CRA för italienska tillverkare: ACN, ACCREDIA, Legge 36/2026

Italienska tillverkare har samma skyldigheter enligt Legge sulla ciberresilienza som alla andra EU-tillverkare. Den här sidan är en landöversikt för Italien: hur sårbarhet- och incidentrapporter routas via CSIRT Italia, hur ACN fungerar som både notifierande myndighet och marknadskontrollmyndighet enligt Legge 36/2026, var ACCREDIA passar in som ackrediteringssteg, hur OCSI kopplar till det europeiska EUCC-systemet, de italienska språkkraven, och vilka av finansieringslinjerna Transizione 5.0, PNRR och SECURE som är realistiska för efterlevnadsinvesteringar. För det fullständiga skyldighetsutbudet, se klusterguiden för tillverkare.

När den här guiden gäller för dig

Du är målläsaren om din tillverkares "huvudsakliga etablering i unionen" finns i Italien. Det innebär den plats där beslut rörande cybersäkerheten hos dina produkter med digitala element i huvudsak fattas. Ett italienskt-registrerat försäljningsbolag med teknikutveckling utomlands är inte den huvudsakliga etableringen. Om ditt teknikteam, din SDLC-styrning och de personer som godkänner säkerhetsuppdateringsversioner sitter i Italien är den här guiden för dig.

Om din huvudsakliga etablering finns i ett annat EU-land och du bara säljer till Italien routas dina CRA-rapporter via CSIRT:en i din etableringsmedlemsstat, inte CSIRT Italia. Kravet på italiensk-språkig information för slutanvändare gäller ändå för varje produkt som släpps ut på den italienska marknaden.

ACN och CSIRT Italia: den italienska CSIRT-vägen

CRA-anmälningar routas via den CSIRT som är utsedd till samordnare i den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen. För en tillverkare vars huvudsakliga etablering finns i Italien är den CSIRT:en CSIRT Italia, den nationella CSIRT som drivs inom ACN.

ACN, inrättat enligt Decreto-Legge 82/2021 (omvandlat av Legge 109/2021), är Italiens nationella cybersäkerhetsmyndighet. Det rapporterar till premiärministerns kansli och fungerar som den enda nationella kontaktpunkten för cybersäkerhetspolitik, certifiering och reglering. CSIRT Italia publicerar italienskspråkiga sårbarhetsråd och driver flödet för incidenthantering för konsumentprodukter.

Den tekniska kanalen för rapporteringskadensen 24 h/72 h/14 dagar är ENISA:s gemensamma rapporteringsplattform, som tas i drift den 11 september 2026. En italiensk tillverkare lämnar in via den plattformen med CSIRT Italia som mottagande samordnare. CSIRT-utpekandet är routingen. Plattformen är transporten.

Anmälda organ: ACN notifierar, ACCREDIA ackrediterar

För Important Class I-produkter där ingen harmoniserad standard tillämpas, Important Class II-produkter och kritiska produkter krävs ett anmält organ för bedömning av överensstämmelse (modul B+C eller modul H).

Den italienska institutionella uppdelningen är:

• ACN är den notifierande myndigheten som formellt utser italienska anmälda organ till Europeiska kommissionen, förankrad i Legge 36/2026 och operationaliserad av det genomförande dekretet.
• ACCREDIA (Ente Italiano di Accreditamento) är det italienska nationella ackrediteringsorganet och bedömer en kandidats tekniska kompetens under ISO/IEC 17065:2012. Ackreditering beskrivs av ACCREDIA som det föredragna verktyget för att intyga kompetens och oberoende, även om det inte är ett strikt obligatoriskt förutsättningskrav för notifiering under Legge sulla ciberresilienza.

Ramverket för anmälda organ under Legge sulla ciberresilienza gäller från den 11 juni 2026, varefter utsedda organ kan börja utfärda CRA-certifikat för bedömning av överensstämmelse. Italienska kandidater med relevant produktcertifieringsexpertis inkluderar IMQ, RINA Services, Bureau Veritas Italia och TÜV Italia. Slutliga CRA-utpekanden publiceras i Europeiska kommissionens NANDO-databas. En italiensk tillverkare kan använda vilket EU-anmält organ som helst, inte bara italiensk-utsedda.

ACN: CRA:s marknadskontrollmyndighet

Till skillnad från Spanien (där ministeriet bär marknadsövervakning) och Frankrike (där ANFR gör det) samlar Italien både notifiering och marknadsövervakning inom ACN. Legge 36/2026 identifierar ACN som autorità di vigilanza del mercato (marknadskontrollmyndigheten) under CRA artikel 52, vid sidan av dess notifierande roll under artikel 36.

Varje formell CRA-interaktion av en italiensk tillverkare routas via ACN som enda motpart: motiverade begäranden om teknisk dokumentation, begäranden om dokumentspråk, inspektioner på plats och anmälan om driftsupphörande. Codice del Consumo (Decreto Legislativo 206/2005) reglerar allmän konsumentproduktsäkerhet i Italien via Ministero delle Imprese e del Made in Italy (MIMIT) och AGCM, men den formella CRA-marknadskontrollmyndigheten för produkter med digitala element är ACN.

Sanktioner ligger inom CRA:s EU-nivåtak (upp till 15 miljoner euro eller 2,5% av global årsomsättning för de allvarligaste överträdelserna). Det genomförande dekretet förväntas fastställa den italienska bötesskalan inom dessa tak.

OCSI och det europeiska EUCC-systemet

Organismo di Certificazione della Sicurezza Informatica (OCSI) är Italiens Common Criteria-certifieringsorgan, inrymt inom ACN sedan den 1 juli 2022 (överfört från det tidigare ekonomiministeriet). OCSI är ackrediterat av ACCREDIA under UNI CEI EN ISO/IEC 17065:2012 för att verka inom EUCC-systemet som antagits under EU-förordning 2019/881.

OCSI:s nationella äldre certifieringsordning upphörde den 26 februari 2026 och OCSI verkar nu enbart under EUCC. Enligt CRA artikel 27 kan europeiska cybersäkerhetscertifieringssystem stödja presumtion om överensstämmelse för täckta krav när kommissionen anger systemet genom en delegerad akt för CRA-ändamål. Tills EUCC-vägen har specificerats för CRA ska ett OCSI-utfärdat EUCC-certifikat behandlas som stark bevisning för täckt räckvidd, inte som en fristående redan fungerande genväg.

Italienska språkkrav i praktiken

Legge sulla ciberresilienza kräver att användarriktad produktinformation är på ett språk som lätt förstås av användare och den lokala marknadskontrollmyndigheten. För produkter på den italienska marknaden är det italienska. Codice del Consumo kräver oberoende italienska i konsumentproduktinformation, så CRA-kravet stämmer överens med en långvarig nationell regel.

Måste vara på italienska:

• Bruksanvisningar och produktinformation som medföljer produkten.
• Tillverkarens kontaktuppgifter, oavsett var de visas.
• Upplysningen om supportperiodens slutdatum som visas vid köptillfället.

Kan vara flerspråkig:

• Produktetikett och CE-märkning.
• Förpackningstext.
• Onlinedokumentation, förutsatt att en italiensk version är tillgänglig.

Engelska accepteras normalt för:

• Intern teknisk dokumentation. ACN kan begära en italiensk översättning under motiverad begäran, så planera för den situationen.

EU-försäkran om överensstämmelse får upprättas på vilket officiellt EU-språk som helst, men räkna med en begäran om italiensk översättning vid en ACN-inspektion. Tyska i Sydtyrolen, franska i Aostadalen och slovenska i Friuli Venezia Giulia-gränszonen är samofficiella under deras regionala stadgar men inte CRA-obligatoriska. Regionala upphandlingskontrakt eller sektorsregulatorer kan lägga till egna språkklausuler, separat från Legge sulla ciberresilienza.

Gränsöverskridande försäljning från Italien

Italienska tillverkare som säljer till Tyskland, Frankrike, Spanien eller något annat EU-land bär samma enkelroutingsregel: dina rapporter går fortfarande till CSIRT Italia, eftersom routing följer huvudsaklig etablering, inte leveransdestination per sändning. Du lämnar inte in till den tyska, franska eller spanska CSIRT:en.

Språkkravet sprider sig per marknad. En produkt som skickas till den franska marknaden behöver franskt användarriktat innehåll. En produkt som skickas till den tyska marknaden behöver tyskt innehåll. Det enskilda italienska språkpaketet täcker inte dessa marknader.

Varje mottagande medlemsstats marknadskontrollmyndighet kan också begära din tekniska dokumentation på ett språk som den myndigheten lätt förstår. Om din leverans sträcker sig brett över EU, räkna med begäranden på minst ett allmänt använt arbetsspråk, och behandla tidig översättning av de mest efterfrågade avsnitten i den tekniska dokumentationen som en praktisk säkerhetsåtgärd.

Nationella finansieringsprogram

Finansieringsläget för italienska tillverkare som planerar CRA-investeringar 2026 omfattar SECURE, sektorsspecifika regionala linjer samt avslutande fönster för Transizione 5.0 och PNRR. Var noggrann med vad som fortfarande är öppet och tekniskt stödberättigat innan du planerar en post mot något av dessa.

• Piano Transizione 5.0 är ett MIMIT-administrerat skattekreditprogram med ett samlat tak på 6,3 miljarder euro, kopplat till stödberättigad digital och energimässig omställning av produktionsprocesser. För planering 2026 ska kvarvarande status och teknisk stödberättigande kontrolleras innan det används; behandla det inte som en ny öppen cybersäkerhets- eller efterlevnadsfond. CRA-drivna SBOM-verktyg, plattformar för sårbarhetshantering och säkerhet-genom-design-infrastruktur passar bara in när cybersäkerhetsarbetet är del av stödberättigad omställning av produktionsprocessen.
• SECURE (Strengthening EU SMEs Cyber Resilience) är ett nytt EU-finansierat projekt som uttryckligen är byggt för att stödja SME-implementering av Legge sulla ciberresilienza. Total budget runt 22 miljoner euro, varav 16,5 miljoner euro är direkt ekonomiskt stöd till SME. ACN är den italienska partnern i ett konsortium med 7 länder. Den första utlysningen löpte från 28 januari till 29 mars 2026 med maximalt 30 000 euro per projekt. Tillverkare, importörer, distributörer och mjukvaruutvecklare är alla berättigade. Följ ACN:s annonseringsflöde för nästa utlysning.
• PNRR (Piano Nazionale di Ripresa e Resilienza) befinner sig i sitt avslutande fönster. Alla NextGenerationEU-finansierade projekt måste vara genomförda senast den 31 augusti 2026, med Italiens slutliga betalningsbegäranden förfallna senast den 30 september 2026. PNRR är därför inte ett lämpligt planeringsverktyg för CRA:s efterlevnadsdeadline den 11 december 2027.
• Regionala digitaliseringsvouchers som löper via handelskamrarna är fortfarande i drift under 2026, vanligtvis begränsade till mellan 20 000 och 30 000 euro per stödmottagare. Användbara för en initial diagnos, inte för det fullständiga CRA-programmet.

För efterlevnadsinvesteringar daterade mot skyldighetsdeadlinen den 11 december 2027 är den realistiska offentliga finansieringsbilden i Italien SECURE (och uppföljande EU SME-program), kvarvarande eller efterföljande Transizione 5.0-liknande incitament där de är tekniskt stödberättigade för produktionsomställning, och sektorsspecifika regionala linjer.

Den här artikeln är endast avsedd för informationsändamål och utgör inte juridisk rådgivning. Konsultera kvalificerade juridiska rådgivare för specifik CRA-efterlevnadsvägledning.