Il Cyber Resilience Act e le piccole e medie imprese: il modello di autovalutazione ENISA del 2026

Il Cyber Resilience Act (CRA) è il regolamento dell’Unione europea che introduce requisiti di cibersicurezza per i prodotti con elementi digitali, hardware e software. Il 13 luglio 2026 l’Agenzia dell’Unione europea per la cibersicurezza (ENISA) ha pubblicato un modello di autovalutazione della maturità pensato per le piccole e medie imprese (PMI). Questa scheda raccoglie i contenuti del modello, i dati dell’indagine che lo accompagna e il calendario di applicazione del regolamento.

Che cosa richiede il Cyber Resilience Act

Il Cyber Resilience Act, adottato come regolamento (UE) 2024/2847, si applica ai prodotti con elementi digitali immessi sul mercato dell’Unione, dai dispositivi connessi ai programmi software. Secondo la Commissione europea, il regolamento introduce requisiti obbligatori di cibersicurezza per i fabbricanti, che riguardano la pianificazione, la progettazione, lo sviluppo e la manutenzione dei prodotti lungo l’intera catena del valore, e impone di gestire le vulnerabilità durante tutto il ciclo di vita. Alcuni prodotti considerati più rilevanti per la cibersicurezza dovranno essere sottoposti a una valutazione di conformità da parte di un organismo notificato prima di essere venduti. I prodotti conformi recheranno la marcatura CE e le autorità nazionali di vigilanza del mercato ne verificheranno il rispetto. Il regolamento è entrato in vigore il 10 dicembre 2024; gli obblighi principali si applicheranno dall’11 dicembre 2027, mentre gli obblighi di segnalazione si applicheranno dall’11 settembre 2026. Il CRA si inserisce nel quadro della strategia dell’Unione per la cibersicurezza e completa la direttiva NIS2.

Il modello di autovalutazione ENISA per le PMI

Il modello pubblicato da ENISA, denominato SME Cyber Resilience Maturity Assessment Model, rientra nella strategia della Commissione europea per la cibersicurezza delle PMI. È una guida pratica che consente alle piccole e medie imprese di valutare il proprio stato, individuare le aree di miglioramento e rafforzare le pratiche di resilienza cibernetica tenendo conto dei requisiti del CRA. È rivolto in primo luogo alle organizzazioni che fabbricano e immettono sul mercato prodotti con elementi digitali, direttamente soggette al regolamento, ma può essere usato anche da integratori e fornitori di servizi coinvolti nel ciclo di vita del prodotto.

Il modello è organizzato in cinque ambiti, ciascuno articolato in cinque criteri di maturità: governance e documentazione; gestione del rischio e sicurezza fin dalla progettazione e per impostazione predefinita; gestione delle vulnerabilità e degli aggiornamenti; gestione del ciclo di vita del prodotto; consapevolezza, competenze e capacità. A ogni organizzazione il modello associa uno di tre profili di maturità (di base, intermedio, avanzato), che indicano quanto le pratiche di sicurezza dei prodotti siano applicate in modo coerente. ENISA precisa che un livello di maturità avanzato non sostituisce gli obblighi di legge e non costituisce prova di conformità. Il modello è accompagnato da uno strumento in formato Excel scaricabile, che guida l’utente nel percorso, calcola automaticamente i punteggi di maturità e aiuta a seguire i progressi tra un’autovalutazione e la successiva.

I risultati dell’indagine sulle piccole imprese

Il modello si fonda su un’indagine condotta da ENISA nei mesi di febbraio e marzo 2026, i cui risultati sono stati pubblicati il 24 giugno 2026. All’indagine hanno risposto 194 organizzazioni provenienti da 31 Paesi, tra cui 25 Stati membri dell’Unione europea, comprendendo microimprese, piccole e medie imprese secondo la definizione della Commissione europea. Il questionario ha rilevato la conoscenza del CRA, la comprensione dei suoi requisiti, le pratiche di cibersicurezza già in atto, le responsabilità organizzative e le difficoltà attese in vista dell’adeguamento.

Dai risultati emerge un divario tra consapevolezza e preparazione concreta: il 66 per cento dei rispondenti aveva già sentito parlare del CRA, ma la comprensione dei requisiti pratici resta migliorabile. La dimensione dell’impresa è il fattore che più incide sulla maturità: in tutti e cinque gli ambiti le medie imprese hanno ottenuto in media circa un punto in più delle microimprese. L’area più debole nel complesso, soprattutto per le microimprese, è la gestione degli incidenti e del ciclo di vita del prodotto.

Le forme di sostegno richieste dalle imprese

L’indagine ha raccolto anche le esigenze di supporto. I modelli pratici sono la forma di aiuto più richiesta: i modelli di documentazione tecnica e i modelli di sviluppo sicuro sono stati indicati ciascuno da oltre il 70 per cento dei rispondenti. Il tema delle risorse, dei costi e dei tempi resta centrale: 142 rispondenti hanno sottolineato la necessità di un sostegno finanziario. Le imprese, inoltre, non si affidano a un’unica fonte di informazione sul CRA, per cui una comunicazione efficace richiede una combinazione di formati e canali. Su questa base, il rapporto ENISA formula raccomandazioni sui punti critici individuati, dalla documentazione e valutazione di conformità ai modelli di documentazione tecnica, dalla gestione degli incidenti e del ciclo di vita del prodotto al sostegno finanziario, con indicazioni specifiche per le microimprese.

Prospettive

Il calendario del Cyber Resilience Act prevede due scadenze già definite: gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi si applicheranno dall’11 settembre 2026, mentre gli obblighi principali del regolamento si applicheranno dall’11 dicembre 2027. Nel periodo intermedio, la Commissione europea ed ENISA hanno annunciato la prosecuzione delle attività di guida, di strumenti e di supporto rivolte alle PMI. Restano da definire, a livello di singola impresa, l’adozione delle pratiche descritte nel modello e la copertura delle carenze rilevate dall’indagine, in particolare nella gestione degli incidenti e del ciclo di vita del prodotto e nella disponibilità di risorse per le organizzazioni più piccole.

In dialogo con l’Agenda 2030

Obiettivo 9 (Imprese, innovazione e infrastrutture). La sicurezza dei prodotti con elementi digitali riguarda la resilienza delle infrastrutture e dei beni tecnologici che circolano nel mercato unico.
Obiettivo 8 (Lavoro dignitoso e crescita economica). Le piccole e medie imprese costituiscono gran parte del tessuto economico dell’Unione; il sostegno alla loro preparazione mira a evitare che i costi di adeguamento gravino in modo sproporzionato sulle organizzazioni più piccole.
Obiettivo 4 (Istruzione di qualità). Uno dei cinque ambiti del modello riguarda consapevolezza, competenze e capacità; l’indagine segnala il bisogno di formazione e di modelli pratici.
Obiettivo 17 (Partnership per gli obiettivi). Il lavoro coinvolge la Commissione europea, ENISA, gli Stati membri e le imprese, con un’indagine estesa a 31 Paesi.