Cyber Resilience Act: cosa cambia per chi installa e integra impianti smart

Aggiornato al 4 ottobre 2026

Preferisci ascoltare? Premi play sul player audio in questa pagina: trovi la versione audio dell'articolo, generata con intelligenza artificiale a partire da questo testo.

Per anni la sicurezza informatica nel mondo della building automation è stata trattata come un optional da preventivo: qualcosa che "sarebbe bello avere" se il budget lo permette. Con il Cyber Resilience Act quell'epoca si chiude. E non nel 2027, come molti continuano a pensare, ma già adesso: dall'11 settembre 2026 è scattata la prima fase operativa del regolamento, e chi lavora con dispositivi connessi farebbe bene a capire subito cosa è cambiato.

Partiamo dalle basi. Il Cyber Resilience Act, formalmente Regolamento (UE) 2024/2847, è la prima legge europea che impone requisiti di cybersicurezza obbligatori a quasi tutti i prodotti con elementi digitali: hardware e software che, per funzionare, si collegano direttamente o indirettamente a un dispositivo o a una rete. Tradotto nel nostro settore: attuatori e gateway KNX/IP, server di supervisione, touch panel, centrali di allarme, videocitofoni IP, serrature elettroniche, telecamere, app di controllo. In pratica, quasi tutto quello che installiamo ogni giorno.

Il calendario: tre date da segnare

Il regolamento è in vigore da dicembre 2024, ma si applica a tappe. L'11 giugno 2026 è entrata in applicazione la parte sugli organismi che valuteranno la conformità dei prodotti. L'11 settembre 2026 è scattato l'obbligo di segnalazione previsto dall'articolo 14, ed è questa la data che ha cambiato le regole del gioco. L'11 dicembre 2027, infine, arriverà la piena applicazione, con la marcatura CE che certificherà anche la conformità ai requisiti di cybersicurezza.

Cosa significa, concretamente, l'obbligo di segnalazione? Che i fabbricanti, quando vengono a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave che riguarda un loro prodotto, devono notificarlo a ENISA e al CSIRT nazionale attraverso una piattaforma unica europea. I tempi sono stretti: un preallarme entro 24 ore, una notifica più dettagliata entro 72 ore e un rapporto finale entro 14 giorni dalla disponibilità della correzione per le vulnerabilità, entro un mese per gli incidenti gravi.

Il dettaglio che molti trascurano è che questo obbligo vale anche per i prodotti già sul mercato, non solo per quelli che verranno immessi dopo il 2027. Il centralino installato tre anni fa, se ha una falla sfruttata, rientra nel perimetro. Le sanzioni previste dal regolamento possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo. Non è più un tema da ufficio IT.

Non tutti i prodotti pesano allo stesso modo

Il CRA divide i prodotti in tre fasce di rischio. La grande maggioranza ricade nella categoria base, per la quale il fabbricante può autocertificare la conformità. Poi ci sono i prodotti "importanti", divisi in due classi, e qui la building automation è chiamata in causa direttamente: tra i prodotti importanti di classe I il regolamento cita espressamente gli assistenti virtuali domestici e i prodotti smart home con funzioni di sicurezza, come serrature intelligenti, telecamere di sorveglianza, baby monitor e sistemi di allarme. Per questi le regole di valutazione sono più severe. Infine c'è la fascia dei prodotti "critici", dove troviamo per esempio i gateway degli smart meter.

Perché questo interessa chi progetta? Perché la classe di un dispositivo dice molto sulla serietà con cui il produttore dovrà gestirne la sicurezza nel tempo, e quindi sul livello di garanzia che possiamo offrire al cliente finale.

E l'integratore? Più coinvolto di quanto pensi

La prima reazione di molti installatori e system integrator è: "Il CRA riguarda i produttori, non me". In parte è vero: gli obblighi principali ricadono su fabbricanti, importatori e distributori. Ma ci sono almeno tre ragioni per cui chi integra non può restare alla finestra.

La prima è giuridica. Il regolamento prevede che chi apporta una modifica sostanziale a un prodotto, o lo immette sul mercato con il proprio nome o marchio, venga considerato a tutti gli effetti un fabbricante. Pensiamo a un integratore che sviluppa e commercializza una propria app di supervisione, un pacchetto di logiche per un server di automazione o un firmware personalizzato: in quel momento non sta più solo installando, sta producendo software con elementi digitali, con tutto ciò che ne consegue in termini di gestione delle vulnerabilità e aggiornamenti.

La seconda è commerciale. Il CRA prevede che i fabbricanti dichiarino un periodo di supporto durante il quale garantiscono gli aggiornamenti di sicurezza, di norma non inferiore a cinque anni. Questo diventa un criterio di scelta: quando proponiamo un sistema a un cliente, la domanda "per quanto tempo questo prodotto riceverà patch?" diventa legittima quanto quella sul prezzo. E chi sa rispondere con precisione si distingue da chi non sa nemmeno che la domanda esiste.

La terza è professionale. Un impianto può essere composto da prodotti perfettamente conformi e restare comunque vulnerabile, se è progettato male. Il CRA rende più sicuri i mattoni, ma la casa la costruiamo noi. Un gateway aggiornato non serve a nulla se la rete dell'impianto è la stessa del Wi-Fi ospiti, o se l'accesso remoto passa da una porta aperta sul router anziché da una VPN.

Cosa fare da domani mattina

Il CRA è un'occasione per alzare l'asticella, e conviene coglierla prima che lo facciano i concorrenti. In fase di progettazione, vuol dire scegliere prodotti di cui il fabbricante dichiara chiaramente il periodo di supporto e la politica di aggiornamento, e privilegiare le tecnologie che la sicurezza la portano nel protocollo. Nel mondo KNX, per esempio, KNX Secure (nelle sue varianti IP Secure e Data Secure) cifra e autentica le comunicazioni: fino a ieri era una scelta da progetti di fascia alta, oggi è difficile giustificarne l'assenza in un edificio nuovo.

In fase di realizzazione, vuol dire segmentare le reti, documentare le versioni firmware di ogni dispositivo installato e consegnare al cliente un fascicolo che non si limiti agli schemi elettrici. In fase di esercizio, vuol dire proporre contratti di manutenzione che includano esplicitamente il monitoraggio degli aggiornamenti di sicurezza. È un servizio che il cliente capisce sempre di più, e che finalmente ha una base normativa su cui appoggiarsi.

Vale la pena ricordare che il CRA non arriva da solo. Già da agosto 2025 i dispositivi radio connessi a internet devono rispettare specifici requisiti di cybersicurezza previsti dalla direttiva sulle apparecchiature radio, e per gli edifici che ospitano servizi essenziali entra in gioco anche la direttiva NIS2. Il quadro che si sta componendo è chiaro: l'edificio intelligente viene trattato sempre più come un'infrastruttura digitale, e come tale va progettato e gestito.

Una sicurezza che diventa progetto

Chi lavora in questo settore da qualche anno lo sa: la sicurezza informatica degli impianti è sempre stata la prima voce a saltare quando il budget si stringe. Il Cyber Resilience Act non risolve tutto, ma sposta il baricentro. La sicurezza smette di essere un costo da giustificare e diventa un requisito da dimostrare, lungo tutto il ciclo di vita del prodotto e, di riflesso, dell'impianto.

Per chi progetta e integra, è una buona notizia travestita da obbligo. Finalmente abbiamo uno strumento normativo per spiegare al cliente perché un impianto fatto bene costa quello che costa, e perché la manutenzione non è un abbonamento superfluo. Sta a noi trasformare la norma in valore, prima che diventi solo un'altra casella da spuntare.

Domande frequenti

Il Cyber Resilience Act riguarda anche gli installatori e i system integrator?

Gli obblighi principali ricadono su fabbricanti, importatori e distributori. Un integratore diventa però a tutti gli effetti fabbricante se modifica in modo sostanziale un prodotto o immette sul mercato con il proprio marchio software o dispositivi con elementi digitali, come app di supervisione o pacchetti di logiche.

Da quando si applica il Cyber Resilience Act?

Il Regolamento (UE) 2024/2847 si applica a tappe: dall'11 settembre 2026 valgono gli obblighi di segnalazione di vulnerabilità sfruttate e incidenti gravi, mentre la piena applicazione, con la marcatura CE estesa alla cybersicurezza, arriva l'11 dicembre 2027.

Quali dispositivi smart home sono considerati prodotti importanti?

Tra i prodotti importanti di classe I il regolamento indica gli assistenti virtuali domestici e i prodotti smart home con funzioni di sicurezza, come serrature intelligenti, telecamere di sorveglianza, baby monitor e sistemi di allarme.

Gli obblighi valgono anche per i dispositivi già installati?

Sì. Gli obblighi di segnalazione si applicano a tutti i prodotti con elementi digitali messi a disposizione sul mercato europeo, compresi quelli immessi prima del dicembre 2027.

Alessio Vannuzzi è ingegnere elettronico, CEO di Ohmega Progettazioni e KNX Tutor. Coordina KNX Professionals Italia ed è membro del CEI CT 205 e della commissione UNI/CT 272 del CTI. Dal 2009 progetta impianti di home e building automation e forma i professionisti del settore.