Il Cyber Resilience Act (CRA) è il nuovo Regolamento europeo che introduce requisiti obbligatori di sicurezza informatica per tutti i prodotti con elementi digitali (software, hardware, IoT, dispositivi di rete e macchinari connessi). Basata sui principi di security by design e security by default, la normativa punta a proteggere l'intero mercato dalle sempre più frequenti minacce cyber, chiedendo garanzie di sicurezza lungo tutto il ciclo di vita del prodotto.

Pensare che la legge riguardi solo i produttori di software è un errore: la norma coinvolge direttamente anche importatori, distributori e tutte le PMI che acquistano o integrano tecnologia, trasformando la sicurezza in un requisito commerciale B2B. Sebbene sia entrato in vigore a fine 2024, il 2026 rappresenta l'anno di svolta. Dall'11 settembre 2026 scatta infatti l'obbligo perentorio di segnalare vulnerabilità ed incidenti gravi entro 24-72 ore, mentre l'entrata a pieno regime avverrà l'11 dicembre 2027.

Per non farsi cogliere impreparate ed evitare sanzioni pesantissime (fino a 15 milioni di euro o al 2,5% del fatturato), le aziende devono intervenire subito seguendo 5 azioni chiave:

1. Mappare l'intero ecosistema digitale e i componenti software utilizzati;
2. Strutturare un processo continuo di gestione e correzione (patching) delle vulnerabilità;
3. Pianificare la distribuzione costante di aggiornamenti di sicurezza;
4. Predisporre un piano formale di Incident Response per le comunicazioni di emergenza;
5. Verificare la postura di sicurezza di fornitori e partner della supply chain.

In conclusione, adeguarsi al CRA non è solo un obbligo normativo, ma una scelta strategica per distinguersi sul mercato.

Per maggiori dettagli consultare il testo completo dell'articolo sul Blog CyberSecurity PMI, link all'articolo: https://www.cybersecurity-pmi.infocamere.it/notizie/cyber-resilience-act