normakte / Cyber Resilience Act e macchine
Una macchina con software di comando, teleassistenza o connessione di rete è di regola un prodotto con elementi digitali. In quel caso, oltre al regolamento macchine, si applica il regolamento sulla ciberresilienza (UE) 2024/2847 — con obblighi di segnalazione già in vigore.
| Data | Cosa si applica | Base |
|---|---|---|
| 10.12.2024 | Entrata in vigore | Art. 71 CRA |
| 11.09.2026 | Obblighi di segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi | Art. 14 CRA |
| 20.01.2027 | Si applica il regolamento macchine, con requisiti propri di cybersicurezza | Allegato III punti 1.1.9, 1.2.1 |
| 11.12.2027 | Il CRA si applica integralmente | Art. 71 CRA |
Il CRA riguarda i prodotti con elementi digitali il cui uso previsto o ragionevolmente prevedibile comprende una connessione dati, diretta o indiretta, a un dispositivo o a una rete. Una macchina con PLC ed Ethernet, porta USB o accesso di teleassistenza rientra di norma nel campo di applicazione. Una macchina puramente meccanica, senza software, no.
| Obbligo | In pratica | Base |
|---|---|---|
| Valutazione dei rischi di cybersicurezza | Documentata, parte della documentazione tecnica, aggiornata durante il periodo di supporto | Art. 13 CRA |
| Requisiti essenziali | Impostazioni sicure, protezione degli accessi e dei dati, registrazione degli eventi, aggiornamenti sicuri | Allegato I parte I |
| Gestione delle vulnerabilità | Censire i componenti (SBOM in formato leggibile da macchina), correggere le vulnerabilità, fornire aggiornamenti di sicurezza | Allegato I parte II |
| Periodo di supporto | Di norma almeno cinque anni; la data di fine deve essere riconoscibile per l'acquirente | Art. 13 CRA |
| Segnalazioni | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale; informare gli utilizzatori interessati | Art. 14 CRA |
| Dichiarazione e CE | Dichiarazione UE di conformità secondo l'allegato V CRA — insieme al regolamento macchine in un'unica dichiarazione | Art. 28 CRA Art. 21 §3 |
Il CRA non sostituisce il regolamento macchine: si aggiunge. Chi li documenta separatamente scrive molte cose due volte.
Considerando 53 CRA · allegato III punti 1.1.9, 1.2.1 regolamento (UE) 2023/1230
Il regolamento macchine chiede protezione contro la corruzione e sistemi di comando che resistano a tentativi dolosi prevedibili. Il considerando 53 del CRA osserva che rispettarne i requisiti può facilitare la dimostrazione di questi requisiti macchine — ma la sinergia va documentata dal fabbricante. In pratica: una prova, due regolamenti, collegati in modo ordinato.
Le violazioni dei requisiti essenziali e degli obblighi del fabbricante possono essere sanzionate fino a 15 milioni di euro o al 2,5 % del fatturato mondiale annuo.
Righe di requisito con riferimento all'articolo per entrambi i regolamenti, SBOM con export CycloneDX, registro dei rischi cyber e calcolo dei termini di segnalazione.
Fonti. Regolamento (UE) 2024/2847, GU L, 2024/2847 del 20.11.2024; regolamento (UE) 2023/1230, GU L 165 del 29.6.2023. Riassunto e abbreviato; fa fede il testo ufficiale. normakte non sostituisce una consulenza legale.