Fonti ufficiali
Cyber Resilience Act — Regolamento (UE) 2024/2847
Il calendario degli obblighi e delle scadenze del Cyber Resilience Act, con i riferimenti ai testi primari.
Ultima verifica: 29 luglio 2026 — ultimo atto recepito: Regolamento delegato (UE) 2026/881, pubblicato il 20 aprile 2026
Calendario
11 dicembre 2027
Data di applicazione generale del Regolamento
Il Regolamento si applica dall’11 dicembre 2027 (art. 71, par. 2), compresi i requisiti essenziali di cybersicurezza, la valutazione di conformità, la marcatura CE e gli obblighi di documentazione tecnica.
11 settembre 2026
Si applica l’obbligo di segnalazione di vulnerabilità e incidenti
Diventa applicabile l’art. 14 (art. 71, par. 2), che impone ai fabbricanti di prodotti con elementi digitali di segnalare le vulnerabilità sfruttate attivamente e gli incidenti che compromettono la sicurezza del prodotto. Secondo le FAQ ufficiali ENISA, le segnalazioni passeranno dalla piattaforma unica di segnalazione (Single Reporting Platform), prevista operativa entro questa data con un periodo di test prima.
Reg. (UE) 2024/2847, art. 14 · ENISA — Single Reporting Platform
27 luglio 2026
La Commissione pubblica la prima guida ufficiale all’applicazione del CRA
Con la comunicazione C(2026) 5252 final del 27 luglio 2026 la Commissione approva la guida sull’applicazione del CRA prevista dall’art. 26 del Regolamento, rivolta agli operatori economici con particolare attenzione a microimprese e PMI. La guida, allegata alla comunicazione, chiarisce l’ambito di applicazione (incluse le soluzioni di trattamento remoto dei dati e il software libero e open source), le modifiche sostanziali, i periodi di supporto e gli obblighi di segnalazione, con esempi pratici. Non modifica le scadenze del Regolamento.
11 giugno 2026
Si applicano le norme sugli organismi di valutazione della conformità
Diventa applicabile il Capo IV (artt. 35–51), relativo alla notifica delle autorità di notifica e degli organismi di valutazione della conformità che alcuni fabbricanti dovranno utilizzare prima di immettere un prodotto sul mercato UE (art. 71, par. 2).
11 dicembre 2025
Adottato l’atto delegato sulle notifiche trattenute dai CSIRT
Il Regolamento delegato (UE) 2026/881 (C/2025/8407), adottato l’11 dicembre 2025 e pubblicato in Gazzetta Ufficiale UE il 20 aprile 2026, integra il CRA specificando i termini e le condizioni per l’applicazione dei motivi connessi alla cibersicurezza in base ai quali il CSIRT che riceve per primo una notifica può ritardarne la diffusione agli altri CSIRT (art. 16, par. 2, del CRA). Entra in vigore il ventesimo giorno successivo alla pubblicazione.
28 novembre 2025
Adottato l’atto di esecuzione sulle descrizioni tecniche dei prodotti importanti e critici
Il Regolamento di esecuzione (UE) 2025/2392, pubblicato in Gazzetta Ufficiale UE il 1° dicembre 2025, definisce le descrizioni tecniche delle categorie di prodotti con elementi digitali importanti e critici ai sensi dell’art. 7 del CRA, da cui dipendono le procedure di valutazione della conformità applicabili.
10 dicembre 2024
Entra in vigore il Cyber Resilience Act
Il Regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione (art. 71, par. 1). La maggior parte degli obblighi resta comunque soggetta a un periodo transitorio.
20 novembre 2024
Pubblicazione del Cyber Resilience Act in Gazzetta Ufficiale UE
Il Regolamento (UE) 2024/2847, adottato il 23 ottobre 2024, viene pubblicato nella Gazzetta Ufficiale dell’Unione europea (GU L del 20.11.2024).
Cosa è cambiato, e quando
Non risultano ancora modifiche registrate per questo registro.