CRA dla włoskich producentów: ACN, ACCREDIA, Legge 36/2026

Włoscy producenci mają takie same obowiązki wynikające z Legge sulla ciberresilienza jak każdy inny producent w UE. Ta strona to krajowy przewodnik dla Włoch: jak powiadomienia o podatnościach i incydentach trafiają do CSIRT Italia, jak ACN pełni zarazem funkcję organu notyfikującego i organu nadzoru rynku na podstawie Legge 36/2026, gdzie mieści się rola ACCREDIA jako etapu akredytacyjnego, jak OCSI wpisuje się w europejski schemat EUCC, jakie są wymogi językowe dla produktów w języku włoskim oraz które linie finansowania w ramach Transizione 5.0, PNRR i projektu SECURE są realną opcją dla inwestycji w zgodność. Pełny zestaw obowiązków producenta omawia przewodnik klastra producenta.

Do kogo skierowany jest ten przewodnik

Adresat tego przewodnika to producent, którego „główne miejsce prowadzenia działalności w Unii" znajduje się we Włoszech. Chodzi o miejsce, gdzie zapadają decyzje dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Włoska spółka zależna zajmująca się sprzedażą, przy inżynierii prowadzonej za granicą, nie jest głównym miejscem prowadzenia działalności. Jeśli zespół inżynierski, nadzór nad cyklem życia oprogramowania i osoby zatwierdzające wydania aktualizacji bezpieczeństwa działają we Włoszech, ten przewodnik jest właśnie dla takiej organizacji.

Jeśli główne miejsce prowadzenia działalności producenta znajduje się w innym państwie UE, a jedynie produkty trafiają na rynek włoski, zgłoszenia CRA kierowane są przez CSIRT właściwy dla tego państwa, a nie przez CSIRT Italia. Obowiązek stosowania języka włoskiego w informacjach skierowanych do użytkownika nadal obowiązuje dla każdego produktu wprowadzonego na rynek włoski.

ACN i CSIRT Italia: włoska ścieżka CSIRT

Powiadomienia CRA trafiają do CSIRT wyznaczonego jako koordynator państwa członkowskiego, w którym producent ma główne miejsce prowadzenia działalności w Unii. Dla producenta z głównym miejscem działalności we Włoszech tym CSIRT jest CSIRT Italia, krajowy CSIRT działający w strukturach ACN.

ACN, ustanowiony na podstawie dekretu z mocą ustawy 82/2021 (przekształconego w ustawę 109/2021), jest włoskim krajowym organem cyberbezpieczeństwa. Podlega Kancelarii Prezesa Rady Ministrów i pełni rolę jednego krajowego punktu odniesienia w zakresie polityki cyberbezpieczeństwa, certyfikacji i regulacji. CSIRT Italia publikuje włoskojęzyczne komunikaty o podatnościach i prowadzi strumień reagowania na incydenty dotyczące produktów konsumenckich.

Technicznym kanałem dla cyklu raportowania 24h/72h/14 dni jest platforma pojedynczego zgłaszania ENISA, która wejdzie w tryb operacyjny 11 września 2026 r. Włoski producent składa zgłoszenie za pośrednictwem tej platformy, wskazując CSIRT Italia jako odbierającego koordynatora. Wyznaczenie CSIRT to routing. Platforma to transport.

Jednostki notyfikowane: ACN notyfikuje, ACCREDIA akredytuje

Produkty Important Klasy I wymagają jednostki notyfikowanej (Moduł B+C lub Moduł H) wyłącznie w przypadku, gdy normy zharmonizowane, wspólne specyfikacje lub schemat certyfikacji nie pokrywają ich w pełni. Produkty Important Klasy II korzystają z jednostki notyfikowanej (Moduł B+C lub Moduł H) lub dostępnego i mającego zastosowanie schematu certyfikacji. Produkty Krytyczne (Załącznik IV) stosują Artykuł 32(4): ścieżkę certyfikacji z Artykułu 8(1) tam, gdzie Komisja ją uruchomiła, w przeciwnym razie te same ścieżki z Artykułu 32(3).

Włoski podział instytucjonalny jest następujący:

• ACN jest organem notyfikującym, który formalnie wyznacza włoskie jednostki notyfikowane CRA Komisji Europejskiej, na podstawie Legge 36/2026 i uszczegółowionej przez decreto legislativo.
• ACCREDIA (Ente Italiano di Accreditamento) jest włoskim krajowym organem akredytującym i ocenia kompetencje techniczne kandydata według ISO/IEC 17065:2012. Akredytacja jest przez ACCREDIA opisywana jako preferowane narzędzie potwierdzające kompetencje i niezależność, choć nie jest bezwzględnym warunkiem wstępnym notyfikacji w ramach Legge sulla ciberresilienza.

Ramy CRA dla jednostek notyfikowanych stosuje się od 11 czerwca 2026 r., od kiedy wyznaczone jednostki mogą zacząć wydawać certyfikaty oceny zgodności CRA. Wśród włoskich kandydatów z doświadczeniem w certyfikacji produktów znaleźć można IMQ, RINA Services, Bureau Veritas Italia i TÜV Italia. Ostateczne wyznaczenia CRA są publikowane w bazie NANDO Komisji Europejskiej. Włoski producent może korzystać z dowolnej unijnej jednostki notyfikowanej, nie tylko z tych wyznaczonych we Włoszech.

ACN: organ nadzoru rynku CRA

W przeciwieństwie do Hiszpanii, gdzie nadzór rynku sprawuje ministerstwo, i Francji, gdzie pełni tę rolę ANFR, Włochy konsolidują zarówno notyfikację, jak i nadzór rynku w ACN. Legge 36/2026 wskazuje ACN jako autorità di vigilanza del mercato na podstawie artykułu 52 CRA, obok roli organu notyfikującego wynikającej z artykułu 36.

Każda formalna interakcja włoskiego producenta z CRA odbywa się przez ACN jako jedynego krajowego odpowiednika: uzasadnione wnioski o dokumentację techniczną, wnioski o tłumaczenie dokumentów, kontrole na miejscu i zawiadomienie o zaprzestaniu działalności. Codice del Consumo (Decreto Legislativo 206/2005) reguluje ogólne bezpieczeństwo produktów konsumenckich we Włoszech za pośrednictwem Ministero delle Imprese e del Made in Italy (MIMIT) i AGCM, lecz formalnym organem nadzoru rynku CRA dla produktów z elementami cyfrowymi jest ACN.

Sankcje mieszczą się w unijnych pułapach CRA (do 15 milionów euro lub 2,5% globalnego rocznego obrotu za najpoważniejsze naruszenia). Włoskie decreto legislativo powinno określić krajową skalę kar w ramach tych pułapów.

OCSI i europejski schemat EUCC

Organismo di Certificazione della Sicurezza Informatica (OCSI) to włoski organ certyfikacji Common Criteria, który od 1 lipca 2022 r. działa w strukturach ACN (przeniesiony z dawnego Ministerstwa Rozwoju Gospodarczego). OCSI jest akredytowany przez ACCREDIA według UNI CEI EN ISO/IEC 17065:2012 do działania w ramach schematu EUCC przyjętego na podstawie Rozporządzenia UE 2019/881.

Krajowy schemat certyfikacji OCSI zakończył działalność 26 lutego 2026 r. i od tego czasu OCSI działa wyłącznie w ramach EUCC. Zgodnie z artykułem 27 CRA europejskie schematy certyfikacji cyberbezpieczeństwa mogą wspierać domniemanie zgodności dla objętych wymagań, gdy Komisja określi dany schemat aktem delegowanym dla celów CRA. Dopóki ścieżka EUCC nie zostanie określona dla CRA, certyfikat EUCC wydany przez OCSI należy traktować jako mocny dowód dla objętego zakresu, a nie jako samodzielny, już działający skrót.

Wymogi językowe w praktyce

Legge sulla ciberresilienza wymaga, by informacje skierowane do użytkownika były w języku łatwo zrozumiałym przez użytkowników i lokalny organ nadzoru rynku. Dla produktów wprowadzonych na rynek włoski oznacza to język włoski. Codice del Consumo niezależnie wymaga włoskiego w informacjach konsumenckich, więc obowiązek CRA pokrywa się z długo obowiązującą normą krajową.

Wymagane po włosku:

• Instrukcje użytkowania i informacje o produkcie dołączane do produktu.
• Dane kontaktowe producenta, niezależnie od miejsca ich umieszczenia.
• Informacja o dacie zakończenia wsparcia widoczna w punkcie sprzedaży.

Mogą być wielojęzyczne:

• Etykieta produktu i oznakowanie CE.
• Treści na opakowaniu.
• Dokumentacja online, pod warunkiem że wersja włoska jest dostępna.

Angielski jest zasadniczo akceptowany dla:

• Wewnętrznej dokumentacji technicznej. ACN może zażądać tłumaczenia na język włoski na podstawie uzasadnionego wniosku, dlatego należy uwzględnić tę ewentualność w planowaniu.

Deklarację zgodności UE można sporządzić w dowolnym języku urzędowym UE, lecz podczas kontroli ACN należy liczyć się z żądaniem tłumaczenia na włoski. Język niemiecki w Południowym Tyrolu, francuski w Dolinie Aosty i słoweński w Friuli Venezia Giulia są współoficjalne na podstawie regionalnych statutów, ale nie są objęte obowiązkiem CRA. Regionalne zamówienia publiczne lub sektorowe organy regulacyjne mogą wprowadzać własne klauzule językowe, odrębnie od CRA.

Sprzedaż transgraniczna z Włoch

Włoski producent sprzedający do Niemiec, Francji, Hiszpanii lub innego państwa UE podlega tej samej zasadzie jednostkowego routingu: zgłoszenia nadal trafiają do CSIRT Italia, bo routing wynika z głównego miejsca prowadzenia działalności, nie z miejsca dostawy. Zgłoszenia do niemieckiego, francuskiego ani hiszpańskiego CSIRT nie są składane.

Obowiązek językowy rozgałęzia się per rynek. Produkt wysyłany na rynek francuski wymaga treści skierowanych do użytkownika w języku francuskim. Produkt wysyłany na rynek niemiecki wymaga treści w języku niemieckim. Jeden pakiet po włosku nie pokrywa tych rynków.

Organ nadzoru rynku każdego przyjmującego państwa członkowskiego może ponadto zażądać dokumentacji technicznej w języku łatwo zrozumiałym dla tego organu. Jeśli łańcuch dostaw obejmuje wiele rynków UE, należy spodziewać się wniosków w co najmniej jednym szeroko stosowanym języku roboczym. Wcześniejsze przetłumaczenie najczęściej żądanych sekcji dokumentacji technicznej to praktyczne zabezpieczenie.

Krajowe programy finansowania

Obraz finansowania dla włoskich producentów planujących inwestycje w zgodność z CRA w 2026 r. obejmuje SECURE, sektorowe linie regionalne oraz zamykające się okna Transizione 5.0 i PNRR. Przed zaplanowaniem jakiejkolwiek pozycji budżetowej należy dokładnie sprawdzić, co pozostaje otwarte i technicznie kwalifikowalne.

• Piano Transizione 5.0 to program ulgi podatkowej administrowany przez MIMIT, z całkowitą pulą 6,3 miliarda euro, powiązany z kwalifikowaną transformacją cyfrową i energetyczną procesów produkcyjnych. Przy planowaniu na 2026 r. należy sprawdzić status resztkowy i techniczną kwalifikowalność przed oparciem się na tym instrumencie; nie należy traktować go jako nowego, otwartego funduszu na cyberbezpieczeństwo lub zgodność. Narzędzia SBOM, platformy do obsługi podatności i infrastruktura bezpieczeństwa by design mieszczą się w zakresie tylko tam, gdzie prace z zakresu cyberbezpieczeństwa są częścią kwalifikowanej transformacji procesu produkcyjnego.
• SECURE (Strengthening EU SMEs Cyber Resilience) to nowy projekt finansowany ze środków UE, stworzony wprost z myślą o wspieraniu MŚP we wdrażaniu CRA. Całkowity budżet wynosi około 22 milionów euro, z czego 16,5 miliona euro to bezpośrednie wsparcie finansowe dla MŚP. ACN jest włoskim partnerem w 7-krajowym konsorcjum. Pierwszy nabór trwał od 28 stycznia do 29 marca 2026 r. z maksymalnym dofinansowaniem 30 000 euro na projekt. Uprawnieni do udziału są producenci, importerzy, dystrybutorzy i twórcy oprogramowania. Kolejnych naborów należy szukać w strumieniu ogłoszeń ACN.
• PNRR (Piano Nazionale di Ripresa e Resilienza) jest w końcowym oknie. Wszystkie projekty finansowane z NextGenerationEU muszą być zrealizowane do 31 sierpnia 2026 r., a ostateczne wnioski o płatności Włochy mają złożyć do 30 września 2026 r. PNRR nie jest więc realnym pojazdem planistycznym dla terminu zgodności CRA na 11 grudnia 2027 r.
• Regionalne vouchery na cyfryzację realizowane przez izby handlowe pozostają aktywne w 2026 r., z typowym limitem od 20 000 do 30 000 euro na beneficjenta. Mogą posłużyć do wstępnej diagnozy, nie pokryją pełnego programu CRA.

Dla inwestycji planowanych pod termin obowiązku z 11 grudnia 2027 r. realistyczna publiczna pula finansowania we Włoszech to SECURE i kolejne unijne programy dla MŚP, resztkowe lub następcze zachęty typu Transizione 5.0 tam, gdzie są technicznie kwalifikowalne dla transformacji produkcji, a także sektorowe linie regionalne.

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania konkretnych wskazówek dotyczących zgodności z CRA skonsultuj się z wykwalifikowanym prawnikiem.