Si sta aprendo un varco nel Cyber Resilience Act, e vale la pena essere precisi qui — perché la precisione, su questo punto, è la differenza tra pianificare e sperare.
Che cosa è fissato
Due date del regolamento (UE) 2024/2847 sono fissate dall’articolo 71 e non sono toccate da nulla di ciò che accade nella normazione:
- 11 settembre 2026 — notifica, ai sensi dell’articolo 14, delle vulnerabilità attivamente sfruttate e degli incidenti gravi, al CSIRT coordinatore e all’ENISA.
- 11 dicembre 2027 — il regolamento si applica integralmente. L’allegato I vincola, compresa la parte II, punto 3): i fabbricanti «effettuano prove e riesami efficaci e periodici della sicurezza del prodotto con elementi digitali».
Che cosa si muove
Le norme armonizzate nell’ambito della richiesta di normazione M/606 della Commissione (C(2025)618) sono gli strumenti che diranno che cosa «efficaci e periodici» richieda davvero. Una proposta di modifica circolata nel luglio 2026 sposterebbe i deliverable sulla gestione delle vulnerabilità più avanti rispetto al calendario originariamente richiesto.
Deliberatamente non stampiamo una data sostitutiva. Alla data di questa nota non abbiamo visto alcuna decisione di modifica adottata e pubblicata nella Gazzetta ufficiale, e la pagina di normazione della Commissione punta ancora a C(2025)618. Una proposta non è un calendario — e presentarne una come tale è il genere di piccolo errore che costa al lettore la fiducia in tutto ciò che la circonda.
La parte che non dipende dalla data
Anche una volta consegnata la norma, la consegna non è il momento operativo. In forza dell’articolo 27, paragrafo 1, una norma armonizzata conferisce la presunzione di conformità solo quando il suo riferimento è pubblicato nella Gazzetta ufficiale dell’Unione europea — il che arriva dopo qualsiasi termine di consegna, con un intervallo che nessuno controlla.
La forma del problema è quindi stabile, ovunque cadano le date:
I fabbricanti documenteranno per qualche tempo l’osservanza di un obbligo di prova prima che la norma che definisce quell’obbligo sia citabile.
I fascicoli costruiti in quell’intervallo non possono appoggiarsi alla conformità a una norma pubblicata, perché non ne esiste ancora una a cui conformarsi. Devono reggersi da soli — tracciabili fino a una revisione, onesti su che cosa è stato esaminato e che cosa no, e leggibili da qualcuno che non era nella stanza.
Che cosa faremmo in pratica
Niente di drammatico. Tre cose, in ordine di economicità:
- Conoscete la vostra classificazione. La via di conformità non è questione di dimensione aziendale o di diffusione — discende dalla classificazione allegato III / allegato IV, e la risposta cambia ciò che dovete. I prodotti dell’allegato III che si qualificano come software libero e open source hanno una via propria ai sensi dell’articolo 32, paragrafo 5, purché la documentazione tecnica sia pubblica; quell’eccezione non arriva all’allegato IV.
- Cominciate il fascicolo tecnico adesso, non nel 2027. L’allegato VII, punto 6), esige «le relazioni delle prove effettuate per verificare la conformità del prodotto con elementi digitali … e dei processi di gestione delle vulnerabilità». Quelle relazioni si producono versione per versione — oppure si ricostruiscono a memoria, sotto scadenza. La prima è evidenza; la seconda è un racconto.
- Tenete esatta la regola di conservazione. È l’articolo 13, paragrafo 13 — la documentazione tecnica e la dichiarazione di conformità UE restano a disposizione «per un periodo di almeno dieci anni dalla data di immissione sul mercato del prodotto con elementi digitali o per il periodo di assistenza, se quest’ultimo è superiore». Per infrastrutture con impegni di supporto lunghi è di solito il secondo ramo quello operativo — ed è quello che la gente lascia cadere.
Correzioni
Se una data o un riferimento in questa nota è sbagliato, preferiamo sentircelo dire piuttosto che avere ragione in pubblico. Scriveteci e correggeremo qui — in modo visibile, invece di modificare in silenzio l’originale.
Disposizioni verificate rispetto al regolamento (UE) 2024/2847; le citazioni italiane seguono la versione linguistica italiana ufficiale. I calendari di normazione si muovono; verificate il calendario M/606 vigente prima di farvi affidamento. Nulla di quanto qui riportato costituisce consulenza legale.