Hai un cliente che ti chiede: "la vostra app rispetta il Cyber Resilience Act?" e non sai cosa rispondere. Oppure hai letto il nome da qualche parte e ti sei chiesto se riguarda anche la tua officina, il tuo studio, il tuo negozio. La risposta breve, nella maggior parte dei casi, è no. Ma per una parte di PMI italiane — quelle che vendono un prodotto con dentro del software, a marchio proprio — dall'11 settembre 2026 la risposta è sì, ed è già in vigore.
Marco ha un'officina meccanica a Salerno. Da due anni vende anche una centralina che i clienti installano sui furgoni per monitorare consumi e manutenzione, con un'app abbinata sviluppata da un fornitore ma venduta col marchio della sua officina. Quella centralina, agli occhi del regolamento europeo, è un "prodotto con elementi digitali". E Marco, che l'ha messa sul mercato col proprio nome, ne è il "fabbricante" — anche se non ha scritto una riga di codice.
Chi deve segnalare, e cosa
Il Cyber Resilience Act (Regolamento UE 2024/2847) obbliga chi fabbrica o immette sul mercato un prodotto hardware o software con componenti digitali a segnalare due cose, tramite la piattaforma unica ENISA:
- una vulnerabilità del prodotto che qualcuno sta sfruttando attivamente
- un incidente di sicurezza grave che coinvolge il prodotto
I tempi sono stretti: 24 ore per un primo allarme, 72 ore per una notifica più dettagliata con le contromisure adottate, 14 giorni per il rapporto finale sulla vulnerabilità, 30 giorni su un incidente. Le sanzioni massime previste dal regolamento arrivano fino al 2,5% del fatturato mondiale per le violazioni più gravi — un tetto pensato per i grandi produttori, ma che sulla carta si applica a chiunque rientri nel perimetro.
Quando NON ti riguarda (il caso più comune)
Se in azienda usi un gestionale comprato da un fornitore, un CRM, un sito fatto da un'agenzia, un software di fatturazione: sei un "utilizzatore", non un fabbricante. L'obbligo di segnalazione è di chi ha costruito e immesso sul mercato quel software con il proprio marchio, non di chi lo usa per lavorare. La stragrande maggioranza delle PMI italiane — bar, negozi, studi professionali, aziende di servizi — rientra qui, e non deve fare nulla di diverso da prima.
Il confine si sposta se il software o il dispositivo lo vendi tu, a tuo marchio, ai tuoi clienti: un gestionale sviluppato su misura che rivendi ad altre aziende, un dispositivo IoT come quello di Marco, una piattaforma che i tuoi clienti usano per accedere a un servizio che gli fornisci. Lì il regolamento ti considera fabbricante, anche se lo sviluppo l'hai affidato a qualcun altro.