Approvato lo schema di decreto legislativo sul Cyber Resilience Act (Atto 447). Definiti i controlli dell'ACN, le sanzioni e gli obblighi per chi produce o distribuisce software in Italia.
Il 2 ottobre 2026 il Consiglio dei ministri ha approvato lo schema decreto Cyber Resilience Act Italia, trasmesso successivamente alla Camera dei deputati come Atto del Governo n. 447. Il provvedimento riguarda direttamente le aziende che producono, personalizzano o distribuiscono software e dispositivi connessi all'interno del mercato europeo. Per evitare sanzioni, le imprese devono iniziare da subito a mappare i propri applicativi, generare la distinta base del software (SBOM) e predisporre procedure interne per la notifica degli incidenti informatici.
L'Atto del Governo n. 447 e il ruolo di ACN
Lo schema di decreto legislativo adegua l'ordinamento italiano al Regolamento (UE) 2024/2847, noto come Cyber Resilience Act (CRA). Il testo, composto da 27 articoli suddivisi in 8 capi, definisce il modello operativo dei controlli e il coordinamento istituzionale a livello nazionale.
L'Agenzia per la Cybersicurezza Nazionale (ACN) è designata quale autorità di vigilanza del mercato e autorità di notifica. Durante le attività ispettive su software e hardware, l'ACN potrà avvalersi del supporto operativo della Guardia di Finanza. I proventi derivanti dalle sanzioni pecuniarie saranno riassegnati al bilancio dell'Agenzia per potenziare le operazioni di controllo.
La valutazione e il controllo degli organismi terzi di valutazione della conformità (organismi notificati) sono affidati ad Accredia, separando così la fase di accreditamento tecnico dalla notifica istituzionale. Per i prodotti che integrano sistemi di intelligenza artificiale ad alto rischio, la vigilanza spetta alle autorità previste dall'AI Act; per gli istituti vigilati intervengono Banca d'Italia, Consob e IVASS, ferma restando la competenza del Garante per la protezione dei dati personali.
Chi è coinvolto e i nuovi obblighi per il software
A differenza della direttiva NIS2, che si applica agli operatori essenziali e importanti per la continuità operativa, il CRA coinvolge direttamente i prodotti. Per le software house e i distributori italiani non sarà più sufficiente vendere un applicativo funzionante: occorrerà fornire la marcatura CE, gestire le vulnerabilità lungo l'intero ciclo di vita del prodotto e sottostare alle verifiche tecniche dell'ACN.
Dall'11 settembre 2026 sono già in vigore specifici obblighi di segnalazione. I fabbricanti devono comunicare le vulnerabilità attivamente sfruttate e gli incidenti gravi direttamente al CSIRT Italia e a ENISA, inviando un preallarme entro 24 ore e una notifica dettagliata entro 72 ore. L'entrata in vigore definitiva dei requisiti di prodotto è invece fissata per l'11 dicembre 2027.
Sanzioni previste e tutele per le PMI
Lo schema di decreto recepisce il quadro sanzionatorio stabilito dall'art. 64 del Regolamento UE 2024/2847:
- Fino a 15.000.000 di euro o al 2,5% del fatturato mondiale annuo (se maggiore) per l'inosservanza dei requisiti essenziali di cybersicurezza.
- Fino a 10.000.000 di euro o al 2% del fatturato per la violazione degli altri obblighi del fabbricante.
- Fino a 5.000.000 di euro o all'1% del fatturato per la fornitura di informazioni inesatte o fuorvianti.
Sono previste esenzioni specifiche: le micro e piccole imprese non sono sanzionate per il solo mancato rispetto del preallarme di 24 ore. Inoltre, sono escluse le sanzioni amministrative pecuniarie per i gestori di componenti open source privi di finalità commerciali.
Per supportare le PMI, viene istituita la "Sandbox-CRA", uno spazio di sperimentazione normativa controllato da ACN. Questo ambiente permette di collaudare e verificare i requisiti di sicurezza di prodotti digitali innovativi prima dell'immissione sul mercato, garantendo un accesso prioritario alle micro e piccole imprese. ACN e Ministero delle Imprese e del Made in Italy (MIMIT) predisporranno anche un canale di assistenza dedicato con tariffe agevolate.
Cosa fare
- Soluzione definitiva (preparazione tecnica e documentale):
- Mappare il catalogo dei software e applicativi sviluppati o distribuiti per identificare se rientrano tra i prodotti standard, "importanti" o "critici".
- Introdurre nei flussi di rilascio la generazione automatica della distinta base del software (SBOM) per tracciare componenti e librerie di terze parti.
- Istituire una procedura interna per la notifica degli incidenti e delle falle attivamente sfruttate entro i termini di 24 e 72 ore verso CSIRT Italia.
- Soluzione temporanea (in attesa dell'approvazione finale del decreto):
- Monitorare l'iter parlamentare dell'Atto del Governo n. 447 per la pubblicazione del testo definitivo in Gazzetta Ufficiale (il parere parlamentare è atteso entro il 18 novembre 2026).
- Verificare la disponibilità delle linee guida ACN/MIMIT per accedere alla Sandbox-CRA e ai servizi di supporto per le PMI.
Verificare se la propria azienda commercializza prodotti digitali o pacchetti software soggetti agli obblighi di certificazione e segnalazione.
