Scopri cosa chiede il CRA ai costruttori

Il Cyber Resilience Act (CRA) è il regolamento europeo che stabilisce i requisiti di cybersicurezza per tutti i prodotti con elementi digitali venduti nell'Unione, comprese le macchine connesse per la ristorazione e l'ospitalità. Per chi costruisce forni combinati, macchine per caffè professionali, fabbricatori di ghiaccio o lavastoviglie connesse, gli obblighi del CRA toccano tre momenti: la progettazione, gli aggiornamenti per tutto il periodo di supporto e la segnalazione degli incidenti. La segnalazione è già obbligatoria dall'11 settembre 2026.

Cos'è il Cyber Resilience Act e quando si applica ai costruttori

Il Cyber Resilience Act è il Regolamento (UE) 2024/2847, in vigore dal 10 dicembre 2024 e applicabile per fasi fino all'11 dicembre 2027. Chi immette sul mercato una macchina connessa deve dimostrare che è sicura quando la vende e che resta sicura negli anni in cui il cliente la usa.

Il testo del regolamento è su EUR-Lex. Per un costruttore HoReCa le date da tenere in agenda sono quattro.

La data del 2027 sembra lontana, ma conta il momento in cui ogni singola macchina viene venduta: anche le macchine a magazzino o di una linea già in produzione vendute dopo l'11 dicembre 2027 devono essere conformi. Per questo, come ha ricordato Claudio Telmon di P4I nel webinar di Things5 su CRA e NIS2, i contratti firmati oggi con fornitori e partner di sviluppo devono già garantire componenti che possano essere resi conformi.

Il 27 luglio 2026 la Commissione europea ha pubblicato le linee guida sull'applicazione del CRA, che chiariscono tra l'altro quando app e servizi cloud rientrano nel perimetro.

Quali macchine HoReCa rientrano nel CRA

Rientra nel CRA ogni macchina HoReCa con una connessione dati, diretta o indiretta, a un dispositivo o a una rete. Sono prodotti con elementi digitali il forno che riceve le ricette dal cloud, la macchina per caffè che invia i consumi a un'app e l'abbattitore con modulo Wi-Fi che notifica gli allarmi di temperatura.

Il perimetro comprende anche il software che fa funzionare la macchina a distanza. L'app con cui il cliente imposta i programmi e il backend cloud sviluppati da te o sotto la tua responsabilità rientrano nel CRA se, senza di loro, la macchina perde una sua funzione, anche quando li vendi come servizio separato. Il regolamento li chiama soluzioni di elaborazione dati da remoto. Il sito web aziendale resta invece fuori.

La connessione da considerare non è solo quella a internet: conta anche un collegamento a una rete locale, via Bluetooth o tramite una porta di servizio per il PC del tecnico, quindi conviene verificare la gamma modello per modello. Se aggiungi la connettività a un modello che non l'aveva, quel modello entra nel perimetro del CRA.

Le macchine per la ristorazione non compaiono negli elenchi dei prodotti importanti e critici, quindi in genere ricadono nella categoria predefinita, che consente la valutazione di conformità interna senza organismo notificato.

Cosa chiede il CRA in fase di progettazione

Il CRA chiede che ogni macchina connessa sia progettata sulla base di una valutazione dei rischi di cybersicurezza e che rispetti i requisiti essenziali della parte I dell'Allegato I. I requisiti riguardano anche il processo con cui la progetti, la sviluppi e la mantieni. Per un costruttore HoReCa i requisiti con l'impatto più diretto sono sette.

• Nessuna vulnerabilità nota sfruttabile al momento della vendita: firmware e librerie vanno verificati prima dell'immissione sul mercato.
• Configurazione sicura di default, con la possibilità di riportare la macchina allo stato originale. Una password di servizio identica su tutte le macchine contraddice questo principio.
• Protezione dagli accessi non autorizzati, con meccanismi adeguati di autenticazione e gestione delle identità per tecnici, distributori e gestori del locale.
• Integrità e riservatezza dei dati, perché ricette, parametri di cottura, comandi da remoto e registrazioni delle temperature per l'HACCP non devono poter essere alterati.
• Superficie di attacco ridotta, chiudendo porte, servizi e interfacce che la macchina non usa.
• Registrazione degli eventi di sicurezza, come accessi e modifiche, con la possibilità per l'utente di disattivarla.
• Continuità delle funzioni essenziali, per esempio un forno che continua a lavorare in sicurezza se perde la connessione.

In una cucina professionale la macchina spesso condivide il Wi-Fi con casse e terminali di pagamento, e intorno a lei lavorano il personale del locale, il tecnico esterno e il distributore. La valutazione dei rischi parte da questo scenario e dal contesto d'uso: una macchina adatta a un ristorante può non esserlo per la mensa di un ospedale.

Per la gestione degli accessi lungo la filiera, Things5 Connect offre oltre 40 permessi granulari, 5 livelli di accesso alla configurazione e lo storico delle modifiche ai parametri.

Aggiornamenti di sicurezza e gestione delle vulnerabilità

Il CRA obbliga il costruttore a gestire le vulnerabilità e a distribuire aggiornamenti di sicurezza per tutto il periodo di supporto della macchina, secondo la parte II dell'Allegato I.

Periodo di supporto e aggiornamenti gratuiti

Il periodo di supporto è il tempo in cui il costruttore si impegna a correggere le vulnerabilità della macchina, e di norma non può essere inferiore a 5 anni. Deve riflettere il tempo in cui la macchina resta realisticamente in uso. La data di fine supporto va comunicata al cliente al momento dell'acquisto, almeno con mese e anno.

Gli aggiornamenti di sicurezza devono essere gratuiti e, dove tecnicamente possibile, separati da quelli che aggiungono funzionalità. Ogni aggiornamento rilasciato deve restare disponibile per almeno 10 anni o per il resto del periodo di supporto, se più lungo.

Se ogni aggiornamento richiede la visita di un tecnico nel locale, distribuire una correzione su centinaia di macchine diventa un costo difficile da sostenere per tutto il periodo di supporto. Things5 Connect distribuisce gli aggiornamenti firmware da remoto, mostra l'esito per ciascuna e permette di rilanciare l'aggiornamento solo su quelle in cui non è andato a buon fine.

SBOM e divulgazione coordinata delle vulnerabilità

La SBOM (Software Bill of Materials) è l'elenco dei componenti software contenuti nel firmware, e il CRA la richiede in un formato leggibile da una macchina, almeno per le dipendenze di primo livello. Una vulnerabilità in uno di questi componenti diventa una vulnerabilità della tua macchina.

Il CRA chiede inoltre di testare regolarmente la sicurezza della macchina, di adottare una politica di divulgazione coordinata delle vulnerabilità con un contatto pubblico per le segnalazioni e di rendere note le vulnerabilità corrette. Per i componenti di terzi, come moduli di connettività o schede prodotte da un partner EMS (Electronics Manufacturing Services), serve la dovuta diligenza: chiedi al fornitore come gestisce le vulnerabilità e come lo ha fatto in passato. Fornitori piccoli o extraeuropei e librerie open source sono i casi più difficili da verificare.

Obblighi di segnalazione CRA: cosa fare entro 24 ore

Dall'11 settembre 2026 il costruttore deve segnalare ogni vulnerabilità attivamente sfruttata e ogni incidente grave che riguarda la sicurezza delle sue macchine. La segnalazione passa dalla piattaforma unica di segnalazione di ENISA, e arriva al CSIRT del Paese in cui l'azienda ha lo stabilimento principale. Per l'Italia il riferimento è CSIRT Italia, presso l'Agenzia per la cybersicurezza nazionale.

Gli incidenti da segnalare non sono i guasti, ma gli eventi che compromettono la sicurezza del prodotto, come un accesso abusivo all'ambiente di sviluppo del firmware o il furto delle chiavi con cui firmi gli aggiornamenti.

Le scadenze sono tre.

1. Preallarme entro 24 ore da quando vieni a conoscenza della vulnerabilità sfruttata o dell'incidente.
2. Notifica entro 72 ore, con le informazioni disponibili sul problema e sulle misure correttive o di mitigazione.
3. Relazione finale entro 14 giorni dalla disponibilità di una misura correttiva, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti gravi.

Il costruttore deve anche informare ristoranti, hotel e catene coinvolti e, quando serve, indicare le misure per ridurre il rischio.

La segnalazione non obbliga a sospendere le vendite, ma a sviluppare e distribuire le correzioni.

Per rispettare le 24 ore devi sapere in poche ore quali macchine sono coinvolte, dove sono installate e chi le gestisce. Things5 Connect monitora in tempo reale misure, stati ed eventi di ogni macchina. La struttura multi-organizzazione collega costruttore, distributori, centri assistenza e clienti finali, così sai a chi comunicare il problema.

Documentazione, marcatura CE e sanzioni

Dall'11 dicembre 2027 la marcatura CE di una nuova macchina connessa attesta anche la conformità al CRA. Per apporla il costruttore deve completare la valutazione di conformità, redigere la documentazione tecnica con la valutazione dei rischi e la SBOM, firmare la dichiarazione UE di conformità e fornire all'utente le informazioni di sicurezza.

Anche importatori e distributori devono verificare marcatura CE e documentazione prima di vendere una macchina, e chi la vende con il proprio marchio è considerato fabbricante. Nella filiera HoReCa, dove molte vendite passano da distributori e rivenditori, una macchina senza documentazione CRA rischia di restare fuori dai loro listini.

Le sanzioni per la violazione dei requisiti essenziali e degli obblighi di segnalazione arrivano fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore. Il rischio più concreto è però il ritiro dal mercato di una macchina con una vulnerabilità che non puoi correggere, perché non è stata progettata per ricevere aggiornamenti.

Come si collega il CRA a NIS2, alla direttiva RED e al Regolamento macchine

Il CRA riguarda il prodotto, la direttiva NIS2 la sicurezza delle organizzazioni. Un costruttore di macchinari (codici ATECO dal 26 al 30) almeno di media dimensione può rientrare direttamente nella NIS2, recepita in Italia con il decreto legislativo 138/2024, e nel calcolo delle dimensioni contano anche le società del gruppo. Anche chi resta fuori la incontra attraverso i clienti regolati, come strutture sanitarie o aziende alimentari, che chiederanno garanzie sulla sicurezza delle macchine e dell'assistenza da remoto.

Le macchine con moduli Wi-Fi, Bluetooth o cellulari devono inoltre rispettare, dal 1° agosto 2025, i requisiti di cybersicurezza della direttiva RED, con la norma EN 18031 come riferimento tecnico.

Dal 20 gennaio 2027 si applica inoltre il Regolamento macchine (UE) 2023/1230, che introduce requisiti di protezione contro la corruzione dei sistemi di comando. Come convivono queste norme lo approfondiamo nel webinar su CRA e NIS2.

Come prepararsi al CRA: da dove partire

Il modo più efficace per prepararsi al CRA è partire dalla segnalazione, già in vigore, e costruire intorno a lei i processi che serviranno dal 2027. I passi concreti sono sette.

1. Mappa il parco installato, cioè quali modelli sono connessi, con quale firmware, presso quali clienti e distributori.
2. Assegna i ruoli per la segnalazione, definendo chi valuta un'anomalia, chi decide se va notificata e chi gestisce il preallarme entro 24 ore.
3. Costruisci la SBOM di ogni firmware e chiedi lo stesso ai fornitori di moduli e schede.
4. Rivedi i contratti con fornitori e partner di sviluppo, chiedendo impegni sulla gestione delle vulnerabilità dei componenti.
5. Definisci il periodo di supporto di ogni modello, tenendo conto della vita reale delle macchine in cucina e del costo di mantenerle aggiornate.
6. Prevedi l'aggiornamento da remoto per le nuove macchine e valuta il collegamento di quelle esistenti tramite gateway.
7. Rivedi la progettazione delle nuove macchine sui requisiti essenziali, a partire da accessi, configurazione di default e integrità dei dati.

Things5 Connect fornisce l'infrastruttura per gli obblighi del CRA su aggiornamenti, accessi e visibilità sulle macchine. Valutazione di conformità e dichiarazione restano in capo al costruttore, che per il proprio caso può affiancarsi a un consulente legale o a un esperto di conformità.

Domande frequenti