CRA pour les fabricants italiens : ACN, ACCREDIA, Legge 36/2026

Les fabricants italiens sont soumis aux mêmes obligations du Legge sulla ciberresilienza que n'importe quel autre fabricant de l'Union européenne. Cette page est une note pays consacrée à l'Italie : le routage des notifications de vulnérabilités et d'incidents via CSIRT Italia, le positionnement d'ACN comme autorité de notification et autorité de surveillance du marché au titre de la Legge 36/2026, le rôle d'ACCREDIA comme étape d'accréditation, la façon dont OCSI s'inscrit dans le dispositif européen EUCC, les obligations linguistiques en italien, et les lignes de financement Transizione 5.0, PNRR et SECURE réalistes pour un investissement de mise en conformité. Pour l'ensemble des obligations applicables au fabricant, consultez le guide cluster fabricant.

Quand ce guide s'applique-t-il à vous ?

Vous êtes le lecteur cible si l'établissement principal du fabricant dans l'Union se trouve en Italie. Cela désigne le lieu où les décisions relatives à la cybersécurité de vos produits comportant des éléments numériques sont principalement prises. Une filiale commerciale enregistrée en Italie dont l'ingénierie est délocalisée ailleurs ne constitue pas l'établissement principal. Si votre équipe d'ingénierie, votre gouvernance du cycle de développement logiciel (SDLC) et les personnes qui approuvent les publications de mises à jour de sécurité sont en Italie, ce guide vous est destiné.

Si votre établissement principal se trouve ailleurs dans l'UE et que vous expédiez simplement vers l'Italie, vos notifications CRA transitent par le CSIRT de l'État membre où se trouve votre établissement principal, et non par CSIRT Italia. L'obligation linguistique italienne pour les informations destinées aux utilisateurs s'applique néanmoins pour tout produit mis sur le marché italien.

ACN et CSIRT Italia : la voie CSIRT italienne

Les notifications CRA transitent par le CSIRT désigné coordonnateur de l'État membre où le fabricant a son établissement principal dans l'Union. Pour un fabricant dont l'établissement principal est en Italie, ce CSIRT est CSIRT Italia, le CSIRT national opéré au sein d'ACN.

ACN, institué par le Decreto-Law 82/2021 (converti par la Law 109/2021), est l'autorité nationale italienne de cybersécurité. Elle rend compte à la Présidence du Conseil des ministres et constitue le point de référence national unique pour la politique de cybersécurité, la certification et la réglementation. CSIRT Italia publie des avis de vulnérabilité en italien et opère le flux de réponse aux incidents sur les produits grand public.

Le canal technique pour la cadence de signalement 24h/72h/14j est la plateforme unique de signalement de l'ENISA, qui devient opérationnelle le 11 septembre 2026. Un fabricant italien dépose via cette plateforme avec CSIRT Italia comme coordonnateur récepteur. La désignation du CSIRT définit le routage. La plateforme est le canal de transmission.

Organismes notifiés : ACN notifie, ACCREDIA accrédite

Les produits Important Classe I nécessitent un organisme notifié (Module B+C ou Module H) uniquement lorsque les normes harmonisées, spécifications communes, ou un schéma de certification ne les couvrent pas intégralement. Les produits Important Classe II utilisent un organisme notifié (Module B+C ou Module H) ou un schéma de certification disponible et applicable. Les produits Critiques (Annexe IV) suivent l’Article 32(4) : la voie de certification de l’Article 8(1) si la Commission l’a activée, sinon les mêmes voies tierces de l’Article 32(3).

Le dispositif institutionnel italien est le suivant :

• ACN est l'autorité de notification qui désigne formellement les organismes notifiés italiens auprès de la Commission européenne, fondée sur la Legge 36/2026 et mise en oeuvre par le decreto legislativo d'application.
• ACCREDIA (Ente Italiano di Accreditamento) est l'organisme national d'accréditation italien et évalue la compétence technique d'un candidat selon la norme ISO/IEC 17065:2012. L'accréditation est décrite par ACCREDIA comme l'outil privilégié pour attester la compétence et l'indépendance, sans pour autant être une condition préalable strictement obligatoire à la notification au titre du Legge sulla ciberresilienza.

Le cadre du Legge sulla ciberresilienza pour les organismes notifiés s'applique à compter du 11 juin 2026, date à partir de laquelle les organismes désignés peuvent commencer à délivrer des certificats d'évaluation de la conformité CRA. Parmi les candidats italiens disposant d'une expertise pertinente en certification produit figurent IMQ, RINA Services, Bureau Veritas Italia et TÜV Italia. Les désignations CRA définitives sont publiées dans la base NANDO de la Commission européenne. Un fabricant italien peut faire appel à n'importe quel organisme notifié de l'Union, pas uniquement à un organisme désigné en Italie.

ACN : l'autorité de surveillance du marché au titre du CRA

À la différence de l'Espagne (où le ministère assure la surveillance du marché) et de la France (où l'ANFR remplit ce rôle), l'Italie consolide la notification et la surveillance du marché au sein d'ACN. La Legge 36/2026 identifie ACN comme l'autorité de vigilance du marché au titre de l'article 52 du CRA, en sus de son rôle de notification au titre de l'article 36.

Toute interaction formelle avec le CRA de la part d'un fabricant italien transite par ACN comme interlocuteur unique : demandes motivées de documentation technique, demandes de traduction de documents, inspections sur site et avis de cessation d'activité. Le Codice del Consumo (Decreto Legislativo 206/2005) régit la sécurité générale des produits de consommation en Italie via le Ministero delle Imprese e del Made in Italy (MIMIT) et AGCM, mais l'autorité formelle de surveillance du marché CRA pour les produits comportant des éléments numériques est ACN.

Les sanctions relèvent des plafonds fixés au niveau de l'UE par le Legge sulla ciberresilienza (jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour les infractions les plus graves). Le decreto legislativo d'application italien est attendu pour fixer l'échelle des amendes italienne dans ces plafonds.

OCSI et le dispositif européen EUCC

L'Organismo di Certificazione della Sicurezza Informatica (OCSI) est l'organisme de certification des Critères Communs d'Italie, hébergé au sein d'ACN depuis le 1er juillet 2022 (transféré de l'ancien ministère du Développement économique). OCSI est accrédité par ACCREDIA selon la norme UNI CEI EN ISO/IEC 17065:2012 pour opérer dans le cadre du dispositif EUCC adopté en vertu du règlement UE 2019/881.

Le schéma national hérité d'OCSI a cessé son activité le 26 février 2026 et OCSI opère désormais exclusivement sous le dispositif EUCC. Selon l'article 27 du CRA, les schémas européens de certification de cybersécurité peuvent soutenir une présomption de conformité pour les exigences couvertes lorsque la Commission précise le schéma par acte délégué. Tant que la voie EUCC n'est pas précisée aux fins du CRA, traitez un certificat EUCC délivré par OCSI comme une preuve solide pour le périmètre couvert, et non comme un raccourci autonome déjà opérant.

Les exigences linguistiques en italien dans la pratique

Le Legge sulla ciberresilienza exige que les informations produit destinées aux utilisateurs soient rédigées dans une langue aisément compréhensible par les utilisateurs et l'autorité de surveillance du marché locale. Pour les produits mis sur le marché italien, cette langue est l'italien. Le Codice del Consumo impose indépendamment l'italiano dans les informations des produits de consommation, de sorte que l'obligation du Legge sulla ciberresilienza s'aligne sur une règle nationale de longue date.

Obligatoire en italien :

• Les instructions d'utilisation et les informations produit livrées avec le produit.
• Les coordonnées du fabricant, où qu'elles apparaissent.
• La mention de la date de fin de support affichée au point de vente.

Peut être multilingue :

• L'étiquette produit et le marquage CE.
• Les textes d'emballage.
• La documentation en ligne, à condition qu'une version en italien soit accessible.

L'anglais est généralement accepté pour :

• La documentation technique interne. ACN peut demander une traduction italienne sur demande motivée, pensez donc à prévoir cette éventualité.

La déclaration UE de conformité peut être rédigée dans n'importe quelle langue officielle de l'Union, mais attendez-vous à une demande de traduction italienne lors de toute inspection ACN. L'allemand dans le Tyrol du Sud, le français dans la Vallée d'Aoste et le slovène dans la zone frontalière du Frioul-Vénétie Julienne sont co-officiels en vertu de leurs statuts régionaux mais ne sont pas imposés par le Legge sulla ciberresilienza. Les marchés publics régionaux ou les régulateurs sectoriels peuvent ajouter leurs propres clauses linguistiques, distinctement du Legge sulla ciberresilienza.

Ventes transfrontalières depuis l'Italie

Les fabricants italiens qui vendent en Allemagne, en France, en Espagne ou dans tout autre État membre de l'UE restent soumis à la règle de routage unique : vos notifications transitent toujours par CSIRT Italia, car le routage suit l'établissement principal, non la destination de chaque expédition. Vous n'effectuez pas de déclaration auprès du CSIRT allemand, français ou espagnol.

L'obligation linguistique, elle, se décline par marché. Un produit expédié sur le marché français nécessite un contenu destiné aux utilisateurs en français. Un produit expédié sur le marché allemand nécessite un contenu en allemand. Le pack en langue italienne ne couvre pas ces marchés.

L'autorité de surveillance du marché de chaque État membre récepteur peut également demander votre documentation technique dans une langue aisément compréhensible par cette autorité. Si votre approvisionnement couvre largement l'UE, prévoyez des demandes dans au moins une langue de travail couramment utilisée, et traitez la traduction anticipée des sections de documentation technique les plus demandées comme une précaution pratique.

Programmes de financement nationaux

Le paysage de financement pour les fabricants italiens qui planifient un investissement CRA en 2026 comprend SECURE, des lignes régionales sectorielles et les fenêtres de clôture de Transizione 5.0 et du PNRR. Vérifiez précisément ce qui reste ouvert et techniquement admissible avant d'inscrire une ligne budgétaire contre ces programmes.

• Piano Transizione 5.0 est un programme de crédit d'impôt administré par MIMIT, doté d'une enveloppe globale de 6,3 milliards d'euros, lié à la transformation numérique et énergétique admissible des processus de production. Pour la planification 2026, vérifiez le statut résiduel et l'admissibilité technique avant de vous y appuyer ; ne le traitez pas comme un nouveau fonds ouvert de cybersécurité ou de conformité. L'outillage SBOM piloté par le CRA, les plateformes de gestion des vulnérabilités et les infrastructures de sécurité dès la conception n'entrent dans le cadre que lorsque le travail de cybersécurité fait partie d'une transformation admissible du processus de production.
• SECURE (Strengthening EU SMEs Cyber Resilience) est un nouveau projet cofinancé par l'UE spécifiquement conçu pour soutenir la mise en oeuvre du CRA par les PME. Budget total d'environ 22 millions d'euros, dont 16,5 millions d'euros de soutien financier direct aux PME. ACN est le partenaire italien d'un consortium de 7 pays. Le premier appel s'est déroulé du 28 janvier au 29 mars 2026 avec un plafond de 30 000 euros par projet. Fabricants, importateurs, distributeurs et développeurs de logiciels sont tous éligibles. Suivez le flux d'annonces de l'ACN pour le prochain appel.
• PNRR (Piano Nazionale di Ripresa e Resilienza) est dans sa fenêtre de clôture. Tous les projets financés par NextGenerationEU doivent être exécutés d'ici le 31 août 2026, les demandes de paiement final de l'Italie étant dues d'ici le 30 septembre 2026. Le PNRR n'est donc pas un véhicule de planification viable pour l'échéance de conformité CRA du 11 décembre 2027.
• Les bons régionaux de numérisation gérés par les chambres de commerce restent opérationnels en 2026, généralement plafonnés entre 20 000 et 30 000 euros par bénéficiaire. Utiles pour un premier diagnostic, insuffisants pour un programme CRA complet.

Pour un investissement de mise en conformité calé sur l'échéance obligatoire du 11 décembre 2027, le paysage de financement public réaliste en Italie est SECURE (et les programmes UE PME de suivi), les incitations résiduelles ou successeurs de type Transizione 5.0 lorsqu'elles sont techniquement admissibles pour la transformation productive, ainsi que les lignes régionales sectorielles.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Pour des conseils de conformité CRA spécifiques, consultez un conseiller juridique qualifié.