CRA per i fabbricanti italiani: ACN, ACCREDIA, Legge 36/2026

I fabbricanti italiani sono soggetti agli stessi obblighi della Legge sulla ciberresilienza di qualsiasi altro fabbricante UE. Questa pagina è un country brief per l'Italia: come le segnalazioni di vulnerabilità e incidenti transitano attraverso CSIRT Italia, come ACN si posiziona sia come autorità di notifica sia come autorità di vigilanza del mercato sotto la Legge 36/2026, dove si colloca ACCREDIA come fase di accreditamento, come OCSI alimenta lo schema europeo EUCC, gli obblighi linguistici in italiano, e quali linee di finanziamento tra Transizione 5.0, PNRR e SECURE sono realistiche per gli investimenti di conformità. Per il quadro completo degli obblighi del fabbricante, si consulti la guida cluster del fabbricante.

Quando questa guida si applica

Il lettore di riferimento è il fabbricante il cui «stabilimento principale nell'Unione» si trova in Italia. Si tratta del luogo dove vengono prese in via prevalente le decisioni relative alla cibersicurezza dei propri prodotti con elementi digitali. Una filiale commerciale italiana con l'ingegneria all'estero non costituisce lo stabilimento principale. Se il team di ingegneria, la governance dello SDLC e le persone che approvano i rilasci degli aggiornamenti di sicurezza si trovano in Italia, questa guida è destinata a Lei.

Se lo stabilimento principale si trova altrove nell'UE e il fabbricante distribuisce solo in Italia, le segnalazioni CRA transitano attraverso il CSIRT dello Stato membro dello stabilimento principale, non CSIRT Italia. L'obbligo linguistico in italiano per le informazioni destinate all'utente si applica comunque a qualsiasi prodotto immesso sul mercato italiano.

ACN e CSIRT Italia: il percorso CSIRT italiano

Le segnalazioni CRA transitano attraverso il CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha il proprio stabilimento principale nell'Unione. Per un fabbricante con stabilimento principale in Italia, quel CSIRT è CSIRT Italia, il CSIRT nazionale gestito all'interno di ACN.

ACN, istituita con il decreto legge 82/2021 (convertito dalla legge 109/2021), è l'autorità nazionale italiana per la cibersicurezza. Riporta alla Presidenza del Consiglio dei Ministri e funge da unico punto di riferimento nazionale per la politica, la certificazione e la regolamentazione in materia di cibersicurezza. CSIRT Italia pubblica avvisi di vulnerabilità in lingua italiana e gestisce il flusso di risposta agli incidenti relativi ai prodotti di consumo.

Il canale tecnico per la cadenza di segnalazione nelle 24 ore, 72 ore e 14 giorni è la piattaforma unica di segnalazione ENISA, che diventa operativa l'11 settembre 2026. Un fabbricante italiano trasmette tramite quella piattaforma con CSIRT Italia come coordinatore ricevente. La designazione del CSIRT definisce l'instradamento. La piattaforma è il mezzo di trasmissione.

Organismi notificati: ACN notifica, ACCREDIA accredita

I prodotti di classe Importante I necessitano di un organismo notificato (Modulo B+C o Modulo H) solo quando norme armonizzate, specifiche comuni o uno schema di certificazione non coprono integralmente i requisiti del prodotto. I prodotti di classe Importante II utilizzano un organismo notificato (Modulo B+C o Modulo H) oppure uno schema di certificazione disponibile e applicabile. I prodotti Critici (Allegato IV) seguono l'Articolo 32(4): il percorso di certificazione ai sensi dell'Articolo 8(1) quando la Commissione lo ha attivato, altrimenti gli stessi percorsi dell'Articolo 32(3).

La ripartizione istituzionale italiana è la seguente:

• ACN è l'autorità di notifica che designa formalmente gli organismi notificati italiani presso la Commissione europea, come previsto dalla Legge 36/2026 e dal decreto legislativo di attuazione.
• ACCREDIA (Ente Italiano di Accreditamento) è l'organismo nazionale di accreditamento italiano e valuta la competenza tecnica del candidato secondo ISO/IEC 17065:2012. L'accreditamento è descritto da ACCREDIA come lo strumento preferito per attestare competenza e indipendenza, sebbene non costituisca un prerequisito strettamente obbligatorio per la notifica secondo la Legge sulla ciberresilienza.

Il quadro CRA per gli organismi notificati si applica dall'11 giugno 2026, data dalla quale gli organismi designati possono iniziare a rilasciare certificati di valutazione della conformità CRA. I candidati italiani con competenze rilevanti in certificazione di prodotto includono IMQ, RINA Services, Bureau Veritas Italia e TÜV Italia. Le designazioni CRA definitive sono pubblicate nel database NANDO della Commissione europea. Un fabbricante italiano può avvalersi di qualsiasi organismo notificato nell'UE, non solo di quelli designati in Italia.

ACN: l'autorità di vigilanza del mercato CRA

A differenza della Spagna (dove il ministero svolge la vigilanza del mercato) e della Francia (dove ANFR ne ha la responsabilità), l'Italia consolida sia la notifica sia la vigilanza del mercato all'interno di ACN. La Legge 36/2026 identifica ACN come autorità di vigilanza del mercato ai sensi dell'Articolo 52 del CRA, accanto al suo ruolo di autorità di notifica ai sensi dell'Articolo 36.

Ogni interazione formale CRA di un fabbricante italiano transita attraverso ACN come interlocutore unico: richieste motivate di documentazione tecnica, richieste sulla lingua dei documenti, ispezioni in loco e comunicazione di cessazione dell'attività. Il Codice del Consumo (Decreto Legislativo 206/2005) disciplina la sicurezza generale dei prodotti di consumo in Italia attraverso il Ministero delle Imprese e del Made in Italy (MIMIT) e AGCM, ma la formale autorità di vigilanza del mercato CRA per i prodotti con elementi digitali è ACN.

Le sanzioni rientrano nei massimali europei del CRA (fino a 15 milioni di euro o il 2,5% del fatturato annuo globale per le infrazioni più gravi). Il decreto legislativo di attuazione italiano è atteso per definire la scala delle sanzioni nazionali entro questi massimali.

OCSI e lo schema europeo EUCC

L'Organismo di Certificazione della Sicurezza Informatica (OCSI) è l'organismo italiano di certificazione Common Criteria, ospitato all'interno di ACN dal 1° luglio 2022 (trasferito dall'ex Ministero dello Sviluppo Economico). OCSI è accreditato da ACCREDIA secondo UNI CEI EN ISO/IEC 17065:2012 per operare nell'ambito dello schema EUCC adottato ai sensi del Regolamento UE 2019/881.

Lo schema nazionale legacy di OCSI ha cessato l'attività il 26 febbraio 2026 e OCSI opera ora esclusivamente nell'ambito dell'EUCC. L'Articolo 27 del CRA prevede che gli schemi europei di certificazione della cibersicurezza possano sostenere una presunzione di conformità per i requisiti coperti quando la Commissione specifica lo schema con un atto delegato. Finché il percorso EUCC non viene specificato per finalità CRA, un certificato EUCC rilasciato da OCSI va trattato come evidenza solida per l'ambito coperto, non come scorciatoia autonoma già operativa.

Obblighi linguistici in italiano: la pratica

La Legge sulla ciberresilienza impone che le informazioni destinate all'utente siano redatte in una lingua facilmente comprensibile dagli utenti e dall'autorità di vigilanza del mercato locale. Per i prodotti immessi sul mercato italiano, tale lingua è l'italiano. Il Codice del Consumo richiede autonomamente l'italiano nelle informazioni sui prodotti di consumo, per cui l'obbligo CRA si allinea a una regola nazionale consolidata.

Deve essere in italiano:

• Le istruzioni per l'utente e le informazioni sul prodotto che accompagnano il prodotto.
• I recapiti del fabbricante, ovunque siano indicati.
• La comunicazione della data di fine supporto al punto di acquisto.

Può essere multilingue:

• L'etichetta del prodotto e la marcatura CE.
• Il testo degli imballaggi.
• La documentazione online, purché sia raggiungibile una versione italiana.

L'inglese è normalmente accettato per:

• La documentazione tecnica interna. ACN può richiedere una traduzione italiana su richiesta motivata, per cui è opportuno pianificare questa eventualità.

La dichiarazione UE di conformità può essere redatta in qualsiasi lingua ufficiale dell'UE, ma è ragionevole attendersi una richiesta di traduzione italiana in occasione di un'ispezione ACN. Il tedesco in Alto Adige, il francese in Valle d'Aosta e lo sloveno nella zona di confine del Friuli Venezia Giulia sono co-ufficiali in forza dei rispettivi statuti regionali, ma non imposti dalla Legge sulla ciberresilienza. I contratti di appalto regionale o i regolatori di settore possono aggiungere clausole linguistiche proprie, separatamente dalla Legge sulla ciberresilienza.

Vendere dall'Italia verso altri Stati membri

I fabbricanti italiani che vendono in Germania, Francia, Spagna o in qualsiasi altro Stato membro dell'UE seguono la stessa regola di instradamento unico: le segnalazioni continuano a transitare attraverso CSIRT Italia, poiché l'instradamento segue lo stabilimento principale, non la destinazione della singola spedizione. Non si notifica al CSIRT tedesco, francese o spagnolo.

L'obbligo linguistico si distribuisce invece per mercato. Un prodotto spedito nel mercato francese richiede contenuti destinati all'utente in francese. Un prodotto spedito nel mercato tedesco richiede contenuti in tedesco. La sola versione in lingua italiana non copre quei mercati.

L'autorità di vigilanza del mercato di ogni Stato membro ricevente può inoltre richiedere la documentazione tecnica in una lingua facilmente comprensibile per quell'autorità. Se la distribuzione si estende a più paesi dell'UE, è realistico attendersi richieste in almeno una lingua di lavoro ampiamente diffusa: tradurre anticipatamente le sezioni di documentazione tecnica più richieste è una misura prudente.

Programmi nazionali di finanziamento

Il quadro dei finanziamenti disponibili per i fabbricanti italiani che pianificano investimenti CRA nel 2026 comprende SECURE, linee regionali settoriali e le finestre di chiusura di Transizione 5.0 e PNRR. Prima di inserire una voce nel piano di investimento, verificare cosa è ancora aperto e tecnicamente ammissibile.

• Piano Transizione 5.0 è un programma di credito d'imposta amministrato da MIMIT, con un plafond complessivo di 6,3 miliardi di euro, legato alla trasformazione digitale ed energetica ammissibile dei processi produttivi. Per la pianificazione 2026, occorre verificare lo stato residuo e l'ammissibilità tecnica prima di farvi affidamento; non va trattato come un nuovo fondo aperto per cibersicurezza o conformità. Gli strumenti SBOM, le piattaforme di gestione delle vulnerabilità e l'infrastruttura security-by-design rientrano solo laddove il lavoro di cibersicurezza costituisca parte di una trasformazione ammissibile del processo produttivo.
• SECURE (Strengthening EU SMEs Cyber Resilience) è un nuovo progetto finanziato dall'UE espressamente pensato per supportare le PMI nell'attuazione della Legge sulla ciberresilienza. Bilancio complessivo di circa 22 milioni di euro, di cui 16,5 milioni di euro in supporto finanziario diretto alle PMI. ACN è il partner italiano in un consorzio di 7 paesi. Il primo bando si è svolto dal 28 gennaio al 29 marzo 2026, con un massimo di 30.000 euro per progetto. Fabbricanti, importatori, distributori e sviluppatori di software sono tutti ammissibili. Si monitorizzi il flusso di annunci ACN per il prossimo bando.
• PNRR (Piano Nazionale di Ripresa e Resilienza) è nella sua finestra di chiusura. Tutti i progetti finanziati da NextGenerationEU devono essere eseguiti entro il 31 agosto 2026, con le richieste di pagamento finale dell'Italia entro il 30 settembre 2026. Il PNRR non è quindi un veicolo di pianificazione praticabile per la scadenza di conformità CRA dell'11 dicembre 2027.
• I voucher regionali per la digitalizzazione gestiti dalle camere di commercio restano operativi nel 2026, tipicamente con un massimale compreso tra 20.000 e 30.000 euro per beneficiario. Utili per una diagnosi iniziale, non per un programma CRA completo.

Per gli investimenti di conformità rapportati alla scadenza dell'obbligo dell'11 dicembre 2027, il quadro realistico dei finanziamenti pubblici in Italia comprende SECURE (e i successivi programmi UE per le PMI), eventuali incentivi residui o successori di tipo Transizione 5.0 quando tecnicamente ammissibili per la trasformazione produttiva, e le linee regionali settoriali.

Questo articolo è fornito a solo scopo informativo e non costituisce consulenza legale. Per una guida specifica sulla conformità CRA, consultare un consulente legale qualificato.