Cosa sono le norme armonizzate CRA? Stato e tracker

Le norme armonizzate sono le specifiche tecniche che traducono gli ampi requisiti dell'Allegato I del Cyber Resilience Act in disposizioni concrete e verificabili. Questa pagina spiega cosa sono e segue ogni bozza prevista dalla richiesta di normazione M/606 della Commissione europea: la categoria di prodotto, l'ente che la elabora, il suo stato attuale e un link a ciascuna bozza pubblica.

Cos'è una norma armonizzata

Il Cyber Resilience Act enuncia i suoi requisiti essenziali di cibersicurezza in termini giuridici ampi. Una norma armonizzata è una specifica tecnica, elaborata da un'organizzazione europea di normazione su richiesta della Commissione europea, che traduce quei requisiti in disposizioni concrete e verificabili.

Una norma armonizzata acquista efficacia giuridica solo quando la Commissione ne pubblica il riferimento nella Gazzetta ufficiale dell'Unione europea (GUUE). Da quel momento, un prodotto conforme alla norma è presunto conforme ai requisiti che quella norma copre. In pratica questo produce due effetti:

• offre ai fabbricanti un modo riconosciuto e verificabile per dimostrare la conformità; e
• per i prodotti importanti della Classe I, l'applicazione di una norma armonizzata pubblicata consente al fabbricante l'autovalutazione mediante controllo interno anziché il ricorso a un organismo notificato. Non elimina la valutazione di terze parti necessaria per i prodotti di Classe II e critici, e i prodotti ordinari fuori da queste fasce possono già autovalutarsi da soli.

Le norme armonizzate sono una delle tre vie a quella presunzione. Un certificato nell'ambito di un sistema europeo di certificazione della cibersicurezza è un'altra, ai sensi dell'articolo 27, paragrafo 8, sebbene nessuno schema sia ancora riconosciuto per il CRA.

Stato, al 13 agosto 2026: nessuna norma armonizzata CRA è stata ancora approvata né ha avuto il proprio riferimento pubblicato nella Gazzetta ufficiale. Tutte le 17 bozze ETSI specifiche per prodotto sono in inchiesta pubblica, la prima fase della sua procedura di approvazione, non la fine. Ogni norma nelle tabelle sottostanti è ancora una bozza, quindi la presunzione di conformità non è disponibile per alcuna categoria di prodotto. L'approvazione (ratifica come EN) e la separata citazione nella Gazzetta ufficiale sono due tappe successive, e nessuna norma ha raggiunto né l'una né l'altra; le prime norme sono attese nella seconda metà del 2026, con la citazione a seguire. Usi le bozze per anticipare i requisiti, non come base finita per la conformità.

Norme orizzontali e verticali

La Commissione adotta un approccio duplice, per cui ogni bozza di norma appartiene a una di due tipologie:

• Le norme orizzontali definiscono un quadro comune, una metodologia e una tassonomia, e si applicano a ogni prodotto con elementi digitali.
• Le norme verticali (dette anche specifiche per prodotto) coprono i rischi specifici di un tipo di prodotto, ad esempio i router o il software antivirus.

I tre tipi di norma e le relative scadenze

La richiesta di normazione M/606 articola il lavoro in tre tipologie. Le scadenze nella tabella sono scadenze di consegna: la data entro cui ciascuna organizzazione di normazione deve trasmettere la propria norma alla Commissione. Non sono date di pubblicazione. Una norma attiva la presunzione di conformità dell'Articolo 27 solo dal momento in cui il suo riferimento compare nella Gazzetta ufficiale, la quale segue la consegna secondo un calendario che la Commissione non ha ancora definito.

Alcune precisazioni che la tabella non esplicita:

• Tipo A, quadro normativo: il principio fondamentale dell'Allegato I recita: «I prodotti con elementi digitali sono progettati, sviluppati e prodotti in modo da garantire un livello adeguato di cibersicurezza in base ai rischi.»
• Tipo B, gestione delle vulnerabilità: si fonda sui lavori ISO/IEC esistenti e copre l'intero processo, dalla scoperta e dalla classificazione alla correzione.
• Tipo C, specifico per prodotto: deve restare coerente con il Tipo A e il Tipo B, e si applica a entrambe le categorie di prodotti importanti e critici.

Il Tipo A e il Tipo B costituiscono la serie orizzontale EN 40000. Il Tipo C comprende ogni norma di prodotto nelle tabelle per fascia qui sotto.

Come vengono sviluppate le norme

La Commissione ha chiesto a CEN, CENELEC ed ETSI di elaborare queste norme tramite la richiesta di normazione M/606, emessa con la decisione di esecuzione della Commissione C(2025) 618 final (3 febbraio 2025):

• ETSI (Comitato tecnico CYBER, CYBER-EUSR) elabora le norme per la maggior parte delle categorie di software importante e di prodotti connessi. Queste portano i riferimenti EN 304 6xx e sono le più avanzate; le loro bozze sono pubbliche nella cartella di consultazione aperta ETSI CYBER-EUSR, con lo storico dei progetti nei repository ETSI Labs STAN4CRA, e sono collegate singolarmente qui sotto.
• CEN e CENELEC elaborano le norme orizzontali (la serie EN 40000), i profili per le tecnologie operative (serie EN 50770), le norme sui semiconduttori (EN 5076x) e i lavori su identità ed elementi sicuri nel CEN/TC 224. Queste non hanno un'unica cartella pubblica; lo stato è monitorato tramite la matrice dei progetti di normazione CRA DIN/DKE, la ricerca norme CEN/CENELEC e i lavori tecnici STAN4CRA.

Una bozza attraversa le versioni del gruppo di lavoro e un'inchiesta pubblica CEN (per l'ETSI, una consultazione aperta e un voto di approvazione), poi la ratifica come EN. CEN-CENELEC può saltare un voto formale separato e pubblicare direttamente dopo un'inchiesta positiva. La ratifica non è comunque il traguardo finale: la Commissione deve poi citare il riferimento nella Gazzetta ufficiale, e solo quella citazione attiva la presunzione di conformità. Al 13 agosto 2026 tutte le 17 bozze ETSI specifiche per prodotto sono pubbliche e in inchiesta. Nessuna norma in questa pagina è ratificata o citata nella Gazzetta ufficiale. La Commissione non ha confermato un calendario per le citazioni nella Gazzetta ufficiale.

Come leggere lo stato

Le tabelle sottostanti sono raggruppate per fascia di conformità CRA. Le norme orizzontali si applicano a ogni prodotto; le norme verticali (specifiche per prodotto) sono suddivise in Importante Classe I, Importante Classe II e Critico, perché è la fascia a decidere il percorso di conformità. Il riferimento della norma indica chi la elabora: EN 304 6xx = ETSI; EN 40000 = CEN-CLC/JTC 13; EN 50770 = profili per le tecnologie operative del CLC/TC 65X che affiancano le norme ETSI per le stesse funzioni; EN 5076x = CLC/TC 47X; EN 18330 = CEN/TC 224.

Nessuna norma ha raggiunto lo stato "Approvata (EN ratificata)" o "Pubblicata nella GUUE". Lo stato riflette le prove pubbliche più recenti alla data indicata in cima a questa pagina.

Norme orizzontali: la serie EN 40000

La serie EN 40000, elaborata dal CEN-CLC/JTC 13, si applica a ogni prodotto con elementi digitali, in aggiunta a qualsiasi norma verticale (specifica per prodotto) delle sezioni seguenti.

Prodotti importanti: Classe I

Coprono le categorie della Classe I dell'Allegato III. L'applicazione di una norma armonizzata pubblicata consente a un fabbricante di Classe I l'autovalutazione mediante controllo interno; in sua assenza, la conformità va dimostrata in altro modo.

Prodotti importanti: Classe II

I prodotti di Classe II richiedono sempre la valutazione di terze parti (organismo notificato); una norma armonizzata non sblocca per essi l'autovalutazione.

Prodotti critici

I prodotti critici (Allegato IV) devono usare uno schema europeo di certificazione della cibersicurezza dove ne è imposto uno, oppure altrimenti gli stessi percorsi di terze parti della Classe II. Una norma armonizzata non elimina tale requisito. Le voci 39, 40 e 41 sono elaborate in un contesto riservato perché riguardano prodotti critici sensibili. È per questo che le loro bozze non sono pubbliche.