# Conformità al Cyber Resilience Act (CRA) dell'UE > Swiss GRC erklärt den EU Cyber Resilience Act (CRA) mit Fristen, Produktkategorien und Pflichten für Hersteller. Die SwissGRC® Platform bündelt CRA-Prozesse und Nachweise. Dazu gibt es eine Gap-Analyse und ein Whitepaper. - URL: https://swissgrc.com/it/cyber-resilience-act-cra/ - Editore: SwissGRC® - Pubblicato: 2026-07-17 - Ultimo aggiornamento: 2026-07-17 ## Punti chiave - Die erste Meldepflicht des Cyber Resilience Act gilt ab dem 11. September 2026 für alle Hersteller. - Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle sind innerhalb von 24 Stunden als Frühwarnung, nach 72 Stunden mit Folgebericht und nach 14 bzw. 30 Tagen mit Abschlussbericht zu melden. - Der CRA (Verordnung (EU) 2024/2847) ist am 10. Dezember 2024 in Kraft getreten und gilt ab dem 11. Dezember 2027 vollständig, dann wird die CE-Kennzeichnung Pflicht. - Der CRA unterscheidet die Standardkategorie (rund 90 Prozent der Produkte), Klasse I, Klasse II und kritische Kernprodukte. - Bei schweren Verstößen drohen Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. - Die Gap-Analyse von Swiss GRC umfasst 25 Fragen in fünf Bereichen, basiert auf dem ENISA-Reifegradmodell für KMU und ist anonym ohne Registrierung nutzbar. EU Cyber Resilience Act # Prepararsi al CRA, *senza perdere la visione d'insieme.* Il Cyber Resilience Act rende obbligatoria la cybersicurezza per ogni prodotto con elementi digitali. La piattaforma SwissGRC® riunisce i suoi processi CRA in un unico luogo, cosicché è sempre pronto a fornire le prove richieste in qualsiasi momento. Ci contatti Avvii l'analisi del gap Primo obbligo di segnalazione a partire dall'**11 settembre 2026** Cronologia ## Due scadenze del 2026 che contano già ora Molti pensano che tutto avvenga nel 2027. Sbagliato. Il primo obbligo entra in vigore a settembre 2026 e si applica a tutti i produttori. 11 giugno 2026 Principalmente classe I e II ### Vengono designati gli organismi notificati Gli Stati membri dell'UE designano organismi di valutazione della conformità accreditati. Per i prodotti di categoria standard soggetti ad autodichiarazione non è richiesta alcuna azione immediata. I produttori di prodotti di classe I e II dovrebbero attivarsi fin d'ora per anticipare eventuali colli di bottiglia nella capacità disponibile. 11 settembre 2026 Si applica a tutti i produttori ### Obblighi di segnalazione per vulnerabilità e incidenti L'obbligo centrale e più immediato. Le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi devono essere segnalati all'autorità CSIRT nazionale e all'ENISA entro termini rigorosi: - **24 h**allerta precoce a CSIRT ed ENISA - **72 h**rapporto di follow-up più dettagliato - **14 giorni**rapporto finale dopo aggiornamento o soluzione temporanea - **30 giorni**rapporto finale per incidenti gravi L'intera cronologia in sintesi 10 dicembre 2024 **Entrata in vigore del CRA**Inizia il periodo transitorio. 11 giugno 2026 **Organismi notificati operativi**Rilevante soprattutto per la classe I e II. 11 settembre 2026 **Obblighi di segnalazione per vulnerabilità e incidenti**Riguarda tutti i produttori. I processi di segnalazione devono essere operativi. 11 dicembre 2026 **Capacità sufficiente di organismi notificati nell'UE**Pianificazione della capacità per la certificazione. 11 dicembre 2027 **Piena applicazione di tutti i requisiti del CRA**La marcatura CE diventa obbligatoria. Classificazione ## Le quattro categorie di prodotto Il Cyber Resilience Act (CRA) classifica i prodotti in base al rischio. La categoria determina se è sufficiente un'autodichiarazione o se è richiesta la valutazione di un organismo notificato. 01 ### Categoria standard circa il 90% di tutti i prodotti Software gestionale ordinario, elettronica di consumo e dispositivi IoT standard. Autodichiarazione del fabbricante (Modulo A) 02 ### Classe I: prodotti importanti Rischio elevato Gestori di password, software antivirus, VPN, firewall, browser. Richiesta una valutazione di conformità più rigorosa 03 ### Classe II: prodotti critici Rischio alto Sistemi di gestione delle reti, controlli industriali, gateway per smart meter. Certificazione da parte di un organismo notificato obbligatoria 04 ### Prodotti critici core Livello massimo Un gruppo molto ristretto soggetto ai requisiti più rigorosi. Valutazione esterna obbligatoria Non è sicuro a quale categoria appartengano i suoi prodotti? Compili la nostra **analisi gratuita del gap CRA** più avanti in questa pagina. Sei domande le forniranno una prima indicazione sul suo livello di preparazione, in forma anonima e senza registrazione. Requisiti ## Gli obblighi tecnici fondamentali Il CRA richiede che la cybersicurezza sia integrata e documentata lungo l'intero ciclo di vita del prodotto. Cinque obblighi sono centrali. 01 ### Sicurezza fin dalla progettazione e per impostazione predefinita Sicurezza fin dall'inizio: impostazioni predefinite sicure, nessuna password universale, superfici di attacco minime, dati crittografati. 02 ### Gestione delle vulnerabilità Aggiornamenti di sicurezza per almeno cinque anni, oltre a un processo PSIRT che gestisce le vulnerabilità lungo tutto il ciclo di vita. 03 ### Software bill of materials Un inventario completo e aggiornato di tutti i componenti software per prodotto, inclusi quelli di terze parti e open source. 04 ### Documentazione tecnica e marcatura CE Dalla fine del 2027, i prodotti interessati necessiteranno di una dichiarazione di conformità UE e della marcatura CE. Senza di esse, non sarà possibile l'importazione nell'UE. 05 ### Resilienza e contenimento degli incidenti I prodotti devono resistere agli attacchi. I fabbricanti devono contenere rapidamente gli incidenti e informare gli utenti. Whitepaper ## Cyber Resilience Act: cosa devono fare ora i produttori svizzeri Una guida pratica di Swiss Infosec AG e Swiss GRC. Tutte le scadenze, le quattro categorie di prodotto e una roadmap concreta fino a settembre 2026. 10 pagine Tutte le scadenze e gli obblighi di segnalazione Roadmap per i team di sviluppo Gratuito. Il download appare immediatamente e viene inviato anche via e-mail. Il whitepaper è in tedesco. ### Cyber Resilience Act: cosa devono fare ora i produttori svizzeri Dall'analisi di applicabilità alle quattro categorie di prodotto, fino a una roadmap concreta valida fino a settembre 2026. - Tutte le scadenze e gli obblighi di segnalazione in sintesi - Le quattro categorie di prodotto e il loro significato - Una roadmap prioritizzata per i team di sviluppo - Sanzioni e mandato di rappresentante UE spiegati Whitepaper congiunto di **Swiss Infosec AG** e **Swiss GRC**, aprile 2026. Disponibile in tedesco. ### Scarica gratuitamente La preghiamo di lasciare i suoi dati. Il download appare immediatamente e viene inviato anche via e-mail. Il whitepaper è redatto in tedesco. ### Grazie, il suo whitepaper è pronto Il download si avvia tramite il pulsante sottostante. Una copia del link è anche nella sua casella di posta. Il whitepaper è in tedesco. [Apri il whitepaper (PDF)](https://swissgrc.com/Downloads/Whitepaper/CRA_Whitepaper_SwissGRC_SwissInfosec.pdf) Non si è aperto nulla? [Clicchi qui direttamente.](https://swissgrc.com/Downloads/Whitepaper/CRA_Whitepaper_SwissGRC_SwissInfosec.pdf) Analisi gratuita del divario ## Quanto è pronto il vostro prodotto rispetto al CRA? Un'autovalutazione basata sul modello di maturità ENISA per le PMI: 25 domande su cinque ambiti. Ottenete subito un livello di maturità per ambito e complessivo, in modo anonimo e senza registrazione. Basato sul **modello ENISA SME Cyber Resilience Maturity Assessment**. Un'autovalutazione che non sostituisce una valutazione dei rischi specifica del prodotto, un'analisi legale o una valutazione formale di conformità al CRA. **25** domande **5** ambiti **5** minuti Per ogni domanda, scegliete la descrizione più vicina alla vostra prassi attuale. Non esiste una risposta giusta o sbagliata, solo una base di partenza onesta. Domanda **1** / 25 0su 5 ### Risultato #### Richiedete il rapporto dettagliato e la checklist delle azioni Facoltativo. Vi inviamo via e-mail una valutazione strutturata con la vostra maturità per ambito e una checklist di azioni prioritarie. Le vostre risposte restano anonime finché non richiedete il rapporto. **Grazie.** Il vostro rapporto è in arrivo e sarà recapitato a breve nella vostra casella di posta. [Richiedi una demo](https://swissgrc.com/it/it/demo/) L'analisi del divario è un'autovalutazione non vincolante basata sul modello di maturità ENISA e non sostituisce una valutazione dei rischi specifica del prodotto, un'analisi legale o una valutazione formale di conformità al CRA. Il ruolo della piattaforma ## Struttura ed evidenze per la vostra conformità al CRA Il CRA richiede non solo un prodotto sicuro, ma anche processi solidi ed evidenze complete. È esattamente qui che entra in gioco la SwissGRC® Platform. 01 ### Applicabilità e delimitazione del perimetro Rilevate il vostro portafoglio, assegnate ogni prodotto a una classe di rischio, registrate le azioni necessarie. L'analisi diventa un piano d'azione tracciabile. 02 ### Gestione dei rischi e ISMS Valutate e gestite i rischi di prodotto in un modello di dati integrato. Molti requisiti del CRA corrispondono a controlli ISO 27001 già coperti qui. 03 ### Vulnerabilità e reporting Mappate il vostro processo PSIRT e gestite le scadenze di segnalazione stringenti (24 ore, 72 ore, 14 giorni) con ruoli chiari e una cronologia completa. 04 ### SBOM a livello di governance Collegate la vostra SBOM a prodotti e rischi. Quando un componente diventa vulnerabile, individuate subito quali prodotti sono interessati. 05 ### Documentazione tecnica Analisi dei rischi, misure e registri di conformità in un unico luogo, versionati e consultabili in qualsiasi momento. 06 ### CRA, NIS2 e DORA combinati CRA, NIS2 e DORA in un'unica piattaforma. Producete le evidenze una sola volta, non tre. Domande frequenti ## Comprendere il CRA Le domande chiave sul Cyber Resilience Act, con particolare attenzione ai produttori svizzeri e alla futura legislazione nazionale. Cos'è il Cyber Resilience Act (CRA)? Il CRA (Regolamento (UE) 2024/2847) è la prima legge orizzontale dell'UE a stabilire requisiti vincolanti di cibersicurezza per tutti i prodotti con elementi digitali. Completa quadri normativi come la direttiva NIS2 e il GDPR, ma si rivolge direttamente ai produttori di prodotti e coinvolge l'intera catena di fornitura. È entrato in vigore il 10 dicembre 2024 e si applica integralmente dall'11 dicembre 2027. Il CRA si applica anche alle aziende svizzere? Sì. Il CRA è un regolamento del mercato dell'UE: chiunque immetta sul mercato dell'UE prodotti con elementi digitali deve soddisfare i requisiti, indipendentemente dalla sede dell'azienda. Ciò riguarda i produttori che vendono nell'UE, gli importatori, i distributori e, a determinate condizioni, i fornitori cloud svizzeri. Le aziende svizzere senza una sede nell'UE devono inoltre nominare un **rappresentante autorizzato nell'UE**. Quali scadenze si applicano nel 2026 e nel 2027? Tre date sono centrali: dall'**11 giugno 2026** vengono designati gli organismi di valutazione della conformità notificati (rilevante soprattutto per le classi I e II). Dall'**11 settembre 2026** si applicano gli obblighi di segnalazione per le vulnerabilità attivamente sfruttate e gli incidenti gravi, validi per tutti i produttori. Dall'**11 dicembre 2027** il CRA è pienamente applicabile, inclusa la marcatura CE e la valutazione della conformità. Quali sono i termini di segnalazione per vulnerabilità e incidenti? Dall'11 settembre 2026, le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi devono essere segnalati entro termini stretti: un allarme preliminare all'autorità CSIRT nazionale e all'ENISA entro **24 ore**, un aggiornamento più dettagliato entro **72 ore**, un rapporto finale entro **14 giorni** dall'aggiornamento o dalla soluzione temporanea, ed entro **30 giorni** per gli incidenti gravi. La segnalazione avviene tramite una piattaforma centrale dell'ENISA. In quale categoria di prodotto rientra il mio prodotto? Il CRA prevede quattro livelli: la **categoria standard** (circa il 90 per cento di tutti i prodotti, per cui basta l'autodichiarazione), la **classe I** (prodotti importanti come password manager, VPN, firewall), la **classe II** (prodotti critici come sistemi di controllo industriale, sistemi di gestione di rete) e i **prodotti core critici** con i requisiti più rigorosi. I prodotti di classe I, II e core richiedono una valutazione della conformità più rigorosa o esterna. Un'analisi delle lacune (gap analysis) permette di chiarire la classificazione. Quali sono le sanzioni in caso di non conformità? Per le violazioni gravi, le autorità di vigilanza del mercato possono imporre sanzioni fino a **15 milioni di euro o il 2,5 per cento del fatturato annuo mondiale**, a seconda di quale importo sia più elevato. Per le violazioni meno gravi, il limite è di 10 milioni di euro o il 2 per cento. Le autorità possono inoltre vietare le vendite, ordinare richiami o ritirare i prodotti dal mercato. La Svizzera introdurrà una propria legge? Sì, è quanto emerge. Il Consiglio federale ha incaricato l'Ufficio federale per la cibersicurezza (UFCS) di elaborare, entro l'autunno 2026, una proposta di consultazione per una legislazione svizzera sulla resilienza informatica dei prodotti digitali, esplicitamente modellata sul CRA dell'UE. I produttori svizzeri devono quindi aspettarsi una doppia ondata regolatoria: il CRA dell'UE ora, e un equivalente svizzero atteso a partire dal 2027 o dal 2028. Chi implementa oggi la logica del CRA sarà ben posizionato per entrambi. In che modo la piattaforma SwissGRC® supporta la conformità al CRA? La piattaforma porta struttura ed evidenza agli obblighi organizzativi previsti dal CRA: analisi di applicabilità e definizione del perimetro, gestione dei rischi e ISMS, processi di gestione delle vulnerabilità e di segnalazione con i termini stretti previsti, SBOM a livello di governance e documentazione tecnica pronta per l'audit. Poiché CRA, NIS2 e DORA sono mappati in un'unica piattaforma, le evidenze devono essere prodotte una sola volta. La security by design nel prodotto stesso resta un compito di sviluppo, per il quale Swiss GRC e il suo partner Swiss Infosec AG vi supportano. ## L'11 settembre 2026 si avvicina. *Si prepari in modo strutturato.* Scopra come gestire l'applicabilità, le vulnerabilità, i processi di reporting e la documentazione tecnica con la piattaforma SwissGRC®. Oppure inizi con il whitepaper di Swiss Infosec AG e Swiss GRC. [Richieda una demo](https://swissgrc.com/it/it/demo/) Scarichi il whitepaper ## Domande frequenti ### Gilt der Cyber Resilience Act auch für Schweizer Unternehmen? Ja. Wer Produkte mit digitalen Elementen auf dem EU-Markt anbietet, muss die Anforderungen erfüllen, unabhängig vom Firmensitz. Schweizer Unternehmen ohne Niederlassung in der EU müssen zudem einen bevollmächtigten Vertreter in der EU benennen. ### Welche CRA-Fristen gelten 2026 und 2027? Ab dem 11. Juni 2026 werden notifizierte Konformitätsbewertungsstellen benannt. Ab dem 11. September 2026 gelten die Meldepflichten für alle Hersteller. Ab dem 11. Dezember 2027 ist der CRA voll anwendbar, inklusive CE-Kennzeichnung. ### Welche Meldefristen gelten für Schwachstellen und Vorfälle nach dem CRA? Es braucht eine Frühwarnung innerhalb von 24 Stunden an das nationale CSIRT und die ENISA und einen detaillierteren Bericht nach 72 Stunden. Der Abschlussbericht folgt nach 14 Tagen nach Update oder Workaround, bei schweren Vorfällen nach 30 Tagen. ### Welche Strafen drohen bei Verstößen gegen den CRA? Bei schweren Verstößen sind Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich. Bei leichteren Verstößen liegt die Grenze bei 10 Millionen Euro oder 2 Prozent. Behörden können auch Verkaufsverbote, Rückrufe oder Marktrücknahmen anordnen. ### Wie unterstützt die SwissGRC® Platform bei der CRA-Konformität? Die Plattform liefert Struktur und Nachweise für Anwendbarkeitsanalyse, Risikomanagement und ISMS, Schwachstellen- und Meldeprozesse, SBOM auf Governance-Ebene und technische Dokumentation. Security by Design im Produkt bleibt eine Entwicklungsaufgabe, bei der Swiss GRC und Swiss Infosec AG unterstützen.