Vai al contenuto
EU Rules Finder
Italiano (Lingua)

Checklist del Cyber Resilience Act: il Suo punteggio di preparazione al CRA

Il regolamento sulla ciberresilienza (Cyber Resilience Act) impone al fabbricante di un prodotto con elementi digitali una serie di obblighi: segnalazioni, requisiti di sicurezza del prodotto, gestione delle vulnerabilità e documenti. Risponda a ciascuno per il Suo prodotto e veda a che punto è e cosa resta aperto, con l'articolo di ogni punto.

Verificato rispetto alle fonti il 17 ottobre 2026

La Sua preparazione al CRA

Risponda a ogni riga per un prodotto. Il punteggio conta solo le Sue risposte; nulla viene verificato, inviato o conservato.

Obblighi di segnalazione (articolo 14): dall'11 settembre 2026, anche per i prodotti già sul mercato
Requisiti del prodotto (allegato I, parte I): dall'11 dicembre 2027

«Non applicabile» solo se la Sua valutazione dei rischi di cibersicurezza lo indica, con la giustificazione nella documentazione tecnica (articolo 13, paragrafo 4).

Gestione delle vulnerabilità (allegato I, parte II): dall'11 dicembre 2027
Obblighi dei fabbricanti (articolo 13): dall'11 dicembre 2027

Preparazione: 0%

Fatto: 0 su 38 righe applicabili

Senza risposta: 38 (contate come non fatte)

Per ambito

  • Segnalazioni0%
  • Requisiti del prodotto0%
  • Gestione delle vulnerabilità0%
  • Obblighi dei fabbricanti0%

Punti ancora aperti

  • Vulnerabilità attivamente sfruttate: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni da quando è disponibile una correzione, tramite la piattaforma unica di segnalazione (Article 14(1), (2); Senza risposta) Registro delle segnalazioni CRA
  • Incidenti gravi che hanno un impatto sulla sicurezza del prodotto: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica (Article 14(3) to (5); Senza risposta) Registro delle segnalazioni CRA
  • Sa quale CSIRT designato come coordinatore riceve le Sue notifiche: quello dello Stato membro del Suo stabilimento principale nell'UE o, in mancanza, secondo l'ordine dell'articolo 14, paragrafo 7 (Article 14(7); Senza risposta) Registro delle segnalazioni CRA
  • Gli utilizzatori interessati, e se del caso tutti gli utilizzatori, sono informati della vulnerabilità o dell'incidente e delle misure che possono adottare (Article 14(8); Senza risposta) Registro delle segnalazioni CRA
  • Cibersicurezza adeguata ai rischi (Annex I, Part I(1); Senza risposta)
  • Nessuna vulnerabilità sfruttabile nota (Annex I, Part I(2)(a); Senza risposta)
  • Sicuro per impostazione predefinita, con ripristino (Annex I, Part I(2)(b); Senza risposta)
  • Aggiornamenti di sicurezza, automatici per impostazione predefinita (Annex I, Part I(2)(c); Senza risposta)
  • Protezione dall’accesso non autorizzato (Annex I, Part I(2)(d); Senza risposta)
  • Riservatezza dei dati (Annex I, Part I(2)(e); Senza risposta)
  • Integrità di dati, comandi e configurazione (Annex I, Part I(2)(f); Senza risposta)
  • Minimizzazione dei dati (Annex I, Part I(2)(g); Senza risposta)
  • Disponibilità delle funzioni essenziali (Annex I, Part I(2)(h); Senza risposta)
  • Impatto limitato su altri dispositivi e reti (Annex I, Part I(2)(i); Senza risposta)
  • Superfici di attacco limitate (Annex I, Part I(2)(j); Senza risposta)
  • Attenuazione degli sfruttamenti (Annex I, Part I(2)(k); Senza risposta)
  • Registrazione e monitoraggio di sicurezza, con possibilità di rinuncia (Annex I, Part I(2)(l); Senza risposta)
  • Rimozione sicura di tutti i dati e le impostazioni (Annex I, Part I(2)(m); Senza risposta)
  • Vulnerabilità e componenti individuati e documentati, con una distinta base del software che copra almeno le dipendenze di primo livello (Annex I, Part II(1); Senza risposta) Generatore di SBOM
  • Vulnerabilità affrontate e corrette senza ritardo, con aggiornamenti di sicurezza, separati da quelli di funzionalità ove tecnicamente possibile (Annex I, Part II(2); Senza risposta)
  • Test e riesami efficaci e periodici della sicurezza del prodotto (Annex I, Part II(3); Senza risposta)
  • Vulnerabilità corrette rese pubbliche una volta disponibile l'aggiornamento di sicurezza (Annex I, Part II(4); Senza risposta)
  • Una politica di divulgazione coordinata delle vulnerabilità, messa in atto e applicata (Annex I, Part II(5); Senza risposta)
  • Un indirizzo di contatto per segnalare le vulnerabilità e misure per condividere le informazioni al riguardo, anche sui componenti di terzi (Annex I, Part II(6); Senza risposta)
  • Aggiornamenti distribuiti in modo sicuro, e automaticamente ove applicabile per quelli di sicurezza (Annex I, Part II(7); Senza risposta)
  • Aggiornamenti di sicurezza diffusi senza ritardo e gratuitamente (salvo diverso accordo con un utilizzatore commerciale per un prodotto su misura), con messaggi di avviso (Annex I, Part II(8); Senza risposta)
  • Valutazione dei rischi di cibersicurezza svolta, documentata, aggiornata durante il periodo di assistenza e inclusa nella documentazione tecnica (Article 13(2) to (4); Senza risposta) Kit documentale CRA (a pagamento)
  • Dovuta diligenza sui componenti di terzi e open source; le vulnerabilità trovate in essi sono segnalate a chi li fabbrica o li mantiene (Article 13(5), (6); Senza risposta)
  • Periodo di assistenza fissato in base al tempo in cui si prevede che il prodotto sia in uso: almeno cinque anni, salvo un uso previsto più breve (Article 13(8); Senza risposta)
  • Ogni aggiornamento di sicurezza resta disponibile almeno 10 anni dopo la pubblicazione, o per il resto del periodo di assistenza se più lungo (Article 13(9); Senza risposta)
  • Fine del periodo di assistenza, almeno mese e anno, indicata chiaramente al momento dell'acquisto (Article 13(19); Senza risposta)
  • Numero di tipo, di lotto o di serie sul prodotto, oppure sull'imballaggio o in un documento di accompagnamento se non è possibile (Article 13(15); Senza risposta)
  • Nome, indirizzo postale e indirizzo e-mail o altri recapiti digitali sul prodotto, sull'imballaggio o in un documento di accompagnamento, e un punto di contatto unico per gli utilizzatori (Article 13(16), (17); Senza risposta)
  • Informazioni e istruzioni per l'utilizzatore (allegato II) fornite con il prodotto e disponibili per almeno 10 anni, o per il periodo di assistenza se più lungo (Article 13(18), Annex II; Senza risposta) Kit documentale CRA (a pagamento)
  • Documentazione tecnica (allegato VII) redatta prima dell'immissione del prodotto sul mercato (Article 13(12), Article 31, Annex VII; Senza risposta) Kit documentale CRA (a pagamento)
  • Procedura di valutazione della conformità scelta e svolta (articolo 32); i prodotti importanti e critici hanno meno percorsi (Article 13(12), Article 32; Senza risposta) Verifica della classe CRA
  • Dichiarazione di conformità UE redatta e marcatura CE apposta; una copia o la dichiarazione semplificata fornita con il prodotto (Article 13(12), (20), Articles 28 and 30; Senza risposta) Kit documentale CRA (a pagamento)
  • Documentazione tecnica e dichiarazione conservate almeno 10 anni dopo l'immissione sul mercato, o per il periodo di assistenza se più lungo (Article 13(13); Senza risposta)

Le Sue risposte, non una valutazione: il punteggio non dimostra che il prodotto rispetti il regolamento.

Cosa copre la verifica

  • Gli obblighi di segnalazione (articolo 14): vulnerabilità attivamente sfruttate e incidenti gravi, al CSIRT designato come coordinatore e all'ENISA tramite la piattaforma unica di segnalazione, e l'informazione degli utilizzatori.
  • I requisiti essenziali di cibersicurezza del prodotto (allegato I, parte I): un requisito generale e tredici specifici.
  • I requisiti di gestione delle vulnerabilità (allegato I, parte II): otto punti, tra cui la distinta base del software.
  • Gli altri obblighi dei fabbricanti (articolo 13): valutazione dei rischi, componenti, periodo di assistenza, aggiornamenti, indicazioni sul prodotto, informazioni per l'utilizzatore, documentazione tecnica, valutazione della conformità, dichiarazione e marcatura CE, conservazione dei documenti.

Date

  • L'articolo 14 (segnalazioni) si applica dall'11 settembre 2026, anche ai prodotti immessi sul mercato prima dell'11 dicembre 2027 (articolo 69, paragrafo 3, e articolo 71, paragrafo 2).
  • Il resto del regolamento si applica dall'11 dicembre 2027. Un prodotto immesso sul mercato prima di tale data vi è soggetto solo se, da quella data, è oggetto di una modifica sostanziale (articolo 69, paragrafo 2).

Come si calcola il punteggio

Contano solo le righe con la risposta «Fatto». «Fatto in parte», «Non iniziato» e le righe senza risposta contano come aperte, così il punteggio non mostra mai più di quanto Lei ha risposto. «Non applicabile» toglie una riga dal totale; esiste solo per i requisiti specifici dell'allegato I, parte I, punto 2, che si applicano sulla base della valutazione dei rischi di cibersicurezza e ove applicabile, e la documentazione tecnica deve giustificarlo (articolo 13, paragrafo 4). La percentuale è arrotondata per difetto.

Cosa non fa la verifica

Non verifica né valuta il Suo prodotto: il punteggio conta le Sue risposte, e un punteggio alto non dimostra che il prodotto rispetti il regolamento. Copre solo i fabbricanti, non gli importatori (articolo 19), i distributori (articolo 20) né i gestori di software open source (articolo 24). Per la classe del Suo prodotto e la procedura di valutazione della conformità usi la verifica CRA; per i termini di segnalazione il registro delle segnalazioni CRA; per la distinta base del software il generatore di SBOM.

Le Sue risposte non lasciano il browser e non vengono conservate: ricaricando la pagina si cancellano. Copi o stampi il risultato per tenerlo.

Fonti