Cosa sono le norme armonizzate CRA? Stato e tracker

Le norme armonizzate sono le specifiche tecniche che traducono gli ampi requisiti dell'Allegato I del Cyber Resilience Act in disposizioni concrete e verificabili. Questa pagina spiega cosa sono e segue ogni bozza prevista dalla richiesta di normazione M/606 della Commissione europea: la categoria di prodotto, l'ente che la elabora, il suo stato attuale e un link a ciascuna bozza pubblica.

Cos'è una norma armonizzata

Il Cyber Resilience Act enuncia i suoi requisiti essenziali di cibersicurezza in termini giuridici ampi. Una norma armonizzata è una specifica tecnica, elaborata da un'organizzazione europea di normazione su richiesta della Commissione europea, che traduce quei requisiti in disposizioni concrete e verificabili.

Una norma armonizzata acquista efficacia giuridica solo quando la Commissione ne pubblica il riferimento nella Gazzetta ufficiale dell'Unione europea (GUUE). Da quel momento, un prodotto conforme alla norma è presunto conforme ai requisiti che quella norma copre. In pratica questo produce due effetti:

• offre ai fabbricanti un modo riconosciuto e verificabile per dimostrare la conformità; e
• per i prodotti importanti della Classe I, l'applicazione di una norma armonizzata pubblicata consente al fabbricante l'autovalutazione mediante controllo interno anziché il ricorso a un organismo notificato. Non elimina la valutazione di terze parti necessaria per i prodotti di Classe II e critici, e i prodotti ordinari fuori da queste fasce possono già autovalutarsi da soli.

Le norme armonizzate sono una delle tre vie a quella presunzione. Un certificato nell'ambito di un sistema europeo di certificazione della cibersicurezza è un'altra, ai sensi dell'articolo 27, paragrafo 8, sebbene nessuno schema sia ancora riconosciuto per il CRA.

Stato, al 2 ottobre 2026: nessuna norma armonizzata CRA ha il proprio riferimento pubblicato nella Gazzetta ufficiale. EN 40000-1-1 ed EN 40000-1-2 hanno superato il voto formale di CEN-CENELEC, e la loro ratifica come EN è prevista per il 2 novembre 2026. CEN-CENELEC non prevede che nessuna delle due venga citata nella Gazzetta ufficiale. Le 17 bozze ETSI specifiche per prodotto sono nella procedura di approvazione dell'ETSI, e ogni altra norma nelle tabelle sottostanti è ancora una bozza. Quindi la presunzione di conformità basata su norme ai sensi dell'Articolo 27(1) non è ancora disponibile. L'approvazione, la ratifica come EN e la citazione nella Gazzetta ufficiale sono tappe separate, e solo la citazione dà la presunzione. Usi le bozze per anticipare i requisiti, non come base finita per la conformità.

Norme orizzontali e verticali

La Commissione adotta un approccio duplice, per cui ogni bozza di norma appartiene a una di due tipologie:

• Le norme orizzontali definiscono un quadro comune, una metodologia e una tassonomia, e si applicano a ogni prodotto con elementi digitali.
• Le norme verticali (dette anche specifiche per prodotto) coprono i rischi specifici di un tipo di prodotto, ad esempio i router o il software antivirus.

I tre tipi di norma e le relative scadenze

La richiesta di normazione M/606 articola il lavoro in tre tipologie. Le scadenze nella tabella sono scadenze di consegna: la data entro cui ciascuna organizzazione di normazione deve trasmettere la propria norma alla Commissione. Non sono date di pubblicazione. Una norma attiva la presunzione di conformità dell'Articolo 27 solo dal momento in cui il suo riferimento compare nella Gazzetta ufficiale, la quale segue la consegna secondo un calendario che la Commissione non ha ancora definito.

Alcune precisazioni che la tabella non esplicita:

• Tipo A, quadro normativo: il principio fondamentale dell'Allegato I recita: «I prodotti con elementi digitali sono progettati, sviluppati e prodotti in modo da garantire un livello adeguato di cibersicurezza in base ai rischi.» CEN-CENELEC non registra alcuna citazione prevista nella Gazzetta ufficiale per EN 40000-1-2. La norma fissa il quadro e il metodo di gestione del rischio senza dare una presunzione di conformità.
• Tipo B, gestione delle vulnerabilità: si fonda sui lavori ISO/IEC esistenti e copre l'intero processo, dalla scoperta e dalla classificazione alla correzione.
• Tipo C, specifico per prodotto: deve restare coerente con il Tipo A e il Tipo B, e si applica a entrambe le categorie di prodotti importanti e critici.

Il Tipo A e il Tipo B costituiscono le parti orizzontali EN 40000-1. Il Tipo C comprende ogni norma di prodotto nelle tabelle per fascia qui sotto, comprese le norme di prodotto CEN EN 40000-10 ed EN 40000-11.

Come vengono sviluppate le norme

La Commissione ha chiesto a CEN, CENELEC ed ETSI di elaborare queste norme tramite la richiesta di normazione M/606, emessa con la decisione di esecuzione della Commissione C(2025) 618 final (3 febbraio 2025):

• ETSI (Comitato tecnico CYBER, CYBER-EUSR) elabora le norme per la maggior parte delle categorie di software importante e di prodotti connessi. Queste portano i riferimenti EN 304 6xx e sono le più avanzate; le loro bozze sono pubbliche nella cartella di consultazione aperta ETSI CYBER-EUSR, con lo storico dei progetti nei repository ETSI Labs STAN4CRA, e sono collegate singolarmente qui sotto.
• CEN e CENELEC elaborano le norme orizzontali (le parti EN 40000-1), i profili per le tecnologie operative (serie EN 50770), le norme sulle piattaforme di chip ed elementi sicuri (da EN 40001-3 a EN 40004-3) e i lavori su identità, security box e carte intelligenti nel CEN/TC 224 (EN 40000-10, EN 40000-11 ed EN 18330). Queste non hanno un'unica cartella pubblica; lo stato è monitorato tramite la matrice dei progetti di normazione CRA DIN/DKE, la ricerca norme CEN/CENELEC e i lavori tecnici STAN4CRA.

Una bozza attraversa le versioni del gruppo di lavoro e un'inchiesta pubblica CEN (per l'ETSI, una consultazione aperta e un voto di approvazione), poi la ratifica come EN. CEN-CENELEC può saltare un voto formale separato e pubblicare direttamente dopo un'inchiesta positiva. La ratifica non è comunque il traguardo finale: la Commissione deve poi citare il riferimento nella Gazzetta ufficiale, e solo quella citazione attiva la presunzione di conformità. Al 2 ottobre 2026 EN 40000-1-1 ed EN 40000-1-2 hanno superato il voto formale, e la loro ratifica è prevista per il 2 novembre 2026. Le 17 bozze ETSI specifiche per prodotto sono nella procedura di approvazione dell'ETSI. Nessuna norma in questa pagina è ancora ratificata o citata nella Gazzetta ufficiale. La Commissione non ha confermato un calendario per le citazioni nella Gazzetta ufficiale.

Come leggere lo stato

Le tabelle sottostanti sono raggruppate per fascia di conformità CRA. Le norme orizzontali si applicano a ogni prodotto; le norme verticali (specifiche per prodotto) sono suddivise in Importante Classe I, Importante Classe II e Critico, perché è la fascia a decidere il percorso di conformità. Il riferimento della norma indica chi la elabora:

• EN 304 6xx: ETSI.
• EN 40000-1-x: CEN-CLC/JTC 13.
• EN 40000-10, EN 40000-11 ed EN 18330: CEN/TC 224.
• EN 50770: profili per le tecnologie operative del CLC/TC 65X che affiancano le norme ETSI per le stesse funzioni.
• da EN 40001-3 a EN 40004-3: CLC/TC 47X. Sostituiscono i precedenti riferimenti di progetto EN 50765, EN 50766, EN 50764 ed EN 50767, in questo ordine.

Nessuna norma ha ancora raggiunto lo stato "Approvata (EN ratificata)" o "Pubblicata nella GUUE". EN 40000-1-1 ed EN 40000-1-2 sono a "Approvata con voto formale", con ratifica prevista per il 2 novembre 2026. Lo stato riflette le prove pubbliche più recenti alla data indicata in cima a questa pagina.

Norme orizzontali: la serie EN 40000

Le parti EN 40000-1, elaborate dal CEN-CLC/JTC 13, si applicano a ogni prodotto con elementi digitali, in aggiunta a qualsiasi norma verticale (specifica per prodotto) delle sezioni seguenti. EN 40000-10 ed EN 40000-11 sono norme di prodotto del CEN/TC 224 e stanno nelle tabelle per fascia.

Il database di CEN-CENELEC registra «No citation expected for Directive 2024/2847» per EN 40000-1-1 ed EN 40000-1-2. Una norma dà una presunzione di conformità solo quando il suo riferimento è citato nella Gazzetta ufficiale. Quindi queste due parti fissano il vocabolario comune e il metodo di gestione del rischio, ma non aprono da sole un percorso di conformità. EN 40000-1-3 è indicata con citazione prevista.

Prodotti importanti: Classe I

Coprono le categorie della Classe I dell'Allegato III. L'applicazione di una norma armonizzata pubblicata consente a un fabbricante di Classe I l'autovalutazione mediante controllo interno; in sua assenza, la conformità va dimostrata in altro modo.

Prodotti importanti: Classe II

I prodotti di Classe II richiedono sempre la valutazione di terze parti (organismo notificato); una norma armonizzata non sblocca per essi l'autovalutazione.

Prodotti critici

I prodotti critici (Allegato IV) devono usare uno schema europeo di certificazione della cibersicurezza dove ne è imposto uno, oppure altrimenti gli stessi percorsi di terze parti della Classe II. Una norma armonizzata non elimina tale requisito. Le voci 39, 40 e 41 sono elaborate in un contesto riservato perché riguardano prodotti critici sensibili. È per questo che le loro bozze non sono pubbliche.