Il decreto, approvato il 3 ottobre 2026, prevede che sia l’Agenzia per la cybersicurezza nazionale (Acn) l’autorità preposta alla verifica della conformità e al controllo del mercato. La norma punta a facilitare alle imprese la verifica della sicurezza dei prodotti digitali fin dalla progettazione e per tutto il ciclo di vita, in linea con il regolamento dell’Unione Europea.

La convinzione dell’Ue è che i prodotti hardware e software sono sempre più esposti ad attacchi informatici. Il Cyber Resilience Act (CRA) si preannuncia come la più importante novità normativa europea in materia di cybersecurity, destinata a rafforzare la cybersicurezza e a proteggere consumatori e imprese dalle minacce informatiche. Il regolamento introduce requisiti di cybersicurezza per i prodotti hardware e software immessi sul mercato dell’Unione europea, e obblighi per fabbricanti, importatori e distributori in materia di gestione delle vulnerabilità, aggiornamenti di sicurezza e segnalazione di incidenti gravi.

Per i controlli sul mercato, l’Acn collaborerà con la Guardia di finanza e coordinerà le attività con altre autorità nazionali, tra cui la Banca d’Italia, la Commissione nazionale per le società e la borsa (Consob), l’Istituto per la vigilanza sulle assicurazioni (Ivass), e il Garante per la protezione dei dati personali. Particolare attenzione è riservata alle microimprese e alle piccole e medie imprese, con un canale dedicato di consulenza da parte dell’Acn e del ministero delle Imprese e del Made in Italy, e tariffe proporzionate per la valutazione della conformità.

Viene inoltre creato il Sandbox-CRA, uno spazio di sperimentazione normativa che consentirà alle imprese di verificare i propri prodotti innovativi prima della loro immissione sul mercato. I principali obblighi del regolamento si applicheranno dall’11 dicembre 2027, mentre gli obblighi di segnalazione saranno già in vigore dall’11 settembre 2026.

Fonti