Dal 2026 vendere prodotti tecnologici non sicuri in Europa è illegale. E le sanzioni sono pesanti: fino a 15 milioni di euro o il 2,5% del fatturato globale. Ecco cosa cambia e cosa devi sapere se gestisci un’azienda.
Si chiama Cyber Resilience Act ed è la nuova normativa europea che obbliga produttori, distributori e importatori di prodotti con componenti digitali a rispettare standard minimi di sicurezza informatica. Non è una legge per le grandi multinazionali: riguarda chiunque, anche le PMI italiane.
Cosa sono i “prodotti con componenti digitali”?
La lista è più lunga di quanto si pensi:
- Router, firewall, switch di rete
- Telecamere IP e sistemi di videosorveglianza
- Dispositivi IoT (sensori, stampanti smart, NAS)
- Software gestionale e applicazioni aziendali
- Macchinari con componenti digitali connessi
- Qualsiasi dispositivo che si connette a internet o a una rete aziendale
Se nella tua azienda usi — o vendi — uno qualunque di questi prodotti, questa normativa ti riguarda direttamente.
Cosa obbliga a fare il Cyber Resilience Act
La normativa impone obblighi concreti su chi produce e su chi distribuisce:
- Requisiti minimi di sicurezza su tutti i prodotti connessi fin dalla progettazione
- Aggiornamenti di sicurezza gratuiti garantiti per almeno 5 anni dalla vendita
- Obbligo di comunicare le vulnerabilità scoperte entro 24 ore alle autorità competenti
- Documentazione tecnica che dimostri la conformità del prodotto
- Corresponsabilità dei distributori e importatori se il prodotto non è conforme
Quest’ultimo punto è fondamentale: non basta dire “l’ho comprato da un fornitore”. Se distribuisci un prodotto non conforme, sei responsabile quanto chi lo ha prodotto.
Il 2026-2027: il biennio della compliance europea
Il Cyber Resilience Act non arriva da solo. Nei prossimi 18 mesi entrano in vigore ben 6 normative europee che cambiano le regole del gioco per le aziende italiane:
- NIS2 — sicurezza delle reti e dei sistemi informativi
- Cyber Resilience Act — sicurezza dei prodotti digitali
- DORA — resilienza operativa digitale per il settore finanziario
- AI Act — regolamentazione dell’intelligenza artificiale
- Data Act — accesso e condivisione dei dati
- Nuovo Regolamento Macchinari — sicurezza dei macchinari connessi
Non si tratta di burocrazia fine a sé stessa. Queste normative nascono perché gli attacchi informatici costano all’economia europea miliardi di euro ogni anno — e le PMI sono tra i bersagli preferiti proprio perché spesso meno protette.
Cosa rischi se non ti adegui
Le sanzioni previste dal Cyber Resilience Act sono tra le più severe mai introdotte in ambito tech:
- Fino a 15 milioni di euro per le violazioni più gravi
- Fino al 2,5% del fatturato globale annuo (la cifra più alta tra le due)
- Ritiro obbligatorio dal mercato dei prodotti non conformi
- Responsabilità civile verso i clienti danneggiati
Cosa puoi fare subito
La buona notizia è che non è troppo tardi per adeguarsi, ma bisogna muoversi adesso:
- Fai un inventario dei prodotti tech che usi o distribuisci e verifica quali rientrano nel perimetro del Cyber Resilience Act
- Contatta i tuoi fornitori e chiedi esplicitamente come garantiranno la conformità dei loro prodotti
- Aggiorna i contratti con distributori e fornitori per includere clausole di conformità normativa
- Inizia a costruire la documentazione tecnica richiesta dalla normativa
- Rivolgiti a un esperto per capire esattamente quali obblighi si applicano alla tua situazione specifica
La cybersecurity non è più solo una questione di proteggere i propri dati: è diventata un obbligo legale con conseguenze concrete per chi non si adegua.
Se vuoi capire come il Cyber Resilience Act impatta sulla tua azienda e cosa devi fare per essere in regola, contattami: offro una consulenza iniziale gratuita per valutare la tua situazione.