CRA para fabricantes italianos: ACN, ACCREDIA, Legge 36/2026

Los fabricantes italianos afrontan las mismas obligaciones de la Legge sulla ciberresilienza que cualquier otro fabricante de la UE. Esta página es un resumen país para Italia: cómo se canalizan las notificaciones a través de CSIRT Italia, cómo ACN actúa como autoridad notificante y de vigilancia de mercado bajo la Legge 36/2026, qué papel desempeña ACCREDIA como paso de acreditación, cómo OCSI se integra en el esquema europeo EUCC, las obligaciones en lengua italiana y qué líneas de financiación de Transizione 5.0, PNRR y SECURE son viables para la inversión en cumplimiento. Para el conjunto completo de obligaciones del fabricante, consulta la guía clúster del fabricante.

A quién se dirige esta guía

Eres el lector objetivo si el "establecimiento principal del fabricante en la Unión" está en Italia, es decir, donde se toman predominantemente las decisiones relacionadas con la ciberseguridad de tus productos con elementos digitales. Una filial de ventas en Italia con ingeniería en el extranjero no constituye el establecimiento principal. Si tu equipo de ingeniería, tu gobernanza del SDLC y quienes aprueban las actualizaciones de seguridad están en Italia, esta guía es para ti.

Si tu establecimiento principal está en otro Estado miembro de la UE y solo comercializas en Italia, tus notificaciones se canalizan a través del CSIRT de ese Estado, no de CSIRT Italia. La obligación de lengua italiana para la información al usuario sigue aplicándose a cualquier producto comercializado en el mercado italiano.

ACN y CSIRT Italia: la vía CSIRT italiana

Las notificaciones de la Legge sulla ciberresilienza se canalizan a través del CSIRT designado como coordinador del Estado miembro donde el fabricante tiene su establecimiento principal en la Unión. Para un fabricante cuyo establecimiento principal está en Italia, ese CSIRT es CSIRT Italia, el CSIRT nacional operado dentro de ACN.

ACN, creada por el Decreto-Ley 82/2021 (convertido por la Ley 109/2021), es la autoridad nacional de ciberseguridad de Italia, dependiente del despacho del Presidente del Consejo de Ministros y punto de referencia único para la política, certificación y regulación en ciberseguridad. CSIRT Italia publica avisos de vulnerabilidad en italiano y opera el flujo de respuesta a incidentes en productos de consumo.

El canal técnico para el ritmo de notificación de 24h / 72h / 14 días es la plataforma única de notificación de ENISA, operativa desde el 11 de septiembre de 2026. El fabricante italiano presenta sus notificaciones a través de esa plataforma con CSIRT Italia como coordinador receptor. La designación CSIRT es el enrutamiento; la plataforma es el transporte.

Organismos notificados: ACN notifica, ACCREDIA acredita

Los productos Importantes de Clase I necesitan un organismo notificado (Módulo B+C o Módulo H) únicamente cuando las normas armonizadas, las especificaciones comunes o un esquema de certificación no los cubren íntegramente. Los productos Importantes de Clase II utilizan un organismo notificado (Módulo B+C o Módulo H) o un esquema de certificación disponible y aplicable. Los productos Críticos (Anexo IV) siguen el Artículo 32(4): la vía de certificación del Artículo 8(1) cuando la Comisión la haya activado; de lo contrario, las mismas vías del Artículo 32(3).

La distribución institucional italiana es:

• ACN es la autoridad notificante que designa formalmente a los organismos notificados italianos ante la Comisión Europea, amparada en la Legge 36/2026 y puesta en práctica por el decreto legislativo de desarrollo.
• ACCREDIA (Ente Italiano di Accreditamento) es el organismo nacional de acreditación italiano y evalúa la competencia técnica de un candidato bajo la norma ISO/IEC 17065:2012. ACCREDIA describe la acreditación como la herramienta preferida para acreditar la competencia e independencia, aunque no es un requisito estrictamente obligatorio para la notificación bajo la Legge sulla ciberresilienza.

El marco del CRA para organismos notificados se aplica desde el 11 de junio de 2026, cuando los organismos designados pueden empezar a emitir certificados. Los candidatos italianos con experiencia relevante en certificación de productos incluyen IMQ, RINA Services, Bureau Veritas Italia y TÜV Italia. Las designaciones finales del CRA se publican en la base de datos NANDO. Un fabricante italiano puede utilizar cualquier organismo notificado de la UE, no solo los designados en Italia.

ACN: la autoridad de vigilancia de mercado del CRA

A diferencia de España (donde el ministerio ejerce la vigilancia de mercado) y Francia (donde lo hace la ANFR), Italia consolida tanto la notificación como la vigilancia de mercado dentro de ACN. La Legge 36/2026 identifica a ACN como la autorità di vigilanza del mercato bajo el Artículo 52 del CRA, junto con su función notificante bajo el Artículo 36.

Toda interacción formal del CRA de un fabricante italiano se canaliza a través de ACN como interlocutor único: solicitudes motivadas de documentación técnica, solicitudes de traducción, inspecciones in situ y el aviso de cese de operaciones. El Codice del Consumo (Decreto Legislativo 206/2005) rige la seguridad general de los productos de consumo a través del Ministero delle Imprese e del Made in Italy (MIMIT) y AGCM, pero la autoridad formal de vigilancia de mercado del CRA para productos con elementos digitales es ACN.

Las sanciones se enmarcan dentro de los límites de la UE (hasta 15 millones de euros o el 2,5% de la facturación anual mundial para las infracciones más graves). Se espera que el decreto legislativo italiano fije la escala de sanciones dentro de esos límites.

OCSI y el esquema europeo EUCC

El Organismo di Certificazione della Sicurezza Informatica (OCSI) es el organismo italiano de certificación de Common Criteria, integrado en ACN desde el 1 de julio de 2022 (transferido desde el antiguo Ministerio de Desarrollo Económico). OCSI está acreditado por ACCREDIA bajo la norma UNI CEI EN ISO/IEC 17065:2012 para operar dentro del esquema EUCC adoptado en virtud del Reglamento (UE) 2019/881.

El esquema nacional heredado de OCSI cesó su actividad el 26 de febrero de 2026 y OCSI opera ahora únicamente bajo el EUCC. Según el Artículo 27 del CRA, los esquemas europeos de certificación de ciberseguridad pueden respaldar una presunción de conformidad para los requisitos cubiertos cuando una delegación de la Comisión especifique el esquema. Hasta que la vía EUCC quede especificada para el CRA, trata un certificado EUCC emitido por OCSI como evidencia sólida para el alcance cubierto, no como un atajo autónomo ya operativo.

Requisitos de lengua italiana en la práctica

La Legge sulla ciberresilienza exige que la información al usuario esté en una lengua fácilmente comprensible por los usuarios y la autoridad local de vigilancia de mercado. Para el mercado italiano, esa lengua es el italiano. El Codice del Consumo exige de forma independiente el italiano en la información de productos de consumo, por lo que la obligación de la Legge sulla ciberresilienza se alinea con una norma nacional de larga tradición.

Debe estar en italiano:

• Las instrucciones de uso e información del producto que se entregan con el producto.
• Los datos de contacto del fabricante, allí donde aparezcan.
• La información sobre la fecha de fin de soporte mostrada en el punto de venta.

Puede ser multilingüe:

• La etiqueta del producto y el marcado CE.
• El texto del embalaje.
• La documentación en línea, siempre que se pueda acceder a una versión en italiano.

El inglés es normalmente aceptado para:

• La documentación técnica interna. ACN puede solicitar una traducción al italiano mediante solicitud motivada, así que prevé esa contingencia.

La Declaración de Conformidad de la UE puede redactarse en cualquier lengua oficial de la UE, pero hay que prever que se solicite una traducción al italiano durante cualquier inspección de ACN. El alemán en el Tirol del Sur, el francés en el Valle de Aosta y el esloveno en la zona fronteriza de Friuli Venezia Giulia son cooficiales bajo sus estatutos regionales pero no los exige la Legge sulla ciberresilienza. Los contratos de contratación regional o los reguladores sectoriales pueden añadir sus propias cláusulas lingüísticas, con independencia del CRA.

Venta transfronteriza desde Italia

Los fabricantes italianos que venden en Alemania, Francia, España u otro Estado miembro de la UE se rigen por la misma regla de enrutamiento único: las notificaciones siguen yendo a CSIRT Italia, porque el enrutamiento sigue al establecimiento principal, no al destino de cada envío. No presentas notificaciones al CSIRT alemán, francés o español.

La obligación lingüística sí se extiende mercado a mercado. Un producto enviado al mercado francés necesita contenido al usuario en francés. Uno enviado al mercado alemán necesita contenido en alemán. El paquete en italiano no cubre esos mercados.

La autoridad de vigilancia de mercado de cada Estado miembro receptor también puede solicitar la documentación técnica en una lengua comprensible para esa autoridad. Si tu distribución abarca ampliamente la UE, espera solicitudes en al menos una lengua de trabajo habitual y considera la traducción anticipada de las secciones más demandadas como medida de precaución práctica.

Programas nacionales de financiación

El panorama de financiación en 2026 cuenta con SECURE, líneas regionales sectoriales y las ventanas de cierre de Transizione 5.0 y PNRR. Verifica qué sigue abierto y es técnicamente admisible antes de incluir partidas contra estos programas.

• Piano Transizione 5.0 es un programa de crédito fiscal administrado por MIMIT, con una dotación global de 6.300 millones de euros, ligado a la transformación digital y energética admisible de procesos productivos. Para la planificación de 2026, verifica el estado residual y la admisibilidad técnica antes de apoyarte en él; no lo trates como un fondo nuevo y abierto de ciberseguridad o cumplimiento. Las herramientas SBOM, plataformas de gestión de vulnerabilidades e infraestructura de seguridad por diseño solo encajan cuando el trabajo de ciberseguridad forma parte de una transformación admisible del proceso productivo.
• SECURE (Strengthening EU SMEs Cyber Resilience) es un proyecto de la UE diseñado para apoyar a las PYMES en la implementación del CRA. Presupuesto total de 22 millones de euros, de los cuales 16,5 millones son apoyo financiero directo. ACN es el socio italiano en un consorcio de 7 países. La primera convocatoria se desarrolló del 28 de enero al 29 de marzo de 2026 con un máximo de 30.000 euros por proyecto. Fabricantes, importadores, distribuidores y desarrolladores son elegibles. Sigue las comunicaciones de ACN para la siguiente convocatoria.
• PNRR (Piano Nazionale di Ripresa e Resilienza) está en su ventana de cierre. Todos los proyectos NextGenerationEU deben ejecutarse antes del 31 de agosto de 2026, con solicitudes de pago final el 30 de septiembre de 2026. El PNRR no es un instrumento viable para el plazo del 11 de diciembre de 2027.
• Los vales regionales de digitalización de las cámaras de comercio siguen operativos en 2026, con topes de entre 20.000 y 30.000 euros por beneficiario. Útiles para un diagnóstico inicial, no para el programa completo.

Para la inversión referida al plazo del 11 de diciembre de 2027, el panorama realista es SECURE (y programas europeos de seguimiento para PYMES), incentivos residuales o sucesores tipo Transizione 5.0 cuando sean técnicamente admisibles para transformación productiva, y líneas regionales sectoriales.

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica de cumplimiento del CRA, consulta con asesoría legal cualificada.