Obblighi del produttore extra-UE secondo il Cyber Resilience Act

• Obbligo rappresentante UE (Art. 18 CRA) per produttori extra-UE
• Segnalazione vulnerabilità entro 24 ore (Art. 14 CRA) tramite rappresentante
• REP27: mandato CRA €490/anno (prezzo pubblicato, ottobre 2026)
• Servizi inclusi e limiti variano tra fornitori, verifica sempre prima
• Non incluso: valutazione di conformità, test, SBOM, reporting tecnico
• Importatori/distributori senza vendita a proprio nome non hanno obbligo

Aggiornato 20 ottobre 2026 · 4 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 20 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: articoli chiave del CRA

Il Cyber Resilience Act (CRA, Regolamento UE 2024/2847) introduce obblighi stringenti per i produttori di prodotti con elementi digitali che intendono vendere nell’Unione Europea. Se il produttore non ha una sede nell’UE, è obbligato a nominare un rappresentante autorizzato nell’Unione ai sensi dell’Articolo 18. Questo rappresentante agisce come punto di contatto unico per tutte le comunicazioni ufficiali con le autorità europee di sorveglianza del mercato e gestisce la ricezione e l’inoltro delle richieste formali.

Un altro obbligo fondamentale è la segnalazione delle vulnerabilità: l’Articolo 14 CRA impone al produttore di notificare entro 24 ore qualsiasi vulnerabilità attivamente sfruttata o incidente grave che impatti la sicurezza del prodotto. La segnalazione avviene tramite la piattaforma ENISA e il CSIRT coordinatore, determinato in base alla sede del rappresentante. Il rappresentante autorizzato è quindi essenziale per garantire la tempestività e la correttezza delle comunicazioni, specialmente per aziende con fusi orari diversi o senza personale in Europa.

Importante: l’obbligo riguarda solo i produttori. Importatori e distributori non devono nominare un rappresentante CRA, a meno che non mettano il prodotto sul mercato a proprio nome. Anche chi vende tramite marketplace (Amazon, Etsy, eBay) deve valutare se è considerato produttore secondo la definizione CRA. I prodotti già presenti sul mercato prima dell’entrata in vigore del CRA sono comunque soggetti agli obblighi di segnalazione.

• Articolo 18 CRA: Nomina rappresentante UE per produttori extra-UE
• Articolo 14 CRA: Segnalazione vulnerabilità entro 24 ore
• Chi è escluso: Importatori/distributori che non vendono a proprio nome

Come scegliere il rappresentante CRA: criteri, confronto e domande chiave

La scelta del rappresentante CRA è una decisione strategica che impatta la compliance, la rapidità di risposta agli incidenti e la trasparenza dei costi. I criteri principali da considerare sono:

• Prezzo pubblicato e chiarezza sul rinnovo: Solo alcuni fornitori (es. REP27) pubblicano prezzi e condizioni di rinnovo trasparenti; altri richiedono contatto diretto per dettagli.
• Servizi inclusi: Verifica sempre cosa è compreso nel mandato: ricezione e inoltro richieste, certificato verificabile, supporto per la segnalazione, presenza di desk attivo 24/7.
• Esclusioni esplicite: Nessun rappresentante può offrire valutazione di conformità, test di sicurezza, generazione SBOM o reporting tecnico: questi restano a carico del produttore.
• Verifica del mandato: Preferisci chi offre certificato con QR code e pagina di verifica pubblica.
• Domande da porre: Chi firma il mandato? Qual è il processo in caso di richiesta delle autorità? In quali lingue rispondono? Quali sono i costi di rinnovo e le eventuali spese extra?

Ecco una tabella comparativa dei servizi dichiarati:

La trasparenza su inclusioni, esclusioni e prezzi è un segno di affidabilità: diffida di chi non specifica chiaramente cosa offre.

Cosa include davvero il prezzo: trasparenza, limiti e confronto pratico

Il mandato del rappresentante CRA copre esclusivamente la rappresentanza legale e la gestione delle comunicazioni con le autorità europee. Il prezzo pubblicato da REP27 (€490/anno, €440 rinnovo) include:

• Mandato scritto Art. 18 CRA, firmato elettronicamente
• Certificato verificabile con QR code e pagina pubblica
• Ricezione e inoltro di tutte le richieste delle autorità di sorveglianza del mercato
• Gestione della segnalazione delle vulnerabilità secondo le scadenze CRA

Non sono inclusi:

• Valutazione di conformità del prodotto (compito degli organismi notificati, non del rappresentante)
• Test di sicurezza o generazione SBOM
• Redazione o invio di report tecnici
• Supporto operativo o consulenza tecnica

La maggior parte dei fornitori non pubblica dettagli sui servizi inclusi: kadano (€999/anno) ed Euverify (£590/anno) non specificano cosa sia incluso o escluso nel prezzo. È fondamentale chiedere sempre una lista dettagliata dei servizi prima di firmare.

Attenzione anche ai rinnovi automatici e alle politiche di fatturazione: REP27 garantisce una sola fattura annuale e il prezzo di rinnovo dichiarato in anticipo.

Costi nascosti e rischi: cosa valutare davvero per la compliance CRA

Il costo del mandato rappresentante è solo una piccola parte della compliance CRA. I costi principali, spesso nascosti o sottovalutati, sono:

• Valutazione di conformità: Per prodotti di classe importante o critica, è obbligatorio il coinvolgimento di un organismo notificato, con costi che possono superare di molto quelli del rappresentante.
• Supporto tecnico e aggiornamenti: Il produttore deve garantire almeno cinque anni di aggiornamenti di sicurezza, con risorse dedicate.
• Gestione incidenti e reporting: La mancata segnalazione tempestiva di una vulnerabilità può comportare sanzioni, blocco della commercializzazione e danni reputazionali.
• Rinnovi e costi extra: Alcuni fornitori applicano costi aggiuntivi per richieste fuori orario, lingue extra, o per la gestione di incidenti complessi. REP27 dichiara di non applicare extra fees, ma altri fornitori non specificano.

Il rischio operativo più grave è non avere un canale di segnalazione attivo 24/7: il desk del rappresentante deve essere sempre reperibile, anche di notte e nei festivi, per rispettare il termine delle 24 ore.

In sintesi, la compliance CRA richiede pianificazione, risorse interne e una scelta consapevole del rappresentante, senza affidarsi solo al prezzo più basso.

Come funziona la nomina: step operativi e best practice

La nomina del rappresentante CRA segue uno schema preciso, fondamentale per garantire la conformità e la prontezza nella gestione delle richieste delle autorità:

1. Valuta la necessità: Sei produttore extra-UE che vende prodotti digitali nell’Unione? Se sì, procedi.
2. Scegli il provider: Analizza prezzi pubblicati, servizi inclusi, modalità di verifica del mandato e presenza di desk attivo 24/7.
3. Richiedi il servizio: Compila il modulo di richiesta sul sito del provider scelto.
4. Firma il mandato: Ricevi e firma il mandato scritto Art. 18 CRA, preferibilmente con firma elettronica riconosciuta (es. eIDAS).
5. Ricevi il certificato: Ottieni il certificato verificabile (QR code, pagina pubblica) e inseriscilo nella documentazione tecnica.
6. Aggiorna le procedure interne: Inserisci i dati del rappresentante nelle policy di sicurezza, runbook incident response e documentazione tecnica.
7. Prepara la segnalazione: Precompila i template per la segnalazione vulnerabilità (early warning, notifica 72h, report finale) e nomina almeno due submitter con accesso alla piattaforma ENISA.
8. Verifica la reperibilità: Assicurati che il rappresentante sia raggiungibile 24/7 per inoltrare le segnalazioni entro i termini.

Best practice: chiedi sempre una simulazione di segnalazione al provider prima di firmare, per valutare tempi di risposta e chiarezza delle procedure.

Checklist per la compliance CRA (produttori extra-UE)

1. Verifica se vendi prodotti digitali nell’UE
2. Classifica il prodotto secondo il CRA (default, importante I/II, critico)
3. Nomina un rappresentante UE con mandato Art. 18
4. Prepara canali e procedure per la segnalazione vulnerabilità 24/7
5. Documenta la nomina nella documentazione tecnica e nelle policy interne
6. Nomina almeno due submitter con accesso alla piattaforma ENISA
7. Precompila i template di segnalazione (early warning, notifica, report finale)
8. Stanzia risorse per almeno 5 anni di aggiornamenti di sicurezza
9. Verifica la copertura del rappresentante in tutti i paesi UE di interesse
10. Simula una segnalazione per testare la prontezza operativa

Cosa i fornitori spesso non dicono: esclusioni, limiti e rischi pratici

• Il mandato copre solo la rappresentanza legale: Nessun rappresentante può offrire valutazione di conformità, test di sicurezza, SBOM o supporto tecnico nel prezzo base.
• I costi principali sono interni: La compliance CRA richiede risorse di engineering, supporto e aggiornamenti, non inclusi nel servizio di rappresentanza.
• Rinnovi automatici e prezzi non pubblicati: Alcuni fornitori non dichiarano il prezzo di rinnovo o applicano aumenti non trasparenti. REP27 pubblica prezzi e rinnovi in anticipo.
• Desk non sempre attivo: La reperibilità 24/7 non è sempre garantita: chiedi sempre come viene gestita la segnalazione fuori orario.
• Responsabilità limitata: Il rappresentante non assume responsabilità tecnica sul prodotto, ma solo per la trasmissione delle comunicazioni.
• Per-request fees: Alcuni fornitori potrebbero applicare costi extra per richieste complesse, lingue aggiuntive o gestione incidenti fuori orario: verifica sempre prima di firmare.

Matrice decisionale: chi deve nominare il rappresentante CRA

Questa matrice aiuta a determinare rapidamente l’obbligo di nomina in base al ruolo e al modello di business.

Scenari pratici: tre esempi reali e la soluzione più semplice

• SaaS USA: Un’azienda statunitense offre una piattaforma software a clienti UE. Deve nominare un rappresentante CRA, preparare canali di segnalazione vulnerabilità e inserire il certificato nella documentazione tecnica. Soluzione: REP27 offre mandato a €490/anno, desk attivo 24/7, certificato verificabile.
• Venditore Amazon Cina: Se il venditore è produttore del prodotto digitale, deve nominare rappresentante CRA e preparare la documentazione di segnalazione. Se è solo rivenditore/importatore, l’obbligo non si applica. Soluzione: valutare la definizione di produttore secondo il CRA e nominare rappresentante solo se necessario.
• Shop UK: Un negozio online britannico che produce e vende dispositivi digitali in UE deve nominare rappresentante CRA e preparare le procedure di segnalazione. Se importa prodotti di terzi senza modificarli o marchiarli, non ha obbligo. Soluzione: chiarire il ruolo nella catena di fornitura e scegliere un provider con prezzi pubblicati e desk attivo.

In tutti gli scenari, la scelta di un provider trasparente riduce rischi e costi inattesi.