Cyber Resilience Act: nuove responsabilità per chi costruisce macchine

Dal 11 settembre 2026 diventano applicabili gli obblighi di segnalazione previsti dal Cyber Resilience Act (CRA) per i prodotti con elementi digitali. Le tempistiche sono particolarmente stringenti: 24 ore per l'early warning, 72 ore per la notifica completa, 14 giorni o 1 mese per l’invio della relazione finale.

Per i fabbricanti di macchine, soprattutto quelli che progettano macchine connesse, sistemi di automazione, PLC, HMI, sensori intelligenti e funzionalità di accesso remoto, il tema non riguarda solo l'IT.

La macchina in quanto prodotto che contiene elementi digitali può rientrare nel campo di applicazione del CRA.  Esempi di elementi digitali sono PLC, software applicativi, implementazione di manutenzione da remoto, sistemi di raccolta dati, connessioni cloud, ecc ecc…

Inoltre al considerando 53 del CRA vi è un collegamento con il Nuovo Regolamento Macchine 1230/2023:  

I fabbricanti di prodotti che rientrano nell’ambito di applicazione del regolamento (UE) 2023/1230 del Parlamento europeo e del Consiglio che sono anche prodotti con elementi digitali come definiti nel presente regolamento dovrebbero rispettare sia i requisiti essenziali di cui al presente regolamento sia i requisiti essenziali di cibersicurezza di cui al presente regolamento e di tutela della salute di cui al regolamento (UE) 2023/1230 

La cybersecurity entra sempre più nel processo di progettazione, valutazione dei rischi e gestione del ciclo di vita del prodotto.

Questo significa:

• monitorare vulnerabilità e incidenti;
• definire procedure di segnalazione verso le autorità;
• garantire una gestione efficace degli aggiornamenti di sicurezza;
• integrare safety e cybersecurity in un unico approccio alla conformità.

Un aspetto spesso sottovalutato riguarda gli utilizzatori finali (End User / Asset Owner). Quando un'azienda realizza internamente una macchina, una linea produttiva o un sistema automatizzato integrando PLC, robot, sensori, software e componenti di diversi fornitori, può assumere a tutti gli effetti il ruolo di fabbricante ai sensi della legislazione di prodotto. In questi casi gli obblighi relativi alla progettazione, all'integrazione e alla gestione della cybersecurity non riguardano più solo l'OEM, ma anche l'utilizzatore che ha progettato o assemblato la soluzione.

La vera sfida non sarà rispettare una scadenza normativa, ma sviluppare la capacità organizzativa di identificare rapidamente un evento cyber, valutarne l'impatto e attivare il processo di segnalazione nei tempi richiesti.

Per molti costruttori di macchine, e per gli utilizzatori che realizzano internamente le proprie soluzioni automatizzate, il CRA rappresenta un ulteriore passo verso una nuova figura di prodotto: la macchina sicura non solo dal punto di vista della safety, ma anche della cybersecurity.