NIS2 e Cyber Resilience Act: organizzazioni e prodotti, differenze e punti di contatto
La NIS2 riguarda come un'organizzazione protegge i propri servizi, il Cyber Resilience Act come sono fatti i prodotti con software. Chi deve applicare cosa, le date e dove si toccano: la filiera.
La NIS2 e il Cyber Resilience Act vengono spesso citati insieme, e non a caso: sono due pezzi dello stesso disegno europeo. Ma guardano a cose diverse. La NIS2 riguarda come un'organizzazione protegge i propri sistemi e servizi; il Cyber Resilience Act riguarda come sono progettati e mantenuti i prodotti che contengono software e si collegano a una rete. Il punto in cui si incontrano è la filiera: il fornitore che applica il Cyber Resilience Act è l'anello che l'impresa soggetta alla NIS2 deve saper governare, come ha sintetizzato l'ACN all'incontro con Assolombarda del 28 ottobre 2026.
Questa guida spiega cos'è il Cyber Resilience Act, le sue date, le differenze con la NIS2 e cosa devono fare le aziende che si trovano da una parte, dall'altra o in tutte e due.
Cos'è il Cyber Resilience Act
È il regolamento (UE) 2024/2847 del 23 ottobre 2024, chiamato nella versione italiana «regolamento sulla ciberresilienza», pubblicato nella Gazzetta ufficiale dell'Unione il 20 novembre 2024. Essendo un regolamento si applica direttamente, senza un decreto di recepimento come quello che ha portato la NIS2 in Italia.
Stabilisce requisiti essenziali di cibersicurezza per la progettazione, lo sviluppo e la produzione dei prodotti con elementi digitali, requisiti per la gestione delle vulnerabilità da parte dei fabbricanti e obblighi per gli operatori economici: fabbricanti, importatori e distributori (art. 1). Si applica ai prodotti messi a disposizione sul mercato la cui finalità o il cui uso ragionevolmente prevedibile comprende una connessione dati, diretta o indiretta, a un dispositivo o a una rete (art. 2, par. 1). Per «prodotto con elementi digitali» si intende qualsiasi prodotto software o hardware, comprese le relative soluzioni di elaborazione dati da remoto (art. 3, punto 1).
Non si applica, tra l'altro, ai prodotti coperti dai regolamenti sui dispositivi medici e sui dispositivi diagnostici in vitro (2017/745 e 2017/746), sull'omologazione dei veicoli (2019/2144), ai prodotti certificati secondo il regolamento sulla sicurezza aerea (2018/1139), all'equipaggiamento marittimo, ai pezzi di ricambio identici e ai prodotti per la sola sicurezza nazionale o difesa (art. 2, par. 2-7).
Le date da sapere
| Data | Cosa succede | Fonte |
|---|---|---|
| 10 dicembre 2024 | Entrata in vigore (ventesimo giorno dalla pubblicazione) | art. 71, par. 1 |
| 11 giugno 2026 | Si applicano le regole sugli organismi che valuteranno la conformità dei prodotti (capo IV) | art. 71, par. 2 |
| 11 settembre 2026 | Si applicano gli obblighi di segnalazione dei fabbricanti: vulnerabilità attivamente sfruttate e incidenti gravi | art. 71, par. 2; art. 14 |
| 11 dicembre 2027 | Si applica tutto il regolamento: requisiti essenziali, marcatura CE, documentazione tecnica | art. 71, par. 2 |
I prodotti immessi sul mercato prima dell'11 dicembre 2027 devono rispettare i requisiti solo se da quella data subiscono una modifica sostanziale (art. 69, par. 2). Gli obblighi di segnalazione, però, valgono anche per loro (art. 69, par. 3): un fabbricante che ha venduto un dispositivo nel 2023 e scopre oggi una vulnerabilità attivamente sfruttata deve segnalarla.
NIS2 e Cyber Resilience Act: le differenze
| NIS2 (d.lgs. 138/2024) | Cyber Resilience Act (reg. UE 2024/2847) | |
|---|---|---|
| Oggetto | L'organizzazione: i suoi sistemi informativi e di rete e i servizi che eroga | Il prodotto con elementi digitali, per tutto il periodo in cui è in uso |
| Chi | Soggetti essenziali e importanti, per settore e dimensione | Fabbricanti, importatori e distributori dei prodotti, a qualsiasi dimensione |
| Cosa chiede | Misure di gestione del rischio (art. 24), con le misure di base dell'ACN | Requisiti essenziali di cibersicurezza e di gestione delle vulnerabilità (allegato I), valutazione dei rischi del prodotto, assistenza per almeno cinque anni salvo uso previsto più breve (art. 13) |
| Cosa si segnala | Incidenti significativi per i servizi (art. 25) | Vulnerabilità attivamente sfruttate e incidenti gravi che toccano la sicurezza del prodotto (art. 14) |
| A chi | CSIRT Italia, dal Portale ACN | CSIRT designato come coordinatore e ENISA, tramite la piattaforma unica di segnalazione |
| Sanzioni massime | 10 milioni o 2% (essenziali), 7 milioni o 1,4% (importanti) (art. 38) | 15 milioni o 2,5% per requisiti essenziali e obblighi degli artt. 13 e 14; 10 milioni o 2% e 5 milioni o 1% per altre violazioni (art. 64) |
Il Cyber Resilience Act, in altre parole, non chiede di registrarsi all'ACN né di avere politiche aziendali approvate dal consiglio: chiede che il prodotto nasca sicuro e resti sicuro, con aggiornamenti e una gestione delle vulnerabilità. La NIS2 non dice come deve essere fatto un prodotto: chiede che chi lo usa per erogare servizi importanti scelga e gestisca bene i propri fornitori.
Le segnalazioni del Cyber Resilience Act, già in vigore
Dall'11 settembre 2026 un fabbricante deve segnalare, attraverso la piattaforma unica gestita dall'ENISA (art. 16), ogni vulnerabilità attivamente sfruttata nel suo prodotto e ogni incidente grave che ne tocca la sicurezza (art. 14, par. 1 e 3). I termini ricalcano in parte quelli della NIS2:
- preallarme entro 24 ore da quando ne è venuto a conoscenza;
- notifica entro 72 ore, con le informazioni generali, le misure correttive e quelle che possono prendere gli utilizzatori;
- relazione finale entro 14 giorni da quando è disponibile una misura correttiva, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti gravi (art. 14, par. 2 e 4).
La notifica passa dal terminale del CSIRT coordinatore dello Stato in cui il fabbricante ha lo stabilimento principale nell'Unione (art. 14, par. 7). In Italia il CSIRT Italia è designato coordinatore per la divulgazione coordinata delle vulnerabilità (d.lgs. 138/2024, art. 16, c. 1), e l'ACN ha adottato la politica nazionale di divulgazione coordinata con la determinazione 301868 del 6 ottobre 2026.
Dove si toccano: la filiera
Le misure dell'ACN chiedono ai soggetti NIS di definire requisiti di sicurezza per le forniture con impatti sui sistemi, di inserirli nei contratti e di verificarli (misure GV.SC-01, GV.SC-05 e GV.SC-07), di seguire le vulnerabilità e di installare solo software supportato, salvo ragioni documentate (ID.RA-08 e PR.PS-02). Il Cyber Resilience Act lavora dall'altro lato: fa sì che i prodotti abbiano aggiornamenti di sicurezza per un periodo dichiarato e che i fabbricanti gestiscano le vulnerabilità. Lo dice lo stesso regolamento, che mira anche a facilitare il rispetto dei requisiti sulla catena di approvvigionamento della NIS2 (considerando 68).
In pratica, per un soggetto NIS che acquista macchine, apparati di rete, software o dispositivi connessi:
- nei capitolati e nei contratti potete chiedere la conformità al Cyber Resilience Act per i prodotti immessi sul mercato dall'11 dicembre 2027, il periodo di assistenza dichiarato e un contatto per le vulnerabilità;
- nel piano delle vulnerabilità potete tenere traccia degli avvisi dei fabbricanti accanto a quelli del CSIRT Italia;
- nella valutazione dei fornitori la fine del periodo di assistenza diventa una data da gestire, perché un software fuori supporto va motivato e compensato.
Come impostare questi requisiti è in NIS2 e fornitori e in vulnerabilità e patch.
Chi deve fare cosa
| Se siete... | NIS2 | Cyber Resilience Act |
|---|---|---|
| Un soggetto NIS che usa prodotti digitali (per esempio un'azienda alimentare o un ospedale) | Sì: misure, incidenti, fornitori | No come fabbricante; lo usate come leva verso i fornitori |
| Un costruttore di macchine o apparati connessi, media impresa nei codici NACE da C26 a C30 | Sì, per l'organizzazione (manifatturiero) | Sì, per i prodotti |
| Una software house che vende software | Dipende: per esempio se gestisce i sistemi dei clienti come servizio (MSP) o eroga servizi cloud | Sì, per il software immesso sul mercato |
| Un piccolo produttore di dispositivi connessi | Di norma no, sotto la media impresa | Sì, a qualsiasi dimensione |
| Un importatore o distributore di prodotti digitali | Solo se rientra per altre attività | Sì, con gli obblighi propri di importatori e distributori |
Chi è sia soggetto NIS sia fabbricante ha due canali di segnalazione da tenere distinti: l'incidente significativo per i propri servizi va al CSIRT Italia secondo la NIS2; la vulnerabilità sfruttata nel prodotto venduto ai clienti va segnalata secondo il Cyber Resilience Act. Lo stesso evento può far scattare entrambe, per esempio un attacco che compromette il servizio di aggiornamento dei prodotti. Conviene un solo piano di gestione degli incidenti con i due rami, come per il GDPR.
Da dove partire
- Capite in quale casella siete: la verifica gratuita vi dice se la NIS2 vi riguarda; per il Cyber Resilience Act chiedetevi se mettete sul mercato prodotti con software e connessione.
- Se siete soggetti NIS, aggiornate i requisiti per i fornitori di prodotti digitali e il piano delle vulnerabilità.
- Se siete fabbricanti, preparate già oggi il processo di segnalazione dell'art. 14, che è in vigore, e pianificate i requisiti per il dicembre 2027.
- Se siete entrambe le cose, unite i processi dove si può: un registro, due canali di notifica, un solo responsabile del coordinamento.
Pilot vi guida sugli obblighi NIS2, fornitori e vulnerabilità compresi: iniziate il percorso. Se siete un costruttore e volete capire come si intrecciano i due regolamenti per la vostra azienda, c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis