CRA per i fabbricanti francesi: ANSSI, ANFR e marcatura CE

I fabbricanti francesi sono soggetti agli stessi obblighi della Legge sulla ciberresilienza di qualsiasi altro fabbricante dell'UE. Questa pagina è un country brief per la Francia: come le segnalazioni di vulnerabilità e incidenti transitano attraverso CERT-FR (il CSIRT operativo di ANSSI), come gli organismi di valutazione della conformità dovrebbero essere designati secondo la ripartizione istituzionale francese (ANSSI notifica, COFRAC accredita), perché ANFR è il candidato principale per la vigilanza del mercato CRA in attesa dello strumento formale nel Journal Officiel (ruolo spesso erroneamente attribuito alla DGCCRF), cosa richiedono concretamente gli obblighi di lingua francese, e quali linee Bpifrance e France 2030 sono aperte per gli investimenti di conformità. Per il quadro completo degli obblighi del fabbricante, si consulti la guida cluster del fabbricante.

A chi si applica questa guida

Il lettore di riferimento è il fabbricante il cui «stabilimento principale nell'Unione» si trova in Francia. Questo significa il luogo in cui vengono prevalentemente adottate le decisioni relative alla cibersicurezza dei prodotti con elementi digitali. Una filiale commerciale registrata in Francia con ingegneria all'estero non è lo stabilimento principale. Se il team tecnico, la governance del ciclo di sviluppo del software e le persone che approvano i rilasci degli aggiornamenti di sicurezza si trovano in Francia, questa guida è rivolta a Lei.

Se lo stabilimento principale si trova altrove nell'UE e si effettuano forniture solo nel mercato francese, le segnalazioni CRA transitano attraverso il CSIRT dello Stato membro di stabilimento principale, non attraverso CERT-FR. L'obbligo di lingua francese per le informazioni rivolte agli utenti si applica comunque per qualsiasi prodotto immesso sul mercato francese.

ANSSI e CERT-FR: il percorso CSIRT francese

Le notifiche CRA transitano attraverso il CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha il proprio stabilimento principale nell'Unione. Per un fabbricante il cui stabilimento principale è in Francia, tale CSIRT è CERT-FR, il braccio operativo di ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI è collegata al SGDSN e gestisce gli schemi nazionali di certificazione (CSPN, Visa de Sécurité) e i centri di valutazione accreditati (CESTI). CERT-FR pubblica avvisi di vulnerabilità in lingua francese e gestisce il flusso nazionale di coordinamento delle vulnerabilità.

Contatti CERT-FR: sito web https://www.cert.ssi.gouv.fr, email cert-fr@ssi.gouv.fr. ANSSI: https://www.ssi.gouv.fr.

Il canale tecnico per la cadenza di segnalazione 24h / 72h / 14 giorni è la piattaforma unica di segnalazione ENISA, operativa dall'11 settembre 2026. Un fabbricante francese trasmette tramite quella piattaforma con CERT-FR come coordinatore ricevente. La designazione del CSIRT definisce l'instradamento. La piattaforma è il mezzo di trasmissione.

Organismi notificati: ANSSI notifica, COFRAC accredita

I prodotti di Classe I Importante necessitano di un organismo notificato (Modulo B+C o Modulo H) solo quando norme armonizzate, specifiche comuni o uno schema di certificazione non coprono integralmente i requisiti del prodotto. I prodotti di Classe II Importante utilizzano un organismo notificato (Modulo B+C o Modulo H) oppure uno schema di certificazione disponibile e applicabile. I prodotti Critici (Allegato IV) seguono l'Articolo 32(4): il percorso di certificazione ai sensi dell'Articolo 8(1) quando la Commissione lo ha attivato, altrimenti gli stessi percorsi dell'Articolo 32(3).

La ripartizione istituzionale francese è la seguente:

• ANSSI agisce come autorità di notifica che designa formalmente gli organismi notificati francesi alla Commissione europea nell'ambito della Legge sulla ciberresilienza. ANSSI valuta, controlla e notifica gli organismi di valutazione della conformità.
• COFRAC (Comité français d'accréditation) è l'organismo nazionale francese di accreditamento e valuta la competenza tecnica di un candidato prima che ANSSI lo notifichi.

Il quadro della Legge sulla ciberresilienza per gli organismi notificati si applica dall'11 giugno 2026, con la fase di accreditamento e notifica di ANSSI che va da giugno a dicembre 2026. A fine maggio 2026 non risulta alcun organismo notificato designato a livello UE nell'ambito della Legge sulla ciberresilienza, e la designazione nazionale formale francese resta in attesa nel Journal Officiel. La catena è in fase di costituzione.

Un fabbricante francese può utilizzare qualsiasi organismo notificato UE, non solo quelli designati in Francia. Scegliere un organismo designato in Francia (LNE, LCIE Bureau Veritas, SGS France e altri organismi storicamente accreditati) è una preferenza di approvvigionamento, non un requisito della Legge sulla ciberresilienza. Le designazioni CRA definitive sono pubblicate nel database NANDO della Commissione europea.

ANFR: l'autorità di vigilanza del mercato CRA

La vigilanza del mercato CRA per i prodotti con elementi digitali immessi sul mercato francese dovrebbe essere affidata ad ANFR (Agence nationale des fréquences), non alla DGCCRF. ANSSI conferma questa direzione istituzionale sulla sua pagina CRA ufficiale su cyber.gouv.fr, e ANSSI stessa fornisce supporto tecnico ad ANFR nel quadro della vigilanza del mercato. Si verifichi la designazione definitiva nel Journal Officiel prima di qualsiasi deposito formale.

La via di attuazione francese attribuirebbe ad ANFR poteri sanzionatori fino a 15 milioni di euro o al 2,5% del fatturato annuo globale per le violazioni più gravi della Legge sulla ciberresilienza, nei limiti dell'UE previsti dal Regolamento.

La DGCCRF mantiene il suo ruolo generale di ispettore per la sicurezza dei prodotti di consumo e continuerà a individuare merci non conformi alla frontiera o nel commercio al dettaglio, ma il ruolo atteso di autorità di vigilanza del mercato CRA per i prodotti digitali spetta ad ANFR. Si pianifichi verso ANFR, verificando il testo finale del JO prima di qualsiasi deposito formale.

Obblighi di lingua francese in pratica

La Legge sulla ciberresilienza richiede che le informazioni rivolte agli utenti del prodotto siano in una lingua facilmente comprensibile dagli utenti e dall'autorità di vigilanza del mercato locale. Per i prodotti immessi sul mercato francese, tale lingua è il francese. La Loi Toubon (loi n° 94-665) impone indipendentemente il francese in tutte le informazioni al consumatore, perciò l'obbligo della Legge sulla ciberresilienza si allinea a una norma nazionale consolidata.

Deve essere in francese:

• Le istruzioni per l'utente e le informazioni sul prodotto che accompagnano il prodotto.
• I dettagli di contatto del fabbricante (nome, indirizzo, email o altro contatto digitale) ovunque compaiano, inclusi il prodotto stesso, la confezione o il documento allegato.
• La comunicazione della data di fine supporto mostrata al punto di vendita.

Può essere multilingue:

• L'etichetta del prodotto e la marcatura CE.
• Il testo dell'imballaggio.
• La documentazione online, a condizione che sia accessibile una versione in francese.

L'inglese è normalmente accettato per:

• La documentazione tecnica interna. ANFR o qualsiasi altra autorità di vigilanza del mercato di uno Stato membro può richiedere una traduzione in francese con una richiesta motivata, quindi conviene pianificare per questa eventualità anche senza tradurre in via preventiva.

La dichiarazione UE di conformità deve essere messa a disposizione nelle lingue richieste dallo Stato membro in cui il prodotto è immesso o reso disponibile sul mercato. Per la Francia, si pianifichi una versione francese invece di trattare la traduzione come una mera eventualità ispettiva.

Vendite transfrontaliere dalla Francia

I fabbricanti francesi che vendono in Belgio, Spagna, Germania, Italia o qualsiasi altro Stato membro UE sono soggetti alla stessa regola di instradamento unico: le segnalazioni transitano ancora attraverso CERT-FR, perché l'instradamento segue lo stabilimento principale, non la destinazione di ciascuna spedizione. Non si notifica al CSIRT belga, spagnolo, tedesco o italiano.

L'obbligo linguistico si ramifica invece per mercato. Un prodotto spedito nel mercato spagnolo richiede contenuti rivolti agli utenti in spagnolo. Un prodotto spedito nel mercato tedesco richiede contenuti in tedesco. Il pacchetto in lingua francese non copre quei mercati.

L'autorità di vigilanza del mercato di ciascuno Stato membro ricevente può inoltre richiedere la documentazione tecnica in una lingua facilmente comprensibile da quell'autorità. Se la distribuzione si estende a più paesi UE, ci si aspetti richieste in almeno una lingua di lavoro ampiamente diffusa, e si consideri la traduzione anticipata delle sezioni di documentazione tecnica più richieste come una misura pratica preventiva.

Programmi nazionali di finanziamento

A differenza del Plan de Recuperación spagnolo che sta chiudendo la finestra NextGenEU nel 2026, i programmi nazionali francesi per gli investimenti in cybersicurezza restano aperti e attivi nel 2026 e oltre.

• Bpifrance gestisce il Diagnostic Cybersécurité (un audit di cybersicurezza sovvenzionato per le PMI) e il programma Cyber PME. La Fase B di Cyber PME ha accettato domande fino al 26 novembre 2025 per le aziende con data di presentazione del piano di sicurezza successiva al 1° gennaio 2024. La Fase A e i bandi successivi continuano a essere pubblicati.
• France 2030 è il piano nazionale di investimento con bandi specifici per la cybersicurezza gestiti congiuntamente dal Secrétariat général pour l'investissement (SGPI), Bpifrance e ANSSI. I bandi per lo sviluppo di prodotti di cybersicurezza sono cofinanziati con il Digital Europe Programme dell'UE, con bandi recenti che offrono fino a 2 milioni di euro di supporto combinato. La R&S sulla sicurezza guidata dalla Legge sulla ciberresilienza rientra dove l'angolazione riguarda una reale innovazione di prodotto.
• France Num offre voucher diagnostici regionali gestiti tramite le camere di commercio e industria. Utile per un Plan de Cybersécurité iniziale, ma non per l'investimento completo in strumenti CRA.
• Prêt Innovation e l'Aide pour le développement de l'innovation sono linee di prestito e contributo Bpifrance che possono finanziare strumenti SBOM, lo sviluppo di capacità di gestione delle vulnerabilità e i costi di valutazione della conformità, dove il lavoro di cybersicurezza abbia una reale componente di innovazione.

Le finestre di ammissibilità e i tetti di budget cambiano annualmente. Si verifichi la convocazione corrente prima di pianificare qualsiasi voce su questi programmi.

Questo articolo è fornito a solo scopo informativo e non costituisce consulenza legale. Per una guida specifica sulla conformità CRA, si consulti un consulente legale qualificato.