CRA voor Italiaanse fabrikanten: ACN, ACCREDIA, Legge 36/2026

Italiaanse fabrikanten hebben dezelfde verplichtingen onder de Legge sulla ciberresilienza als elke andere EU-fabrikant. Deze pagina is een landenbriefing voor Italië: hoe kwetsbaarheidsmeldingen en incidentrapporten via CSIRT Italia lopen, hoe ACN zowel de aanmeldende autoriteit als de markttoezichtautoriteit is onder Legge 36/2026, waar ACCREDIA past als accreditatiestap, hoe OCSI aansluit op het Europese EUCC-schema, de Italiaanse taalverplichtingen en welke financieringslijnen van Transizione 5.0, PNRR en SECURE realistisch zijn voor compliance-investeringen. Voor het volledige verplichtingenpakket voor fabrikanten, zie de clustergids voor fabrikanten.

Voor wie is deze gids bedoeld

U bent de beoogde lezer als uw "hoofdvestiging in de Unie" als fabrikant in Italië ligt. Dat is de plek waar beslissingen over de cyberbeveiliging van uw producten met digitale elementen overwegend worden genomen. Een in Italië geregistreerde verkoopsdochteronderneming met offshore-engineering is niet de hoofdvestiging. Als uw engineeringteam, uw SDLC-governance en de mensen die goedkeuring geven aan beveiligingsupdates in Italië zitten, is deze gids voor u.

Als uw hoofdvestiging elders in de EU ligt en u alleen naar Italië levert, lopen uw CRA-meldingen via het CSIRT van uw eigen lidstaat, niet via CSIRT Italia. De Italiaanse taalverplichting voor gebruikersgerichte informatie geldt wel voor elk product op de Italiaanse markt.

ACN en CSIRT Italia: de Italiaanse CSIRT-route

CRA-meldingen lopen via het CSIRT dat is aangewezen als coördinator van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft. Voor een fabrikant met hoofdvestiging in Italië is dat CSIRT Italia, het nationale CSIRT dat binnen ACN wordt uitgevoerd.

ACN, opgericht bij decreto legge 82/2021 (omgezet door legge 109/2021), is de Italiaanse nationale cybersecurityautoriteit. De organisatie valt direct onder het kantoor van de minister-president en fungeert als het enige nationale contactpunt voor cybersecuritybeleid, certificering en regelgeving. CSIRT Italia publiceert Italiaanstalige kwetsbaarheidsadviezen en voert de incidentresponsstroom voor consumentenproducten uit.

Het technische kanaal voor de 24-uurs, 72-uurs en 14-daagse rapportagecadans is het ENISA single reporting platform, dat op 11 september 2026 operationeel gaat. Een Italiaanse fabrikant dient meldingen in via dat platform met CSIRT Italia als ontvangende coördinator. De CSIRT-aanwijzing bepaalt de routering. Het platform is het transportmiddel.

Aangemelde instanties: ACN meldt aan, ACCREDIA accrediteert

Voor producten van Categorie I Belangrijk waarvoor geen geharmoniseerde norm wordt toegepast, producten van Categorie II Belangrijk en Kritieke producten vereist conformiteitsbeoordeling een aangemelde instantie (Module B+C of Module H).

De Italiaanse institutionele verdeling ziet er als volgt uit:

• ACN is de aanmeldende autoriteit die Italiaanse aangemelde instanties formeel aanmeldt bij de Europese Commissie, verankerd in Legge 36/2026 en uitgewerkt door het uitvoerende decreto legislativo.
• ACCREDIA (Ente Italiano di Accreditamento) is het Italiaanse nationale accreditatieorgaan en beoordeelt de technische bekwaamheid van een kandidaat-instantie onder ISO/IEC 17065:2012. ACCREDIA beschrijft accreditatie zelf als het aanbevolen middel om bekwaamheid en onafhankelijkheid aan te tonen, maar het is geen strikt verplichte voorwaarde voor aanmelding onder de Legge sulla ciberresilienza.

Het CRA-kader voor aangemelde instanties is van toepassing vanaf 11 juni 2026, waarna aangewezen instanties CRA-conformiteitsbeoordelingscertificaten kunnen beginnen af te geven. Italiaanse kandidaten met relevante productcertificeringsexpertise zijn onder meer IMQ, RINA Services, Bureau Veritas Italia en TÜV Italia. Definitieve CRA-aanwijzingen worden gepubliceerd in de NANDO-database van de Europese Commissie. Een Italiaanse fabrikant mag elke in de EU aangemelde instantie inschakelen, niet alleen door Italië aangewezen instanties.

ACN: de CRA-markttoezichtautoriteit

Anders dan in Spanje (waar het ministerie het markttoezicht uitvoert) en Frankrijk (waar ANFR die rol heeft), consolideert Italië zowel de aanmelding als het markttoezicht binnen ACN. Legge 36/2026 wijst ACN aan als de autorità di vigilanza del mercato onder CRA-artikel 52, naast de aanmeldingsrol onder artikel 36.

Elke formele CRA-interactie van een Italiaanse fabrikant verloopt via ACN als enig nationaal aanspreekpunt: gemotiveerde verzoeken om technische documentatie, verzoeken om documenten in een bepaalde taal, inspecties ter plaatse en de kennisgeving van bedrijfsbeëindiging. De Codice del Consumo (Decreto Legislativo 206/2005) regelt de algemene veiligheid van consumentenproducten in Italië via het Ministero delle Imprese e del Made in Italy (MIMIT) en AGCM, maar de formele CRA-markttoezichtautoriteit voor producten met digitale elementen is ACN.

Sancties vallen binnen de EU-plafonds van de Legge sulla ciberresilienza (tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet voor de ernstigste overtredingen). Het Italiaanse uitvoerende decreto legislativo zal naar verwachting de Italiaanse boeteschaal vaststellen binnen die plafonds.

OCSI en het Europese EUCC-schema

Het Organismo di Certificazione della Sicurezza Informatica (OCSI) is het Italiaanse Common Criteria-certificeringsorgaan, ondergebracht bij ACN sinds 1 juli 2022 (overgedragen vanuit het voormalige Ministerie van Economische Ontwikkeling). OCSI is geaccrediteerd door ACCREDIA onder UNI CEI EN ISO/IEC 17065:2012 om te opereren binnen het EUCC-schema dat is vastgesteld onder EU-verordening 2019/881.

Het nationale legacyschema van OCSI beëindigde zijn activiteiten op 26 februari 2026 en OCSI opereert nu uitsluitend onder de EUCC. Onder CRA-artikel 27 kunnen Europese cybersecuritycertificeringsschema's een conformiteitsveronderstelling ondersteunen voor gedekte vereisten wanneer de Commissie het schema via een gedelegeerde handeling voor CRA-doeleinden specificeert. Totdat die EUCC-route is gespecificeerd, behandelt u een door OCSI afgegeven EUCC-certificaat als sterk bewijs voor de gedekte reikwijdte, niet als een zelfstandig al werkend kortere route.

Italiaanse taalvereisten in de praktijk

De Legge sulla ciberresilienza verplicht dat gebruikersgerichte productinformatie gesteld is in een taal die gebruikers en de lokale markttoezichtautoriteit gemakkelijk begrijpen. Voor producten op de Italiaanse markt is dat Italiaans. De Codice del Consumo verplicht Italiaans in consumentenproductinformatie al langer zelfstandig, zodat de CRA-verplichting aansluit op een bestaande nationale regel.

Verplicht in het Italiaans:

• De gebruikersinstructies en productinformatie die bij het product worden geleverd.
• De contactgegevens van de fabrikant, waar deze ook worden weergegeven.
• De einddatum van ondersteuning die wordt getoond op het verkooppunt.

Mag meertalig zijn:

• Het productlabel en de CE-markering.
• Verpakkingstekst.
• Online documentatie, mits een Italiaanse versie bereikbaar is.

Engels wordt normaal geaccepteerd voor:

• Interne technische documentatie. ACN kan om een Italiaanse vertaling vragen op gemotiveerd verzoek, dus plan voor die mogelijkheid.

De EU-conformiteitsverklaring mag worden opgesteld in elke officiële EU-taal, maar verwacht een verzoek om een Italiaanse vertaling tijdens een ACN-inspectie. Duits in Zuid-Tirol, Frans in het Aosta-dal en Sloveens in de grenszone van Friuli Venezia Giulia zijn co-officieel onder hun regionale statuten, maar niet verplicht onder de Legge sulla ciberresilienza. Regionale aanbestedingscontracten of sectorale toezichthouders kunnen eigen taalclausules toevoegen, los van de Legge sulla ciberresilienza.

Grensoverschrijdend verkopen vanuit Italië

Italiaanse fabrikanten die naar Duitsland, Frankrijk, Spanje of een andere EU-lidstaat leveren, volgen dezelfde enkelvoudige routeringsregel: uw meldingen gaan nog steeds naar CSIRT Italia, omdat de routering de hoofdvestiging volgt en niet de bestemming per zending. U dient niet bij het Duitse, Franse of Spaanse CSIRT te melden.

De taalverplichting loopt wel per markt uiteen. Een product dat naar de Franse markt wordt verzonden, heeft Franstalige gebruikersgerichte inhoud nodig. Een product naar de Duitse markt heeft Duitstalige inhoud nodig. Het Italiaanse taalpakket dekt die markten niet.

De markttoezichtautoriteit van elke ontvangende lidstaat kan ook om uw technische documentatie vragen in een taal die die autoriteit goed begrijpt. Als uw levering breed over de EU loopt, verwacht dan verzoeken in ten minste één veelgebruikte werktaal, en behandel de vroege vertaling van de meest gevraagde secties van technische documentatie als een praktische maatregel.

Nationale financieringsprogramma's

Het financieringslandschap voor Italiaanse fabrikanten die CRA-investeringen plannen in 2026 bestaat uit SECURE, sectorspecifieke regionale lijnen en de sluitende vensters van Transizione 5.0 en PNRR. Wees nauwkeurig over wat nog open en technisch subsidiabel is voordat u een budgetregel hierop afstemt.

• Piano Transizione 5.0 is een door MIMIT beheerd belastingkredietprogramma met een totaalbudget van 6,3 miljard euro, gekoppeld aan subsidiabele digitale en energietransformatie van productieprocessen. Controleer voor planning in 2026 de resterende status en technische subsidiabiliteit voordat u erop vertrouwt; behandel het niet als een nieuw open cybersecurity- of compliancefonds. CRA-gedreven SBOM-tooling, kwetsbaarheidsafhandelingsplatforms en ingebouwde beveiligingsinfrastructuur passen alleen waar het cybersecurity-werk deel uitmaakt van subsidiabele transformatie van het productieproces.
• SECURE (Strengthening EU SMEs Cyber Resilience) is een nieuw EU-gefinancierd project dat expliciet is opgezet om mkb-bedrijven te ondersteunen bij CRA-implementatie. Totaalbudget circa 22 miljoen euro, waarvan 16,5 miljoen euro directe financiële steun aan mkb. ACN is de Italiaanse partner in een consortium van 7 landen. De eerste call liep van 28 januari tot 29 maart 2026 met een maximum van 30.000 euro per project. Fabrikanten, importeurs, distributeurs en softwareontwikkelaars zijn allemaal subsidiabel. Volg de ACN-aankondigingsstream voor de volgende call.
• PNRR (Piano Nazionale di Ripresa e Resilienza) bevindt zich in het sluitende venster. Alle NextGenerationEU-gefinancierde projecten moeten worden uitgevoerd voor 31 augustus 2026, met de finale betalingsverzoeken van Italië uiterlijk 30 september 2026. PNRR is daarmee geen realistisch planningsvehikel voor de CRA-nalevingsdeadline van 11 december 2027.
• Regionale digitaliseringsvouchers via de kamers van koophandel blijven operationeel in 2026, doorgaans met een plafond van 20.000 tot 30.000 euro per begunstigde. Bruikbaar voor een eerste diagnose, niet voor het volledige CRA-programma.

Voor compliance-investeringen afgezet tegen de verplichtingsdeadline van 11 december 2027 is het realistische publieke financieringsplaatje in Italië: SECURE (en vervolgprogramma's voor EU-mkb), resterende of opvolgende Transizione 5.0-achtige prikkels waar technisch subsidiabel voor productietransformatie, en sectorspecifieke regionale lijnen.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg voor specifieke CRA-compliancebegeleiding een gekwalificeerde juridisch adviseur.