Obblighi del Cyber Resilience Act per produttori fuori dall'UE

• Il CRA si applica ai produttori extra-UE che vendono nell'UE dal 11 settembre 2026
• Articolo 18: obbligo di rappresentante autorizzato UE se assenza di sede UE
• Obbligo di segnalazione entro 24 ore per vulnerabilità sfruttate (Articolo 14)
• Il percorso di valutazione della conformità dipende dalla classe del prodotto
• Sanzioni fino a 15 milioni di euro o 2,5% del fatturato per violazioni

Aggiornato 18 ottobre 2026 · 9 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 18 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge (con numeri degli articoli)

Il Cyber Resilience Act (CRA) è il nuovo regolamento UE per prodotti con elementi digitali, inclusi hardware, software e componenti. Si applica a qualsiasi produttore—indipendentemente dalla sede—se i loro prodotti sono immessi sul mercato UE. La legge è entrata in vigore il 10 dicembre 2024. Gli obblighi di segnalazione iniziano l'11 settembre 2026; la conformità completa (inclusa marcatura CE e valutazione della conformità) è richiesta dal 11 dicembre 2027.

• Articolo 18: I produttori extra-UE devono nominare un rappresentante autorizzato nell'UE per ogni linea di prodotto, salvo abbiano una sede UE. Questo rappresentante è il contatto ufficiale per autorità e sorveglianza del mercato.
• Articolo 14: I produttori devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi che impattano la sicurezza del prodotto. I tempi sono stringenti: un preavviso entro 24 ore, una notifica completa entro 72 ore e un rapporto finale entro 14 giorni dopo mitigazione o notifica. La piattaforma di segnalazione è gestita da ENISA, il destinatario è determinato dallo stato membro del rappresentante.
• Allegati I & II: I produttori devono rispettare requisiti essenziali di cybersecurity, inclusa gestione vulnerabilità, sviluppo sicuro by design e istruzioni chiare in lingua comprensibile da utenti e autorità.
• Valutazione della conformità: Il processo richiesto dipende dalla classe del prodotto. Prodotti default possono autovalutarsi; classe importante I deve usare standard armonizzati o valutazione terza parte; classe importante II e prodotti critici richiedono organismo notificato o schema di certificazione.
• Periodo di supporto: I produttori devono fornire aggiornamenti di sicurezza e gestione vulnerabilità per tutto il periodo di supporto dichiarato (minimo cinque anni).
• Esenzioni: Micro e piccole imprese, e gestori open-source, sono esentati da sanzioni per ritardi di segnalazione ma devono comunque rispettare obblighi tecnici e di segnalazione.

Importatori e distributori diventano produttori se immettono prodotti a proprio nome o li modificano sostanzialmente. Altrimenti, il produttore originale resta responsabile per conformità e segnalazione CRA.

Come scegliere un rappresentante CRA o fornitore di conformità

Scegliere il giusto rappresentante Articolo 18 o fornitore di conformità è fondamentale per produttori extra-UE. Il mercato varia molto in prezzo, trasparenza e servizi inclusi. Ecco cosa considerare:

• Entità legale e sede: Verifica l'entità legale e la sede UE del fornitore. Per esempio, REP27 è Europe Services, SE, con sede a Praga e registrata nel registro commerciale ceco. Controlla sempre prima di pagare.
• Ambito del mandato: Alcuni offrono solo il mandato Articolo 18 (come richiesto dalla legge), altri includono servizi aggiuntivi come rappresentanza GDPR o NIS2. Conferma che il mandato sia limitato all'Articolo 18(3) (come deve essere) e non copra doveri vietati dall'Articolo 18(2).
• Trasparenza dei prezzi: Cerca fornitori che pubblichino prezzi primo anno e rinnovo. Attenzione a prezzi introduttivi bassi seguiti da rinnovi silenti e più alti. REP27, per esempio, indica chiaramente i prezzi di rinnovo accanto a quelli del primo anno.
• Verifica e supporto: Assicurati che il fornitore offra certificato verificabile, metodo di verifica pubblico e sportello richieste con personale. Chiedi come vengono gestite richieste da autorità o CSIRT, lingue supportate e tempi di risposta.
• Servizi combinati: Se ti serve anche rappresentanza GDPR Articolo 27 o GPSR Articolo 16, alcuni fornitori (es. REP27) offrono pacchetti combinati a prezzo ridotto.

Matrice decisionale:

Richiedi sempre mandato scritto e certificato prima di immettere prodotti sul mercato UE.

Cosa include davvero il prezzo: confronto fornitori

I prezzi e i servizi inclusi variano molto. I mandati Articolo 18 sono tipicamente il costo esterno più basso nella conformità CRA, ma molti fornitori non pubblicano dettagli completi. Di seguito un confronto su cosa è incluso, escluso o può comportare costi extra per ciascun fornitore (aggiornato a ottobre 2026):

Per la maggior parte dei produttori, il mandato Articolo 18 è un documento di una pagina più l'obbligo di inoltrare richieste. Valutazione conformità, test tecnici e generazione SBOM sono costi separati e non inclusi nelle tariffe base del rappresentante.

Costi nascosti ed esclusioni

Il mandato Articolo 18 è un obbligo legale, ma rappresenta solo una piccola parte dei costi totali di conformità CRA. Gli elementi più costosi—valutazione conformità, costi organismo notificato, documentazione tecnica e periodo di supporto—non sono inclusi nella maggior parte dei pacchetti rappresentanti. Ecco cosa considerare:

• Costi valutazione conformità: Per prodotti importanti classe II o critici, i costi di organismo notificato o schema di certificazione possono essere migliaia di euro e richiedere mesi. Budget separato necessario.
• Documentazione tecnica: Fornitori come Reglyze e EmberKat offrono generazione fascicolo tecnico, ingestione SBOM e analisi gap documentazione, ma non fanno parte dei mandati rappresentante standard.
• Rinnovi e costi per richiesta: Alcuni fornitori possono applicare tariffe di rinnovo più alte o costi per richiesta/segnalazione. Richiedi sempre conferma scritta di prezzi rinnovo e eventuali costi extra prima di firmare.
• Preavvisi e limiti di responsabilità: Rinnovi silenti e politiche di cancellazione poco chiare possono causare spese impreviste. La responsabilità per mancata conformità è spesso esclusa o limitata dal rappresentante.
• Costi periodo di supporto: La legge richiede almeno cinque anni di aggiornamenti di sicurezza e gestione vulnerabilità, da pianificare e finanziare come linea di prodotto.

REP27 è trasparente su cosa non è incluso: consulenza legale, valutazione tecnica e generazione SBOM sono fuori mandato. Chiarisci sempre esclusioni e costi nascosti con ogni fornitore.

Come funziona la nomina: passo dopo passo

Nomina di un rappresentante Articolo 18 e conformità CRA richiedono passaggi concreti. Ecco un processo pratico per produttori extra-UE:

1. Verifica se i tuoi prodotti sono in ambito: Identifica tutti i prodotti con elementi digitali (hardware, software, componenti o soluzioni di elaborazione dati remote) immessi nel mercato UE.
2. Classifica i prodotti: Usa le definizioni CRA per determinare se i prodotti sono default, importanti classe I/II o critici. Questo influenza il percorso di valutazione conformità.
3. Scegli un rappresentante: Seleziona un rappresentante Articolo 18 con entità legale UE verificabile. Conferma ambito, prezzi e termini rinnovo per iscritto.
4. Firma il mandato: Stipula mandato scritto (Articolo 18(3)) con il fornitore scelto. Ottieni certificato e metodo di verifica pubblico.
5. Prepara documentazione: Assembla documentazione tecnica (Allegato VII), SBOM, Dichiarazione UE di Conformità e istruzioni utente nelle lingue richieste.
6. Configura canale segnalazione 24 ore: Assicura un canale con personale per vulnerabilità e incidenti. Prepara modelli per preavviso e notifica.
7. Registrati su ENISA: Registra almeno due operatori sulla piattaforma di segnalazione ENISA, possibilmente in fusi orari differenti.
8. Prevedi budget per conformità continua: Pianifica costi per periodo di supporto (minimo cinque anni), valutazione conformità (se richiesta) e manutenzione documentazione.
9. Rivedi e aggiorna regolarmente: Programma revisioni periodiche di conformità, documentazione e processi di segnalazione.

Seguire questa checklist ti prepara per le esigenze legali e pratiche della conformità CRA.

Rischi e sanzioni per mancata conformità

Il CRA introduce sanzioni rilevanti per mancata conformità. Violazioni di requisiti essenziali di cybersecurity o obblighi produttore possono comportare multe fino a 15 milioni di euro o 2,5% del fatturato annuo mondiale, il valore più alto tra i due. Queste sanzioni si applicano a produttori UE e extra-UE che immettono prodotti nel mercato UE.

• Mancate segnalazioni: Il mancato rispetto del termine di 24 ore per segnalare vulnerabilità espone a sanzioni. Micro e piccole imprese, e gestori open-source, sono esentati da multe per ritardi ma non dall'obbligo di segnalazione.
• Rischi in approvvigionamento e accesso al mercato: Senza rappresentante Articolo 18, i processi di approvvigionamento possono bloccarsi e si può essere esclusi da vendite aziendali o gare pubbliche.
• Azioni di sorveglianza del mercato: Le autorità possono agire contro produttori non conformi, inclusi ritiro o richiamo prodotti.
• Rischi per distributori/importatori: Se non si nomina un rappresentante, importatori o distributori UE possono essere considerati la via di segnalazione, con possibile perdita di controllo sulle comunicazioni di conformità.
• Inadempienze silenti: Mancato rinnovo mandati o aggiornamento documentazione può causare inadempienze non rilevate, esponendo a sanzioni senza preavviso.

La conformità efficace non serve solo a evitare multe, ma anche a garantire accesso continuo al mercato e mantenere fiducia di clienti e partner.

Cosa i fornitori solitamente non dicono

Molti fornitori si concentrano sull'obbligo legale del mandato Articolo 18 ma non rivelano il quadro completo. Ecco cosa spesso viene omesso:

• Ambito del mandato: Il mandato Articolo 18 è limitato all'inoltro richieste e ruolo di contatto. Non include consulenza legale, valutazione tecnica o generazione SBOM salvo esplicitamente dichiarato.
• Valutazione conformità: Per prodotti importanti classe II e critici, i costi di organismo notificato o schema certificazione sono molto più alti della tariffa rappresentante e richiedono mesi. Mai inclusi nei mandati base.
• Periodo di supporto: L'obbligo di almeno cinque anni di aggiornamenti sicurezza e gestione vulnerabilità è un costo operativo importante, non coperto da nessun servizio rappresentante.
• Termini rinnovo e preavviso: Alcuni fornitori offrono prezzi bassi il primo anno con rinnovi molto più alti o richiedono lunghi preavvisi per cancellazione. Richiedi sempre termini di rinnovo scritti.
• Responsabilità: I rappresentanti tipicamente escludono responsabilità per mancata conformità. Il produttore resta responsabile di tutti gli obblighi CRA.

La trasparenza su cosa non è incluso è importante quanto quella su cosa è incluso. Richiedi sempre elenco completo di esclusioni e chiarisci ruolo del fornitore prima di firmare.

Scenari realistici: quale percorso si applica?

• Azienda SaaS USA: Un fornitore SaaS con sede USA vende software direttamente a clienti UE. Deve nominare un rappresentante Articolo 18, preparare documentazione tecnica e SBOM, e configurare canale segnalazione 24 ore. Se prodotto default, può bastare autovalutazione; se importante o critico, serve organismo notificato. Percorso più semplice: nominare rappresentante (es. REP27), preparare documentazione e registrarsi su ENISA.
• Venditore Amazon cinese: Un produttore in Cina vende dispositivi IoT a nome proprio su Amazon a clienti UE. Deve nominare rappresentante Articolo 18 e rispettare tutti i requisiti CRA. Se prodotto immesso da importatore UE, quest'ultimo può assumersi obblighi. Altrimenti, il produttore originale gestisce segnalazioni e documentazione.
• Negozio online UK: Un rivenditore UK spedisce dispositivi connessi a clienti UE. Deve nominare rappresentante Articolo 18, preparare fascicoli tecnici e garantire processo segnalazione vulnerabilità 24 ore. Se vende tramite distributore UE che immette a proprio nome, obblighi sono del distributore; altrimenti, il rivenditore UK resta responsabile.

Per tutti gli scenari, la chiave è mappare canali di vendita, identificare chi immette il prodotto sul mercato e nominare rappresentante se richiesto. Questo evita ritardi negli approvvigionamenti, assicura conformità ed evita sanzioni.

Checklist: come mettersi in regola oggi

1. Mappa i tuoi canali di vendita UE e identifica tutti i prodotti con elementi digitali.
2. Classifica ogni prodotto (default, importante I/II, critico) secondo definizioni CRA.
3. Verifica se serve un rappresentante Articolo 18 (obbligatorio per produttori extra-UE).
4. Richiedi mandato scritto e certificato al fornitore scelto (es. REP27, kadano, Euverify).
5. Prepara documentazione tecnica: fascicolo Allegato VII, SBOM, Dichiarazione UE di Conformità, istruzioni utente in lingue UE.
6. Configura canale segnalazione vulnerabilità con personale 24 ore. Prepara modelli per preavviso e notifica.
7. Registra almeno due operatori sulla piattaforma ENISA (in fusi orari diversi se possibile).
8. Prevedi budget per organismo notificato o schema certificazione se prodotto importante classe II o critico.
9. Dichiara e risorse un periodo di supporto di almeno cinque anni per aggiornamenti sicurezza e gestione vulnerabilità.
10. Programma revisioni regolari di conformità e aggiornamenti documentazione.

Seguendo questi passaggi sarai pronto per le scadenze di applicazione CRA 2026-2027 ed eviterai costosi gap di conformità.