Cyber Resilience Act: la guida per distributori e rivenditori di hardware

Il Cyber Resilience Act (Regolamento UE 2024/2847) è la prima normativa europea che impone requisiti obbligatori di cybersicurezza a tutti i prodotti con elementi digitali immessi sul mercato dell'Unione Europea, hardware e software. È entrato in vigore il 10 dicembre 2024, si applicherà pienamente dall'11 dicembre 2027 e prevede sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo.

Per chi distribuisce, rivende o integra hardware professionale il cambiamento è strutturale: la sicurezza informatica smette di essere un tema dell'IT e diventa un requisito del prodotto, con impatto diretto su ciò che si potrà legalmente vendere. Questa guida raccoglie scadenze, obblighi per ciascun ruolo della filiera, sanzioni e criteri pratici per costruire oggi un catalogo che regga al 2027.

Ultimo aggiornamento: [31/08/2026]  |  Tempo di lettura: 12 minuti

In questa guida

• Le scadenze del Cyber Resilience Act
• Che cos'è il Cyber Resilience Act
• Quali prodotti rientrano nel CRA
• Le tre classi di rischio
• Chi è responsabile lungo la filiera
• Le sanzioni previste
• Differenza tra CRA e NIS2
• Cosa cambia per l'offerta
• L'approccio FEC Italia
• Come prepararsi: quattro mosse
• Domande frequenti

Le scadenze del Cyber Resilience Act

Le prime due tappe sono già alle spalle. Il regolamento è in vigore dal dicembre 2024 e dall'11 giugno 2026 è operativo il meccanismo con cui gli Stati membri notificano alla Commissione gli organismi di valutazione della conformità: non era una scadenza a carico dei fabbricanti, ma il presupposto perché il sistema di certificazione possa funzionare.

Restano le due date che contano davvero per chi vende hardware. L'11 settembre 2026 riguarda le segnalazioni e si applica anche ai prodotti già in commercio. L'11 dicembre 2027 porta il grosso dei requisiti di prodotto, ed è la data oltre la quale un prodotto non conforme non può più essere messo a disposizione sul mercato.

Da qui a quella scadenza c'è poco più di un anno. Chi usa questa finestra per rivedere il proprio catalogo e i propri fornitori ci arriva con un'offerta già pronta; chi aspetta si troverà a sostituire prodotti mentre il mercato è sotto pressione.

Che cos'è il Cyber Resilience Act

Il CRA nasce per rispondere a due problemi concreti del mercato europeo: il livello di cybersicurezza spesso insufficiente dei prodotti connessi e la mancanza di aggiornamenti di sicurezza tempestivi lungo il loro ciclo di vita. Un singolo dispositivo compromesso può propagare un attacco a un'intera rete aziendale, e fino ad oggi chi acquistava non aveva strumenti per valutare quanto fosse sicuro ciò che stava comprando.

La risposta del legislatore europeo è stata trattare la cybersicurezza come si trattava già la sicurezza fisica: un requisito di accesso al mercato, verificabile e sanzionabile. In concreto il regolamento chiede quattro cose.

• Security by design. I requisiti essenziali di cibersicurezza dell'Allegato I vanno rispettati già in fase di progettazione: configurazione sicura di default, superficie di attacco ridotta, protezione dei dati e delle funzioni essenziali. Non sono misure che si aggiungono dopo l'installazione
• Un periodo di supporto dichiarato. Il fabbricante deve indicare per quanto tempo distribuirà aggiornamenti di sicurezza. Il regolamento fissa una soglia minima di cinque anni, salvo che la vita utile attesa del prodotto sia più breve
• Gestione strutturata delle vulnerabilità. Processi documentati di rilevazione e correzione, distinta dei componenti software (SBOM) almeno per le dipendenze di primo livello, sorveglianza post-commercializzazione e segnalazione tempestiva alle autorità
• Documentazione e marcatura CE. Documentazione tecnica, dichiarazione di conformità UE e marcatura CE, che diventa così anche garanzia di conformità cyber e non più solo di sicurezza elettrica ed elettromagnetica

Sulle segnalazioni il regolamento è particolarmente stringente, e questa parte entra in applicazione già dall'11 settembre 2026. In caso di vulnerabilità attivamente sfruttata il fabbricante deve trasmettere un allarme rapido entro 24 ore, una notifica completa entro 72 ore e un rapporto finale entro 14 giorni, passando dalla piattaforma unica di segnalazione gestita da ENISA e dal CSIRT nazionale competente. Sono tempi che richiedono processi interni già pronti, non improvvisabili al momento dell'incidente.

La vigilanza è affidata alle autorità nazionali di sorveglianza del mercato. In Italia il quadro è stato definito dalla Legge n. 36 del 17 marzo 2026, che individua l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di notifica e di vigilanza del mercato ai fini del CRA.

Quali prodotti rientrano nel Cyber Resilience Act

Il perimetro è volutamente ampio: rientra praticamente ogni prodotto hardware o software il cui uso comporta una connessione dati, diretta o indiretta, a una rete o a un altro dispositivo. Sono compresi sia i prodotti finiti sia i componenti immessi separatamente sul mercato, come sistemi operativi, firmware e librerie. Restano fuori alcuni ambiti già regolati da normative settoriali, come i dispositivi medici o l'automotive, e il software libero e open source sviluppato al di fuori di un'attività commerciale.

Nel mondo dell'hardware professionale per retail, hospitality e industria il perimetro comprende, tra gli altri:

• POS PC e PC di punto cassa, comprese casse automatiche e postazioni di self-checkout
• Panel PC industriali e sistemi HMI per il controllo macchina
• monitor touch e display connessi, inclusi i sistemi di digital signage
• tablet e palmari rugged per la raccolta dati in logistica e produzione
• totem e kiosk self-service per ordinazione e self check-out
• box PC e sistemi embedded integrati in mobili cassa e quadri di macchina

Vale la pena notare un punto che riguarda da vicino chi integra: il CRA copre anche i componenti. Un box PC venduto a un costruttore di macchine che lo integra nel proprio quadro è un prodotto con elementi digitali a tutti gli effetti, e la catena di responsabilità risale a monte. Per un integratore significa che la conformità dei componenti acquistati diventa parte della propria conformità.

Le tre classi di rischio: ordinari, importanti, critici

Non tutti i prodotti seguono lo stesso percorso di valutazione. Il regolamento definisce tre livelli, dettagliati dal Regolamento di esecuzione (UE) 2025/2392.

La maggior parte dei POS PC, dei Panel PC e dei monitor touch professionali, considerati come prodotti finiti, ricade nella categoria ordinaria. La classificazione va però verificata caso per caso rispetto agli allegati, perché alcuni componenti integrati possono avere una collocazione diversa: il sistema operativo di un POS PC, per esempio, è a sua volta un prodotto importante di classe I quando viene immesso separatamente sul mercato. È il tipo di verifica che conviene fare adesso, con calma, e non nel 2027.

Chi è responsabile: fabbricante, importatore, distributore

Il CRA responsabilizza tutti gli operatori economici della catena di fornitura, ma con obblighi di peso molto diverso. Capire dove si colloca la propria azienda è il primo passo per dimensionare correttamente il lavoro da fare.

• Il fabbricante porta il carico principale: rispetto dei requisiti essenziali, valutazione di conformità, documentazione tecnica, dichiarazione di conformità UE e marcatura CE, periodo di supporto dichiarato, gestione delle vulnerabilità e segnalazioni ad ACN ed ENISA
• L'importatore che introduce nel mercato UE prodotti realizzati in Paesi terzi deve verificare che il fabbricante abbia svolto quanto dovuto, e non può immettere sul mercato prodotti che sa o dovrebbe sapere non conformi
• Il distributore ha obblighi di diligenza: verificare la presenza della marcatura CE, della dichiarazione di conformità UE e delle istruzioni per l'utente; assicurare che condizioni di stoccaggio e trasporto non compromettano la conformità; non mettere a disposizione sul mercato prodotti che ha motivo di ritenere non conformi; informare fabbricante e autorità di vigilanza delle vulnerabilità di cui viene a conoscenza

C'è poi una regola che vale la pena conoscere: chi immette un prodotto sul mercato con il proprio marchio, o chi apporta a un prodotto già in commercio una modifica sostanziale, assume gli obblighi del fabbricante. Per un rivenditore che fa private label, o per un integratore che modifica in modo rilevante il software di un sistema, il salto di responsabilità è completo.

In concreto, per un distributore il rischio non è progettare male un prodotto: è avere a catalogo hardware che dall'11 dicembre 2027 non potrà più essere messo a disposizione sul mercato. Ecco perché la scelta del fornitore pesa più di qualsiasi checklist interna.

E chi usa i prodotti nella propria azienda?

Qui la semplificazione è frequente, e vale la pena essere precisi. Chi acquista e utilizza le macchine per la propria attività non è soggetto agli obblighi del CRA, che si rivolge a chi immette o mette a disposizione i prodotti sul mercato. Questo però non significa che l'utilizzatore sia esente da obblighi di cybersicurezza in assoluto: molte aziende della GDO, della logistica e del manifatturiero ricadono nel perimetro della direttiva NIS2 e devono gestire il rischio anche sulla propria catena di fornitura ICT. È il motivo per cui diversi clienti finali chiedono già oggi ai fornitori evidenze documentali sulla sicurezza dei prodotti, con anni di anticipo sulle scadenze.

Quali sanzioni prevede il Cyber Resilience Act

L'articolo 64 del Regolamento (UE) 2024/2847 struttura le sanzioni amministrative su tre livelli crescenti. Gli importi sono massimali: le sanzioni sono stabilite e applicate dagli Stati membri, che devono garantirne l'efficacia e la proporzionalità.

• Fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, il maggiore dei due, per la violazione dei requisiti essenziali di cibersicurezza dell'Allegato I e degli obblighi degli articoli 13 e 14
• Fino a 10 milioni di euro o al 2% del fatturato per la violazione degli altri obblighi, compresi quelli di importatori e distributori, la dichiarazione di conformità, la marcatura CE e la documentazione tecnica
• Fino a 5 milioni di euro o all'1% del fatturato per informazioni inesatte, incomplete o fuorvianti fornite alle autorità e agli organismi notificati

Il regolamento prevede alcune attenuazioni: micro e piccole imprese non sono sanzionabili per il solo mancato rispetto del termine di 24 ore per l'allarme rapido, e gli steward del software open source restano fuori dal regime sanzionatorio. Tutti gli altri obblighi di notifica si applicano integralmente.

Al di là delle cifre, l'impatto operativo più pesante è un altro. Le autorità di vigilanza possono imporre misure correttive, vietare la distribuzione di un prodotto e ordinarne il ritiro o il richiamo dal mercato. Per un distributore il costo maggiore non è quasi mai la sanzione: è il blocco di una fornitura già venduta, consegnata e installata presso i propri clienti.

Che differenza c'è tra Cyber Resilience Act e NIS2

Sono due normative complementari che agiscono su piani diversi e vengono spesso confuse.

Il punto in cui i due mondi si incontrano è la catena di fornitura. Un'azienda soggetta a NIS2 deve valutare la sicurezza dei propri fornitori ICT, e la conformità CRA dell'hardware è uno degli elementi oggettivi che le permette di farlo. Per un rivenditore significa che proporre hardware allineato al CRA non è solo un adempimento futuro, ma già oggi un requisito per restare nelle short list dei clienti più strutturati.

Abbiamo raccolto in un documento sintetico le 12 domande da porre a un fornitore di hardware per capire se il suo prodotto reggerà alle scadenze del CRA: periodo di supporto, policy di rilascio delle patch, gestione del firmware, documentazione disponibile.

Cosa cambia (in meglio) per l'offerta di distributori e rivenditori

Letto solo come adempimento il CRA sembra un costo. Letto come criterio di selezione dell'hardware, porta vantaggi concreti a chi rivende.

• Sicurezza integrata all'origine. Hardware progettato secondo un approccio di security by design, dal firmware in su. Un esempio concreto è la gestione del rinnovo del certificato Microsoft Secure Boot via aggiornamento BIOS, che tocca la catena di avvio sicuro dei sistemi già installati sul campo
• Aggiornamenti garantiti nel tempo. Il regolamento chiede patch e correzioni lungo tutto il periodo di supporto dichiarato. Contano quindi due cose: un sistema operativo a supporto esteso come Windows IoT Enterprise LTSC, e uno strumento per distribuire gli aggiornamenti sul campo senza interventi on-site come la FEC Remote Management Platform
• Scelte più semplici e trasparenti. La marcatura CE conforme al CRA rende immediato riconoscere i prodotti a norma e riduce i tempi di valutazione tecnica delle offerte. Puoi consultare le politiche e certificazioni FEC Italia per il quadro completo
• Meno rischi operativi e reputazionali. Impianti più protetti significano minori probabilità di fermi, intrusioni o perdita di dati, con benefici diretti su continuità del servizio e affidabilità percepita
• Progetti a prova di futuro. Partire da hardware allineato ai principi del CRA evita sostituzioni o adeguamenti quando gli obblighi diventeranno pienamente vincolanti, su installazioni che spesso restano in campo sette o otto anni

L'approccio FEC Italia: hardware pronto ad affrontare il CRA

C'è una differenza tra comprare hardware da un distributore terzo e averlo da chi fa parte del gruppo che lo produce. FEC Italia appartiene al gruppo Firich e lavora le macchine in Italia, con assemblaggio, configurazione e personalizzazione nel proprio stabilimento. Sul CRA questo conta per una ragione pratica: la catena verso il produttore è corta, e le domande su firmware, aggiornamenti e ciclo di vita non devono attraversare una filiera di intermediari prima di trovare una risposta.

Seguiamo da vicino l'evoluzione del quadro normativo europeo per portare a catalogo hardware allineato ai principi del regolamento: disponibilità di Windows IoT Enterprise LTSC con aggiornamenti di sicurezza pluriennali, aggiornamenti firmware messi a disposizione lungo il ciclo di vita, gestione remota della flotta installata e continuità di fornitura pianificata. E ti seguiamo nei tuoi progetti, dalla definizione delle specifiche fino alla fornitura.

Nota di trasparenza. Fino all'11 dicembre 2027 non esiste una marcatura CE rilasciata ai sensi del Cyber Resilience Act, perché il regolamento non è ancora pienamente applicabile. La Commissione ha pubblicato le prime linee guida applicative il 27 luglio 2026, ma alla data di questo aggiornamento le norme armonizzate non risultano ancora pubblicate in Gazzetta Ufficiale UE e nessun organismo notificato risulta designato per il CRA. Quando parliamo di hardware allineato al CRA intendiamo quindi prodotti progettati secondo i principi del regolamento e inseriti in un percorso di conformità che accompagnerà le scadenze normative. Diffida di chi oggi dichiara una conformità CRA già certificata.

Sfoglia il catalogo di POS PC, Panel PC e monitor touch FEC Italia

Come prepararsi alle scadenze del CRA: quattro mosse

1. Mappa il catalogo. Individua quali prodotti a listino rientrano tra i prodotti con elementi digitali e a quale categoria di rischio appartengono secondo il Regolamento di esecuzione (UE) 2025/2392. È un lavoro noioso ma va fatto una volta sola, e senza di esso ogni altra valutazione è a occhio
2. Interroga i fornitori. Chiedi il periodo di supporto dichiarato, la policy di rilascio degli aggiornamenti di sicurezza, la gestione del firmware e la roadmap di conformità al CRA. Se il fornitore non sa rispondere oggi, difficilmente saprà farlo nel 2027, e il rischio nel frattempo resta sul tuo catalogo
3. Pianifica gli approvvigionamenti. Il 2027 è più vicino di quanto sembri e i tempi di fornitura vanno programmati con anticipo: è il tema del nostro impegno sulla continuità di fornitura in un mercato complesso
4. Standardizza. Ridurre il numero di piattaforme hardware a catalogo semplifica la gestione degli aggiornamenti, la documentazione da conservare e la formazione dei tecnici. Meno referenze significa meno superficie normativa da presidiare

Il nostro team affianca distributori, rivenditori e system integrator nella scelta dell'hardware più adatto, dalla fase di specifica fino alla fornitura.

Domande frequenti sul Cyber Resilience Act

Quando entra in vigore il Cyber Resilience Act?

Il Regolamento (UE) 2024/2847 è entrato in vigore il 10 dicembre 2024 e sarà pienamente applicabile dall'11 dicembre 2027. Due disposizioni anticipano quella data: il capo IV sulla notifica degli organismi di valutazione della conformità si applica già dall'11 giugno 2026, mentre dall'11 settembre 2026 scattano gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi.

Quali sono le sanzioni previste dal Cyber Resilience Act?

L'articolo 64 del regolamento prevede sanzioni amministrative fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, a seconda di quale importo sia maggiore, per la violazione dei requisiti essenziali di cibersicurezza. Scendono a 10 milioni o al 2% per gli altri obblighi e a 5 milioni o all'1% per informazioni inesatte o fuorvianti alle autorità. Le autorità possono inoltre ordinare il ritiro o il richiamo del prodotto dal mercato.

Il CRA si applica ai prodotti già venduti prima del 2027?

In linea generale no: i prodotti con elementi digitali immessi sul mercato prima dell'11 dicembre 2027 rientrano nel CRA solo se, a partire da quella data, sono oggetto di una modifica sostanziale. Non devono quindi essere ritirati. Gli obblighi di segnalazione delle vulnerabilità e degli incidenti previsti dall'articolo 14 restano invece applicabili anche ai prodotti già in commercio.

Un rivenditore rischia sanzioni se vende hardware non conforme al CRA?

Sì. Il distributore è un operatore economico ai sensi del regolamento e ha obblighi di diligenza: deve verificare la presenza della marcatura CE, della dichiarazione di conformità UE e delle istruzioni, e non può mettere a disposizione sul mercato prodotti che ha motivo di ritenere non conformi. La violazione di questi obblighi è sanzionabile fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.

Chi utilizza i prodotti nella propria azienda deve adeguarsi al CRA?

Il Cyber Resilience Act non impone obblighi all'utilizzatore finale, perché si rivolge a chi immette o mette a disposizione i prodotti sul mercato dell'Unione. Molte aziende utilizzatrici sono però soggette alla direttiva NIS2, che richiede di gestire il rischio cyber anche nella catena di fornitura ICT: in quel caso la sicurezza dell'hardware acquistato diventa parte degli adempimenti aziendali.

Un rivenditore che vende hardware con il proprio marchio diventa fabbricante?

Sì. Chi immette un prodotto sul mercato con il proprio nome o marchio commerciale, o chi apporta a un prodotto già in commercio una modifica sostanziale, assume gli obblighi del fabbricante ai sensi del regolamento. Per chi fa private label o personalizzazioni rilevanti del software, questo comporta requisiti essenziali, documentazione tecnica, valutazione di conformità e obblighi di segnalazione.

Per quanto tempo devono essere garantiti gli aggiornamenti di sicurezza?

Il fabbricante deve dichiarare un periodo di supporto durante il quale distribuisce aggiornamenti di sicurezza. Il regolamento stabilisce che non può essere inferiore a cinque anni, salvo il caso in cui la vita utile attesa del prodotto sia più breve. Per l'hardware professionale, che resta spesso installato sette o otto anni, è una domanda da porre esplicitamente al fornitore prima dell'acquisto.

Chi vigila sull'applicazione del CRA in Italia?

In Italia la Legge n. 36 del 17 marzo 2026 individua l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di notifica e di vigilanza del mercato per il Cyber Resilience Act. Le segnalazioni di vulnerabilità e incidenti previste dall'articolo 14 passano attraverso il CSIRT nazionale e la piattaforma unica di segnalazione gestita da ENISA.

Aggiornamenti sul Cyber Resilience Act

Seguiamo l'evoluzione del regolamento e ne raccontiamo i passaggi rilevanti per chi vende hardware.

• [31/08/2026] – Cyber Resilience Act: cosa scatta l'11 settembre

Fonti ufficiali

• Regolamento (UE) 2024/2847, testo integrale su EUR-Lex
• Cyber Resilience Act, pagina ufficiale della Commissione Europea
• Sintesi del testo legislativo e calendario di applicazione
• Linee guida applicative della Commissione Europea, 27 luglio 2026
• Stato di attuazione del CRA e calendario aggiornato
• ENISA, SME CRA Survey Report, giugno 2026
• Agenzia per la Cybersicurezza Nazionale, autorità di notifica e di vigilanza del mercato per il CRA in Italia

Parliamo del tuo catalogo

Vuoi capire quali dei tuoi progetti in corso reggeranno alle scadenze del CRA e quali vanno rivisti? Il nostro team commerciale e tecnico è a disposizione per una valutazione senza impegno.

PARLA CON UN COMMERCIALE FEC ITALIA