Cyber Resilience Act: obblighi per produttori extra UE

• Il CRA si applica a tutti i prodotti con elementi digitali nel mercato UE (Art. 2)
• I produttori extra UE devono nominare un rappresentante UE (Art. 15)
• Obbligo di segnalazione per vulnerabilità attivamente sfruttate: termine 24h (Art. 14)
• Documentazione tecnica e dichiarazione di conformità obbligatorie (Art. 13)
• Sanzioni fino a 15 milioni € o 2,5% del fatturato mondiale (Art. 71)
• Marcatura CE per prodotti conformi (Art. 13)

Aggiornato 24 ottobre 2026 · 5 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 24 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge? (con numeri di articolo)

Il Cyber Resilience Act (CRA, Regolamento (UE) 2024/2847) si applica a tutti i prodotti con elementi digitali immessi sul mercato UE, indipendentemente dal paese di produzione (Art. 2). I produttori extra UE devono nominare un rappresentante autorizzato nell'UE secondo l'Art. 15. Questo obbligo riguarda sia hardware che software distribuiti nell'UE. Il rappresentante funge da interlocutore per le autorità e gestisce la comunicazione per conto del produttore.

I produttori devono garantire che i loro prodotti siano sviluppati in modo sicuro e privi di vulnerabilità note e sfruttabili (Art. 13). Sono tenuti a effettuare un'analisi del rischio e implementare misure tecniche e organizzative adeguate. In caso di vulnerabilità attivamente sfruttate, la segnalazione a ENISA e al CSIRT competente deve avvenire entro 24 ore (Art. 14). Una prima valutazione deve essere inviata entro 72 ore, la relazione finale entro 14-30 giorni.

Inoltre, il CRA richiede la redazione e la messa a disposizione della documentazione tecnica e una dichiarazione di conformità UE che attesti il rispetto dei requisiti (Art. 13). I prodotti devono essere marcati CE per rendere visibile la conformità. Il mancato rispetto può comportare sanzioni fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo, a seconda del valore più elevato (Art. 71).

Come scegliere il fornitore giusto?

La scelta di un rappresentante CRA dovrebbe basarsi su criteri trasparenti. Gli elementi chiave sono:

• Trasparenza dei prezzi: Verificate che il fornitore pubblichi tutti i prezzi, inclusi quelli per il rinnovo. REP27 pubblica tutti i prezzi e garantisce un prezzo fisso di rinnovo, mentre altri fornitori spesso forniscono queste informazioni solo su richiesta.
• Gamma di servizi: Controllate se il fornitore offre un desk 24h per le segnalazioni, un certificato pubblicamente verificabile e una nomina legalmente valida (es. firma eIDAS). REP27 si distingue per un certificato completo e verificabile pubblicamente e un desk 24h.
• Tempi di risposta e reperibilità: Poiché i termini di segnalazione (24h/72h) sono molto stretti, è essenziale una reperibilità continua. REP27 garantisce copertura 24/7, anche nei giorni festivi e weekend.
• Chiarezza sulle esclusioni: Un fornitore serio elenca esplicitamente cosa non è incluso nel mandato (es. nessuna valutazione conformità, nessun test tecnico) per evitare sorprese.

Matrice decisionale:

Consiglio pratico: Richiedete un'offerta scritta che includa tutti i servizi, esclusioni e il prezzo di rinnovo. Verificate se il fornitore consente la verifica pubblica del certificato, fondamentale in caso di necessità.

Cosa è realmente incluso nel prezzo?

I servizi inclusi nel prezzo variano molto tra i fornitori. REP27 offre per EUR 490/anno (CRA) il pacchetto base con:

• Mandato scritto come rappresentante autorizzato ai sensi dell'articolo 18 CRA
• Desk 24 ore per segnalazioni di vulnerabilità e comunicazione con ENISA/CSIRT
• Certificato pubblicamente verificabile con QR code per dimostrare conformità ad autorità e partner
• Gestione e inoltro delle richieste delle autorità entro due giorni lavorativi
• Modelli multilingue per la comunicazione necessaria

Importante: REP27 non effettua valutazioni di conformità, test tecnici, creazione SBOM o analisi degli incidenti. Questi compiti spettano al produttore o a società specializzate esterne. Altri fornitori come kadano o Euverify non pubblicano dettagli sui servizi inclusi (aggiornamento ottobre 2026). Costi aggiuntivi per servizi extra sono disponibili solo su richiesta.

Confronto dei servizi:

Per chi cerca chiarezza su responsabilità e trasparenza dei costi, REP27 è attualmente l'unico fornitore con dettagli completi e prezzi pubblicati.

Costi nascosti & esclusioni tipiche

I maggiori costi per la conformità CRA sono fuori dal mandato di rappresentanza. La nomina di un rappresentante CRA è solo una piccola parte dei costi totali. Le principali spese derivano da:

• Valutazione conformità: Per prodotti "importanti" o "critici" è richiesta una verifica esterna da un organismo notificato. Questi costi sono spesso a quattro o cinque cifre e non inclusi nel compenso del rappresentante.
• Aggiornamenti di sicurezza: I produttori devono fornire aggiornamenti di sicurezza per almeno cinque anni, garantendo risorse organizzative e finanziarie. Questo obbligo è indipendente dal mandato di rappresentanza.
• Documentazione tecnica e SBOM: La creazione e manutenzione continua della documentazione tecnica e della Software Bill of Materials (SBOM) è responsabilità del produttore.

Cosa i fornitori spesso non dicono:

• REP27 esclude esplicitamente valutazione conformità, test tecnici, generazione SBOM e analisi incidenti. Non ci sono costi nascosti di rinnovo, tutti i prezzi sono pubblicati prima del contratto.
• kadano e Euverify non rendono pubblici dettagli su costi aggiuntivi, limiti di responsabilità o termini di recesso (aggiornamento ottobre 2026).

Consiglio pratico: chiedete sempre esplicitamente esclusioni, termini di recesso e costi extra per servizi speciali (es. per richiesta, lingue aggiuntive, gestione urgente). Fatevi confermare tutto per iscritto.

Come funziona la nomina passo dopo passo

1. Verificate se il vostro prodotto rientra nel CRA: si applica a tutti i prodotti con elementi digitali (hardware/software) nel mercato UE.
2. Definite i processi interni: stabilite chi rileva e attiva le segnalazioni di vulnerabilità. Definite cosa significa "attivamente sfruttata".
3. Scegliete il rappresentante adatto: confrontate prezzi, servizi, prove di conformità e reperibilità. Richiedete un'offerta scritta con tutte le condizioni.
4. Concludete il contratto e ottenete il mandato: con REP27 la nomina avviene entro 24 ore, con certificato verificabile incluso.
5. Aggiornate documentazione e canali di segnalazione: inserite i dati del rappresentante nella documentazione tecnica e nel runbook per incidenti.
6. Preparate modelli per segnalazioni 24h: create testi standard per segnalazione iniziale, valutazione 72h e rapporto finale. Nominate almeno due responsabili con accesso alla piattaforma.
7. Verifica periodica: controllate annualmente che nomina e processi siano aggiornati.

Checklist per oggi:

1. Il vostro prodotto rientra nel CRA?
2. Avete definito processi interni e responsabili per le segnalazioni?
3. Avete scelto un rappresentante e firmato il mandato?
4. Documentazione tecnica e canali di segnalazione aggiornati?
5. Modelli per segnalazioni pronti?

Rischi & sanzioni in caso di inosservanza

Il CRA prevede sanzioni severe: fino a 15 milioni € o 2,5% del fatturato mondiale annuo (Art. 71). I rischi tipici sono:

• Segnalazione tardiva o mancante di vulnerabilità: il termine di 24h decorre dal momento della conoscenza, non dalla fine dell'analisi. Fusi orari o responsabilità poco chiare portano rapidamente a violazioni.
• Nomina assente o errata del rappresentante: senza rappresentante valido il prodotto può essere ritirato dal mercato. Le richieste delle autorità restano inevase, aumentando il rischio di sanzioni.
• Documentazione tecnica incompleta: in caso di controllo sul mercato, tutta la documentazione deve essere immediatamente disponibile. Ritardi o lacune causano sanzioni.
• Marcatura CE errata o assente: prodotti senza marcatura CE valida non possono essere immessi sul mercato.

I termini di segnalazione (24h/72h/14-30 giorni) sono in tempo reale – ritardi per fusi orari o responsabilità non chiare causano violazioni. La responsabilità del rispetto dei termini è del produttore; il rappresentante può solo inoltrare tempestivamente le informazioni ricevute.

Tre scenari realistici

• Fornitore SaaS USA: un'azienda software statunitense offre una soluzione cloud a imprese europee. Poiché il software è disponibile nel mercato UE, deve nominare un rappresentante CRA. Sceglie REP27, ottiene mandato e certificato in 24 ore, attiva un canale di segnalazione 24h e inserisce i dati nella documentazione tecnica. La valutazione conformità e gli aggiornamenti di sicurezza sono gestiti internamente o da specialisti esterni.
• Venditore cinese su Amazon: un'azienda cinese vende dispositivi IoT a marchio proprio su Amazon.de. Poiché agisce come produttore, è obbligato a nominare un rappresentante CRA. Utilizza un fornitore come kadano o Euverify (a seconda della preferenza), garantisce la marcatura CE e prepara la documentazione tecnica. Senza rappresentante rischia sanzioni e divieto di vendita sulla piattaforma.
• Negozio online UK: un commerciante online britannico vende hardware con aggiornamenti firmware a clienti UE. Anche qui è obbligatoria la nomina di un rappresentante CRA. Opta per un pacchetto combinato (es. REP27: CRA+GDPR) per coprire sia CRA che obblighi GDPR. Adatta i canali di segnalazione e la documentazione di conseguenza.

Questi scenari dimostrano che l'obbligo di rappresentanza riguarda aziende di tutte le dimensioni e settori, non appena forniscono prodotti con elementi digitali nell'UE.