Il Cyber Resilience Act diventa una sfida per le PMI
Il Cyber Resilience Act (CRA) è in vigore da dicembre 2024 e pone le piccole e medie imprese di fronte a nuove sfide. Da settembre 2026 scattano i primi obblighi di notifica, ma il sostegno statale alle PMI resta limitato. Associazioni come TeleTrusT criticano già il fatto che l'aiuto previsto sia ben lontano dal fabbisogno reale.
A differenza di altre normative come la NIS-2, il CRA non prevede eccezioni legate alle dimensioni. Tutti i produttori, gli importatori e i distributori di prodotti con elementi digitali – dal software all'hardware fino ai dispositivi IoT – devono attuare misure complete di cybersicurezza. In caso di problemi, la direzione aziendale risponde personalmente.
Il sostegno statale resta insufficiente
L'attuale bozza di decreto attuativo del CRA mostra le dimensioni del problema: lo Stato prevede solo 1,28 milioni di euro all'anno per il sostegno. Per fare un confronto: la legge NIS2 prevedeva il quadruplo per la sola formazione nell'amministrazione federale. Questo divario nel sostegno rende evidente che le PMI devono farsi carico dell'attuazione in prima persona.
La finestra normativa si sta già chiudendo: le aziende hanno ancora solo pochi mesi prima che scattino i primi obblighi vincolanti. Chi non sarà pronto entro settembre 2026 rischia conseguenze rilevanti.
Cinque passi verso la CRA readiness
Passo 1: chiarire se si rientra nell'ambito di applicazione
Ogni prodotto che può collegarsi direttamente o indirettamente a un dispositivo o a una rete rientra nel CRA. Ciò vale sia per i dispositivi IoT sia per i prodotti puramente software, indipendentemente dal fatto che una connessione venga effettivamente stabilita. Non sono interessate le soluzioni SaaS e i componenti open source. Le aziende devono innanzitutto effettuare una ricognizione completa dei propri prodotti.
Passo 2: costruire i processi di notifica
Dall'11 settembre 2026 dovranno essere segnalate le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi. Le scadenze sono strette:
- Prima segnalazione entro 24 ore
- Segnalazione successiva entro 72 ore
- Relazione finale al più tardi 14 giorni dopo la disponibilità di una misura correttiva
Le aziende che non dispongono ancora di processi interni per la gestione delle vulnerabilità e l'incident response devono istituirli ora – non come progetto IT, bensì come tema operativo.
Passo 3: radicare la security by design
Il CRA richiede che la sicurezza sia parte dello sviluppo del prodotto fin dall'inizio. Le lacune maggiori si creano là dove le decisioni architetturali su autenticazione, controllo dei flussi di dati e multi-tenancy vengono prese senza un'esplicita prospettiva di sicurezza. Le PMI non devono puntare a un processo perfetto, ma sviluppare un approccio dimostrabile e documentato.
Passo 4: inventariare la catena di fornitura e le dipendenze open source
Molti prodotti sono oggi costituiti da una combinazione di sviluppo proprio, librerie open source, servizi cloud e componenti di terzi. Il CRA affronta proprio questi rischi: i produttori sono responsabili anche dei componenti di terze parti integrati. Una Software Bill of Materials (SBOM) – una panoramica strutturata di tutti i componenti software utilizzati – è lo strumento centrale per creare trasparenza e restare in grado di agire in caso di necessità.
Passo 5: sfruttare le opportunità di finanziamento
Con il programma SECURE l'UE mette a disposizione complessivamente 16,5 milioni di euro come sostegno finanziario diretto alle PMI che producono, sviluppano o distribuiscono prodotti con elementi digitali. Sono finanziabili, tra l'altro, analisi dei rischi, penetration test e valutazioni di sicurezza. Possono presentare domanda le aziende con meno di 250 dipendenti e fino a 50 milioni di euro di fatturato annuo.
Considerare la regolamentazione come vantaggio competitivo
I requisiti del CRA aprono anche opportunità strategiche. Chi è conforme al CRA diventa il partner preferito nelle catene di fornitura, in cui i committenti dovranno in futuro esigere standard di sicurezza dimostrabili. Al contrario, chi non è in grado di fornirli rischia di perdere commesse.
Ari Albertini, CEO di FTAPI, sottolinea: «Le nuove normative costringono le aziende a pensare la cybersicurezza in modo strategico. È il momento in cui si decide chi nei prossimi anni sarà ancora percepito come partner tecnologico affidabile. Le PMI che agiscono ora si assicurano un vantaggio che gli altri non potranno più recuperare.»
Prospettive: la fine di un'era della cybersicurezza volontaria
Il CRA segna la fine di un'era in cui la cybersicurezza era esclusivamente un tema per specialisti. Il BSI ha già assunto la guida dell'organismo europeo di vigilanza del mercato AdCo CRA, compito di cui è responsabile Anna Schwendicke. Le aziende che intendono la sicurezza come una scelta operativa e strategica scontata non proteggono soltanto i propri prodotti, ma assicurano anche la propria capacità di stare sul mercato nel lungo periodo in un'Europa regolamentata.
Il tempo delle misure volontarie sta per scadere. Le PMI devono agire ora per costruire entro settembre 2026 la necessaria CRA readiness. Chi aspetta rischia non solo problemi di conformità, ma anche la perdita di importanti opportunità di mercato in un'economia digitale sempre più attenta alla sicurezza.
