante notifica simultaneamente al CSIRT designato come coordinatore e all'ENISA, tramite la piattaforma unica di segnalazione istituita dall'articolo 16, le vulnerabilità attivamente sfruttate contenute nel prodotto e gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto.
I termini, letti sui paragrafi 2 e 4:
- preallarme entro 24 ore dal momento in cui il fabbricante è venuto a conoscenza della vulnerabilità attivamente sfruttata o dell'incidente grave, e senza indebito ritardo;
- notifica entro 72 ore, con le informazioni generali sul prodotto interessato, sulla natura dello sfruttamento o dell'incidente e sulle misure correttive o di attenuazione;
- relazione finale entro 14 giorni dalla messa a disposizione di una misura correttiva o di attenuazione, nel caso della vulnerabilità attivamente sfruttata;
- relazione finale entro un mese dalla trasmissione della notifica delle 72 ore, nel caso dell'incidente grave.
Il paragrafo 7 dice a quale sportello si bussa: il terminale per la notifica elettronica del CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha lo stabilimento principale nell'Unione, cioè dove adotta prevalentemente le decisioni sulla cibersicurezza dei suoi prodotti.
Chi è toccato: i fabbricanti, compresi importatori e distributori che immettono un prodotto sul mercato con il proprio nome o marchio o che vi apportano una modifica sostanziale. E, per la deroga dell'articolo 69 paragrafo 3, l'obbligo copre anche i prodotti immessi sul mercato prima dell'11 dicembre 2027.
Cosa deve essere pronto: tre cose, organizzative prima che tecniche. Un canale di ricezione delle segnalazioni di vulnerabilità sui propri prodotti, alimentato anche da prove periodiche come un programma di vulnerability assessment. Un criterio scritto per decidere se una vulnerabilità è attivamente sfruttata o se un incidente rientra nei casi del paragrafo 5. Una catena di reperibilità capace di produrre un preallarme in 24 ore, festivi compresi. La sequenza somiglia alla notifica degli incidenti NIS2, ma l'oggetto è diverso: là un incidente sui propri servizi, qui una falla nel prodotto che altri hanno installato.
Una nota sul canale: il regolamento affida a ENISA l'istituzione e la gestione della piattaforma unica, ma non fissa una data per la sua messa in esercizio. Prima di notificare davvero, la verifica va fatta sul CSIRT nazionale competente.
11 dicembre 2026: abbastanza organismi notificati
L'articolo 35 paragrafo 2 fissa un termine che non è un obbligo per le aziende ma dice molto sul rischio di coda: "Gli Stati membri si adoperano per garantire, entro l'11 dicembre 2026, che nell'Unione vi sia un numero sufficiente di organismi notificati per effettuare valutazioni della conformità, al fine di evitare strozzature e ostacoli all'ingresso nel mercato."
Chi è toccato: gli Stati membri, con un impegno di mezzi: "si adoperano per garantire" non è un obbligo di risultato.
Cosa significa in pratica: se il tuo prodotto ricade in una categoria che richiede un organismo notificato, i dodici mesi tra questa data e l'applicazione piena sono la finestra per prenotare una valutazione. Chi arriva nell'autunno 2027 trova la coda che il legislatore ha messo in conto.
11 dicembre 2027: applicazione piena
Da questa data si applica tutto il resto: requisiti essenziali dell'Allegato I sul prodotto e sui processi di gestione delle vulnerabilità, valutazione della conformità, dichiarazione di conformità UE, documentazione tecnica, marcatura CE, obblighi di importatori e distributori, poteri delle autorità di vigilanza del mercato e regime sanzionatorio.
Chi è toccato: chiunque immetta sul mercato dell'Unione un prodotto con elementi digitali da quel giorno in avanti.
Cosa deve essere pronto prima: la valutazione dei rischi di cibersicurezza documentata, la distinta base del software, la politica di divulgazione coordinata delle vulnerabilità, la decisione sul periodo di assistenza e la sua comunicazione all'acquirente, la documentazione tecnica e, dove serve, la valutazione con organismo notificato. Il dettaglio dei requisiti sta sulla guida al Cyber Resilience Act: qui conta che nessuna di queste voci si costruisce nell'ultimo trimestre.
Cosa succede al parco installato
L'articolo 69 separa due mondi, e conviene tenerli distinti.
- Requisiti di prodotto: i prodotti immessi sul mercato prima dell'11 dicembre 2027 sono soggetti ai requisiti del regolamento solo se, a decorrere da quella data, sono soggetti a una modifica sostanziale (paragrafo 2).
- Segnalazione: in deroga al paragrafo 2, gli obblighi dell'articolo 14 si applicano a tutti i prodotti che rientrano nell'ambito di applicazione e che sono stati immessi sul mercato prima dell'11 dicembre 2027 (paragrafo 3).
- Certificati preesistenti: i certificati di esame UE del tipo e le decisioni di approvazione rilasciati in relazione ai requisiti di cibersicurezza per prodotti soggetti ad altra normativa di armonizzazione dell'Unione diversa dal Cyber Resilience Act restano validi fino all'11 giugno 2028, a meno che non scadano prima o che quelle altre normative dispongano diversamente (paragrafo 1).
La conseguenza sfugge spesso: un prodotto venduto nel 2023 non va riprogettato, ma se domani qualcuno ne sfrutta una vulnerabilità il preallarme delle 24 ore è dovuto lo stesso.
Dopo il 2027: le due date di verifica
L'articolo 70 fissa due appuntamenti che non creano obblighi per le aziende ma dicono quando la Commissione riapre il dossier: entro l'11 settembre 2028 una relazione sull'efficacia della piattaforma unica di segnalazione, previa consultazione di ENISA e della rete di CSIRT; entro l'11 dicembre 2030, e poi ogni quattro anni, la relazione di valutazione e riesame del regolamento, che viene pubblicata.
Il calendario letto a ritroso
Se sei un fabbricante nel perimetro, l'ordine di lavoro che il calendario suggerisce è questo.
- Adesso: il processo di segnalazione dell'articolo 14, già applicabile. Nomi, turni, criterio di valutazione, canale verso il CSIRT.
- Entro il 2026: classificazione dei prodotti con gli Allegati III e IV e le descrizioni tecniche del regolamento di esecuzione (UE) 2025/2392, per sapere se ti servirà un organismo notificato.
- Primo semestre 2027: contatto con l'organismo notificato, se serve, e chiusura della documentazione tecnica.
- Per tutto il 2027: processi dell'Allegato I parte II, cioè distinta base del software, correzione e distribuzione degli aggiornamenti, divulgazione coordinata, prove periodiche. Richiedono più tempo perché cambiano il modo di lavorare, non un documento.
- Prima dell'11 dicembre 2027: decisione sul periodo di assistenza di ciascun prodotto e su come indicarlo all'acquirente.
C'è poi un effetto anticipo: i clienti regolati chiedono le evidenze prima delle autorità. Chi fornisce componenti a un soggetto NIS2 vedrà arrivare i questionari molto prima del dicembre 2027, e la risposta utile non è una dichiarazione di intenti, è un calendario interno con dei nomi sopra.
Se stai costruendo quel calendario e vuoi confrontarti su monitoraggio delle vulnerabilità e segnalazione entro le 24 ore, scrivici.
In sintesi: in vigore dal 10 dicembre 2024, capo IV dall'11 giugno 2026, obblighi di segnalazione dall'11 settembre 2026, applicazione piena dall'11 dicembre 2027, certificati rilasciati sotto altra normativa di armonizzazione dell'Unione fino all'11 giugno 2028. L'unica scadenza già scattata è anche quella che chiede una struttura organizzativa, non un documento.