Schema Dlgs adeguamento normativa nazionale Regolamento ciberresilienza (CRA)

Schema Dlgs adeguamento normativa nazionale Regolamento ciberresilienza (CRA)

ID 27279 | 13 Ottobre 2026 / Allegato

Schema di decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale al regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica i regolamenti (UE) n. 168/2013 e (UE) 2019/1020 e la direttiva (UE) 2020/1828 (regolamento sulla ciberresilienza)

Atto del Governo n. 447

Fase Iter: In corso di esame
Trasmesso ai sensi: articolo 15 della legge 17 marzo 2026, n. 36
Data trasmissione: 9 ottobre 2026
Annunciato all'Assemblea in data: 12 ottobre 2026

__________

Il presente decreto legislativo è adottato ai sensi dell’articolo 15 della legge 17 marzo 2026, n. 36, recante “Delega al Governo per il recepimento delle direttive europee e l’attuazione di altri atti dell’Unione europea - Legge di delegazione europea 2025”, ed è finalizzato all’adeguamento dell’ordinamento nazionale sulle disposizioni del regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativo a requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali, e che modifica i regolamenti (UE) n. 168/2013 e (UE) 2019/1020 e la direttiva (UE) 2020/1828 (c.d. regolamento sulla cyberresilienza).   

Il regolamento (UE) 2024/2847, entrato in vigore il 10 dicembre 2024, introduce requisiti orizzontali di cybersicurezza per garantire un livello elevato e uniforme di sicurezza nei prodotti con elementi digitali, destinati ad applicarsi a software, hardware e componenti immessi sul mercato dell’Unione. La disciplina europea, infatti, è orientata a favorire lo sviluppo di prodotti con elementi digitali sicuri, garantendo, tra l’altro, che i prodotti hardware e software siano immessi sul mercato con un minor numero di vulnerabilità e che i fabbricanti prendano in considerazione la sicurezza durante l’intero ciclo di vita di un prodotto. Inoltre, anche attraverso l’obbligo per i fabbricanti di apporre il marchio CE sui prodotti conformi, si rafforza la tutela del consumatore rispetto all’acquisto e all’utilizzo di prodotti con elementi digitali cybersicuri.

Centrale ai fini dell’adeguamento dell’ordinamento nazionale al regolamento sulla cyberresilienza è la definizione di un modello di governance. Infatti, il regolamento sulla cyberresilienza richiede a ciascuno Stato membro di designare un’autorità di notifica competente per la valutazione, designazione, notifica e controllo degli organismi di valutazione della conformità e consente agli Stati membri di affidare le funzioni di valutazione e controllo all’organismo nazionale di accreditamento ai sensi e in conformità del regolamento (CE) 765/2008.

Parimenti, il regolamento sulla cyberresilienza richiede a ciascuno Stato membro di designare una o più autorità di vigilanza del mercato, chiamate a garantirne l’effettiva applicazione. Il citato regolamento disciplina, inoltre, specificamente, la fattispecie relativa ai prodotti con elementi digitali che rientrano nell’ambito di applicazione del regolamento sulla cyberresilienza e che sono, al contempo, classificati come sistemi di IA ad alto rischio ai sensi del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024 (regolamento sull’intelligenza artificiale). Per quanto riguarda tali prodotti, infatti, è stabilito che la vigilanza sia svolta dalle autorità di vigilanza del mercato designate ai sensi del regolamento sull’intelligenza artificiale.

Con riferimento agli specifici poteri di vigilanza attribuiti alle autorità di vigilanza del mercato, il regolamento sulla cyberresilienza stabilisce espressamente, all’articolo 52, che il regolamento (UE) 2019/1020 si applichi ai prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento. Tali previsioni appaiono in linea con l’intenzione del legislatore europeo di non costruire, per i prodotti disciplinati dal regolamento sulla cyberresilienza, un sistema autonomo e separato di vigilanza, ma di ricondurre tali prodotti all’interno del quadro normativo generale già vigente per i prodotti soggetti alla normativa di armonizzazione dell’Unione.

In coerenza con tale impostazione, il legislatore europeo è intervenuto direttamente sul regolamento (UE) 2019/1020, modificandone l’allegato I, recante l’“Elenco della normativa di armonizzazione dell’Unione”, mediante l’inserimento del regolamento sulla cyberresilienza tra gli atti normativi ivi richiamati. Tale intervento riveste particolare rilievo sistematico, poiché l’inclusione del regolamento sulla cyberresilienza nell’allegato I determina l’assoggettamento dei prodotti con elementi digitali non soltanto alle specifiche disposizioni di cui al capo V del predetto regolamento, ma anche all’intero apparato di vigilanza e controllo previsto dal regolamento sulla vigilanza del mercato e dalle disposizioni nazionali che ne hanno permesso l’attuazione nell’ambito dell’ordinamento interno.

Tale scelta normativa muove dall’esigenza di garantire uniformità e coerenza nell’esercizio delle attività di vigilanza all’interno del mercato unico europeo, evitando la proliferazione di regimi di controllo settoriali e favorendo, invece, il ricorso a strumenti, procedure e meccanismi di cooperazione già ampiamente consolidati.

Per espressa volontà del legislatore europeo, dunque, la disciplina sulla vigilanza dei prodotti con elementi digitali prevista dal regolamento sulla cyberresilienza si innesta nel quadro normativo definito dal regolamento sulla vigilanza del mercato e sulla conformità dei prodotti e, nell’ordinamento italiano, nel sistema delineato dal decreto legislativo n. 157 del 2022, che ha dato attuazione alle relative disposizioni europee. Il regolamento sulla cyberresilienza deve, pertanto, essere letto e applicato in coordinamento con tali fonti normative, che continuano a disciplinare taluni profili organizzativi e procedurali dell’attività di controllo.

Sotto un altro profilo, il regolamento lascia agli Stati membri un margine di discrezionalità nella costruzione delle modalità di cooperazione tra l’autorità competente e le altre autorità nazionali previste nei settori contigui. Questo vale, in particolare, per il raccordo con le autorità di vigilanza del mercato già operanti ai sensi del d.lgs. n. 157 del 2022, per la circolazione delle informazioni con il CSIRT nazionale, per il rapporto con eventuali autorità settoriali e per l’integrazione con i meccanismi di controllo già esistenti in materia di cybersicurezza e intelligenza artificiale.

Un ulteriore ambito di discrezionalità riguarda il sistema sanzionatorio in relazione, in particolare, alla definizione dei profili procedurali, mentre gli obblighi la cui violazione è soggetta a sanzione e la relativa commisurazione trovano già puntuale definizione nell’articolo 64 del regolamento sulla cyberresilienza.

Infine, l’applicazione delle misure statuite dal regolamento si realizzerà per fasi, prevedendosi, in particolare, che:

- le norme di carattere generale si applicheranno dall’11 dicembre 2027;
- le disposizioni concernenti la notifica degli organismi di valutazione della conformità dall’11 giugno 2026;
- gli obblighi di notifica di vulnerabilità e incidenti gravi dall’11 settembre 2026.

Struttura del Decreto Legislativo

Il proposto decreto legislativo si compone di 27 articoli, suddivisi in otto Capi, e un allegato:

Capo I: Disposizioni generali
Capo II: Notifica degli organismi di valutazione della conformità
Capo III: Vigilanza del mercato
Capo IV: Disposizioni sanzionatorie
Capo V: Misure per le microimprese e le piccole imprese e di semplificazione
Capo VI: Spazi di sperimentazione normativa
Capo VII: Ulteriori modificazioni e integrazioni della normativa di settore e disposizioni di coordinamento
Capo VIII: Disposizioni transitorie, finanziarie e finali

[...]

Collegati

Allegati (Riservati) Abbonati Full Plus

Allegati

	Descrizione	Lingua	Dimensioni	Downloads
	Testo Atto del Governo n. 447 Abbonati Full Plus	IT	405 kB	0
	Relazione illustrativa Atto Governo n. 447 Abbonati Full Plus	IT	2762 kB	0