Rating di legalità 2026: nuovo regolamento, requisiti e vantaggi per le imprese

/0 Commenti/in /da

Rating di legalità 2026: nuovo regolamento, requisiti e vantaggi per le imprese

Dal 16 marzo 2026 è in vigore il nuovo regolamento AGCM sul rating di legalità, lo strumento che attribuisce alle imprese italiane un punteggio da una a tre “stellette” sulla base della loro correttezza e affidabilità. È uno dei pochi riconoscimenti pubblici che si traduce in vantaggi concreti: accesso al credito più semplice e punteggi premiali nelle gare d’appalto.

Nonostante i vantaggi tangibili, il rating di legalità resta ancora poco richiesto rispetto al suo potenziale, soprattutto tra le PMI che non sanno di poterne beneficiare o che sottovalutano il tempo necessario per ottenerlo. Il nuovo regolamento aggiorna requisiti e modalità di richiesta: un buon momento per verificare se la tua azienda può ottenerlo.

Value Quality Consulting affianca imprese a Roma, Roma EUR e in tutta Italia nella verifica dei requisiti, nella predisposizione della documentazione e nell’invio della richiesta di rating di legalità.

Rating di legalità 2026: requisiti e vantaggi per le imprese

Cos’è il rating di legalità e chi può richiederlo

Il rating di legalità è un riconoscimento rilasciato dall’Autorità Garante della Concorrenza e del Mercato (AGCM) alle imprese che dimostrano di operare nel rispetto della legge e di adottare comportamenti etici e trasparenti negli affari. Si esprime con un punteggio da una a tre “stellette”: più alto è il punteggio, maggiori sono i requisiti soddisfatti.

Possono richiederlo le imprese italiane con sede operativa in Italia e un fatturato minimo, iscritte al Registro delle Imprese da almeno due anni. Non è obbligatorio, ma è sempre più spesso un elemento distintivo richiesto o premiato da banche, centrali di committenza e clienti nella qualifica dei fornitori.

Le novità del regolamento 2026

Il nuovo regolamento in vigore dal 16 marzo 2026 aggiorna la disciplina del rating di legalità con l’obiettivo di renderlo più aderente ai temi di attualità della compliance aziendale. Tra le novità principali rientrano un maggior peso riconosciuto a strumenti come il canale di whistleblowing, la certificazione della parità di genere e i sistemi di gestione anticorruzione, oltre a un affinamento dei criteri relativi alla puntualità dei pagamenti verso i fornitori.

Per le imprese che hanno già ottenuto il rating con il vecchio regolamento sono previste modalità di adeguamento alla nuova disciplina in occasione del primo rinnovo. Ti consigliamo di verificare con l’AGCM o con i nostri consulenti la tua situazione specifica.

I requisiti per ottenere il rating di legalità

Requisito Cosa verifica
Requisiti base (obbligatori) Assenza di misure di prevenzione, condanne penali e sanzioni per reati contro la PA, l’ambiente, il lavoro e la concorrenza
Tracciabilità dei pagamenti Utilizzo di strumenti di pagamento tracciabili nei rapporti con clienti e fornitori
Requisiti aggiuntivi (per le stellette extra) Modello 231, certificazioni ISO, canale whistleblowing, certificazione parità di genere, puntualità nei pagamenti ai fornitori

I vantaggi del rating di legalità per la tua azienda

  • Accesso al credito bancario: le banche devono tenerne conto nella valutazione del merito creditizio e nella tempistica di erogazione dei finanziamenti.
  • Punteggi premiali nelle gare pubbliche: molte stazioni appaltanti attribuiscono punteggio aggiuntivo nei bandi alle imprese con rating di legalità.
  • Corsia preferenziale in alcuni procedimenti amministrativi e nell’accesso a contributi ed erogazioni pubbliche.
  • Reputazione commerciale: un elemento distintivo sempre più richiesto nella qualifica fornitori da grandi clienti e centrali di committenza.

Come ottenere il rating di legalità in 5 step

  1. Verifica preliminare dei requisiti base: assenza di condanne, sanzioni e misure di prevenzione rilevanti.
  2. Mappatura dei requisiti aggiuntivi già soddisfatti: certificazioni ISO, Modello 231, canale whistleblowing, parità di genere.
  3. Predisposizione della documentazione necessaria a supporto della domanda.
  4. Invio della domanda all’AGCM tramite gli strumenti previsti dal regolamento.
  5. Gestione del rinnovo, che avviene periodicamente e richiede la conferma del mantenimento dei requisiti.

Checklist iniziale rating di legalità

  • La tua azienda è iscritta al Registro delle Imprese da almeno due anni?
  • Hai già una certificazione ISO 9001, ISO 14001 o SA8000?
  • Hai adottato un Modello 231 o un canale di whistleblowing?
  • I pagamenti verso i tuoi fornitori sono generalmente puntuali?
  • Utilizzi strumenti di pagamento tracciabili nei rapporti commerciali?

Errori da evitare

  • Pensare che il rating di legalità serva solo alle grandi imprese che partecipano a gare pubbliche.
  • Non valorizzare certificazioni e sistemi di gestione già in essere che aumentano il punteggio.
  • Presentare la domanda senza aver verificato preventivamente i requisiti base.
  • Dimenticare il rinnovo periodico e perdere così i benefici acquisiti.

Come ti supportiamo

  • Verifica preliminare dei requisiti base e aggiuntivi previsti dal nuovo regolamento.
  • Predisposizione della documentazione e della domanda di rating di legalità.
  • Integrazione con certificazioni ISO, Modello 231 e canale whistleblowing già in essere o da implementare.
  • Supporto al rinnovo periodico e al mantenimento dei requisiti nel tempo.

Scopri i nostri servizi di certificazione e consulenza. Leggi anche il nostro articolo sulla certificazione ISO 37001 anticorruzione, che rafforza ulteriormente il tuo punteggio.

Domande frequenti sul rating di legalità

Il rating di legalità è obbligatorio?

No, è una richiesta volontaria, ma comporta vantaggi concreti nell’accesso al credito e alla partecipazione a gare pubbliche.

Quanto dura il rating di legalità?

Ha validità limitata nel tempo e va rinnovato periodicamente, confermando il mantenimento dei requisiti che hanno consentito di ottenerlo.

Le certificazioni ISO aiutano ad aumentare il punteggio?

Sì: certificazioni come ISO 9001, ISO 14001, SA8000 e ISO 37001, insieme al Modello 231 e al canale whistleblowing, contribuiscono a raggiungere le stellette aggiuntive.

Vuoi sapere se la tua azienda può ottenere il rating di legalità?

I nostri consulenti verificano i requisiti, individuano le azioni per aumentare il punteggio e ti seguono nella predisposizione della domanda.

Richiedi una verifica dei requisiti

ISO 9001:2026 e ISO 14001:2026: cosa cambia nelle nuove edizioni e come prepararsi

/0 Commenti/in /da

ISO 9001:2026 e ISO 14001:2026: cosa cambia nelle nuove edizioni e come prepararsi

Le nuove edizioni di ISO 9001 e ISO 14001 stanno arrivando e riguardano da vicino le oltre 37mila aziende italiane già certificate, oltre a chi sta valutando una prima certificazione. Come per ogni revisione degli standard di gestione, ci sarà un periodo di transizione durante il quale i certificati rilasciati sulla vecchia edizione restano validi, ma vanno pianificati gli adeguamenti necessari.

Le revisioni non stravolgono l’impianto dei sistemi di gestione già consolidato con le edizioni 2015, ma ne rafforzano alcuni elementi: gestione del rischio, contesto dell’organizzazione, cambiamento climatico e maggiore integrazione con la digitalizzazione dei processi. Chi ha già un sistema maturo partirà avvantaggiato, ma è comunque necessaria un’analisi puntuale degli scostamenti.

Value Quality Consulting affianca aziende certificate e organismi di certificazione a Roma, Roma EUR e in tutta Italia nella pianificazione della transizione alle nuove edizioni, senza interruzioni nella validità della certificazione.

ISO 9001:2026 e ISO 14001:2026: transizione alle nuove edizioni

Perché ISO 9001 e ISO 14001 vengono aggiornate

Gli standard ISO di sistema di gestione vengono rivisti periodicamente, in genere ogni 7-10 anni, per restare allineati ai cambiamenti del contesto in cui operano le organizzazioni: nuovi rischi, nuove tecnologie, nuove aspettative di clienti e stakeholder. Le edizioni 2015 di ISO 9001 e ISO 14001, che hanno introdotto la struttura armonizzata (High Level Structure) comune a tutti gli standard di gestione, sono ormai mature e le nuove edizioni ne rappresentano un affinamento più che una rivoluzione.

Tra i driver principali delle revisioni ci sono la necessità di rafforzare l’integrazione tra i sistemi di gestione qualità e ambiente e gli altri sistemi aziendali (sicurezza, energia, sicurezza delle informazioni), una maggiore attenzione al cambiamento climatico come fattore di contesto e di rischio, e l’esigenza di riflettere l’impatto della digitalizzazione e dell’automazione sui processi.

Cosa cambia nelle nuove edizioni

Sulla base delle indicazioni finora circolate dagli organismi di normazione, le nuove edizioni dovrebbero mantenere l’impianto della struttura armonizzata, intervenendo in particolare su alcuni ambiti:

  • Analisi del contesto e delle parti interessate: richieste maggiori evidenze di come il contesto, incluso quello climatico, influenzi la pianificazione del sistema di gestione.
  • Leadership e cultura della qualità: maggiore enfasi sul ruolo attivo della direzione nel promuovere una cultura orientata al miglioramento continuo.
  • Gestione del rischio: un approccio ancora più integrato tra rischi e opportunità nei processi decisionali.
  • Cambiamento climatico: per ISO 14001 in particolare, un rafforzamento dei requisiti già introdotti con l’emendamento del 2024 sul climate change come fattore di contesto.
  • Digitalizzazione dei processi: maggiore attenzione a strumenti digitali, dati e automazione nella gestione dei processi di qualità e ambiente.

I contenuti definitivi delle nuove edizioni saranno confermati con la pubblicazione ufficiale: i nostri consulenti monitorano gli aggiornamenti UNI/ISO e ti terranno informato sulle implicazioni concrete per il tuo sistema di gestione.

Tempi di transizione e scadenze

Fase Cosa significa per la tua azienda
Pubblicazione della nuova edizione I certificati emessi sulla vecchia edizione restano validi per il periodo di transizione previsto da IAF/Accredia (in genere 3 anni)
Periodo di transizione L’azienda aggiorna il sistema di gestione e affronta l’audit di transizione con l’organismo di certificazione
Scadenza del periodo di transizione I certificati sulla vecchia edizione non sono più validi: necessario aver completato la transizione

Come prepararsi in 6 step

  1. Monitoraggio della pubblicazione ufficiale delle nuove edizioni e del relativo periodo di transizione comunicato da Accredia.
  2. Gap analysis tra il sistema di gestione attuale e i nuovi requisiti attesi.
  3. Aggiornamento dell’analisi del contesto, inclusi i fattori climatici e di sostenibilità.
  4. Revisione della documentazione: manuale, procedure, matrice dei rischi e obiettivi.
  5. Formazione del team qualità/ambiente e degli auditor interni sulle novità.
  6. Pianificazione dell’audit di transizione con l’organismo di certificazione entro le scadenze previste.

Ruoli aziendali coinvolti

Direzione

Guida la revisione del contesto e degli obiettivi strategici del sistema di gestione.

Responsabile qualità/ambiente

Coordina la gap analysis e l’aggiornamento della documentazione.

Auditor interni

Si aggiornano sui nuovi requisiti per condurre gli audit interni di transizione.

Process owner

Aggiornano procedure e indicatori dei processi di propria competenza.

HR

Organizza la formazione sulle novità delle nuove edizioni.

Organismo di certificazione

Pianifica e conduce l’audit di transizione entro le scadenze previste.

Checklist iniziale transizione

  • Sai quando scade il tuo attuale certificato ISO 9001 o ISO 14001?
  • Il tuo sistema di gestione include già un’analisi dei rischi climatici?
  • Hai un processo strutturato di riesame della direzione aggiornato?
  • Gli auditor interni sono aggiornati sulle novità in arrivo?
  • Hai già contattato il tuo organismo di certificazione per pianificare la transizione?

Errori da evitare

  • Aspettare la scadenza del periodo di transizione per iniziare gli adeguamenti.
  • Considerare la revisione solo un adempimento documentale, senza coinvolgere i process owner.
  • Non aggiornare la formazione degli auditor interni sulle novità.
  • Sottovalutare l’integrazione con gli altri sistemi di gestione già in essere.

Come ti supportiamo

  • Monitoraggio degli aggiornamenti ufficiali e comunicazione tempestiva delle scadenze.
  • Gap analysis tra sistema attuale e nuovi requisiti.
  • Aggiornamento di manuale, procedure e analisi del contesto.
  • Formazione del team qualità/ambiente e supporto all’audit di transizione.

Scopri i nostri servizi di certificazione e formazione. Leggi anche la nostra guida su differenza tra EMAS e ISO 14001 e il percorso di certificazione ISO 9001 lead auditor.

Domande frequenti su ISO 9001:2026 e ISO 14001:2026

Il mio certificato attuale perde validità subito con la nuova edizione?

No: alla pubblicazione della nuova edizione segue sempre un periodo di transizione, tipicamente di alcuni anni, durante il quale il certificato sulla vecchia edizione resta pienamente valido.

Devo rifare da zero il sistema di gestione?

No, le revisioni si innestano sulla struttura armonizzata già in uso dal 2015: si tratta di aggiornamenti mirati, non di una riprogettazione completa del sistema.

Conviene aspettare la pubblicazione definitiva prima di muoversi?

No: molte delle aree di attenzione (contesto, rischio, cambiamento climatico) possono essere rafforzate già oggi, riducendo il lavoro da fare durante il periodo di transizione.

Vuoi arrivare pronto alla transizione ISO 9001:2026 e ISO 14001:2026?

I nostri consulenti analizzano il tuo sistema di gestione attuale e costruiscono un piano di adeguamento graduale, senza interruzioni nella validità della certificazione.

Richiedi un assessment di transizione

NIS2 in Italia: scadenze e adempimenti per le PMI entro ottobre 2026

/0 Commenti/in /da

NIS2 in Italia: scadenze e adempimenti per le PMI entro ottobre 2026

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, sta entrando nella sua fase più concreta: entro ottobre 2026 migliaia di aziende italiane, molte delle quali PMI che finora si sentivano fuori portata, devono completare la registrazione presso l’ACN e adeguare i propri sistemi di gestione della cybersecurity.

La novità principale rispetto alla precedente direttiva NIS è l’ampliamento del perimetro: non solo energia, trasporti e sanità, ma anche manifatturiero, ICT, gestione rifiuti, servizi postali e fornitori della supply chain di soggetti essenziali. Anche chi non rientra direttamente viene spesso coinvolto come fornitore critico di un cliente già soggetto a NIS2.

Value Quality Consulting supporta aziende a Roma, Roma EUR e in tutta Italia nella verifica del perimetro di applicazione NIS2, nell’implementazione delle misure di sicurezza richieste e nell’integrazione con la ISO 27001.

NIS2 in Italia: scadenze e adempimenti per le aziende

Soggetti essenziali e importanti: chi rientra in NIS2

NIS2 distingue tra soggetti essenziali (energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione) e soggetti importanti (manifatturiero, servizi postali, gestione rifiuti, chimica, alimentare, fornitori digitali). La distinzione incide sul livello di vigilanza a cui l’azienda è sottoposta, non sulla sostanza degli obblighi di sicurezza, che restano sostanzialmente equivalenti.

Il criterio dimensionale di riferimento è generalmente la soglia di 50 dipendenti o 10 milioni di euro di fatturato, ma esistono deroghe importanti: un’azienda più piccola può comunque rientrare se è l’unico fornitore di un servizio critico sul territorio o se fornisce soggetti essenziali già registrati presso l’ACN.

Le scadenze NIS2 verso ottobre 2026

Fase Adempimento
Registrazione ACN Verifica del perimetro di applicazione e registrazione sul portale ACN entro le finestre previste dal cronoprogramma nazionale
Entro ottobre 2026 Completamento degli adempimenti di registrazione e prima classificazione per i soggetti già individuati da ACN
A regime Notifica degli incidenti significativi entro 24 ore (allarme preventivo) e 72 ore (notifica di incidente)

Le date esatte del cronoprogramma possono variare: verifica sempre lo stato aggiornato sul portale ACN o richiedi una verifica gratuita del tuo perimetro ai nostri consulenti.

Le misure di sicurezza richieste da NIS2

La direttiva individua un set di misure minime di gestione del rischio informatico che ogni soggetto essenziale o importante deve adottare in modo proporzionato alla propria dimensione ed esposizione al rischio:

  • Analisi del rischio e policy di sicurezza dei sistemi informativi.
  • Gestione degli incidenti, inclusa la procedura di notifica a CSIRT Italia.
  • Continuità operativa, gestione dei backup e disaster recovery.
  • Sicurezza della catena di approvvigionamento e dei rapporti con i fornitori.
  • Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi.
  • Valutazione dell’efficacia delle misure di gestione del rischio adottate.
  • Formazione e cyber hygiene di base per il personale.
  • Crittografia e gestione degli accessi, incluso l’uso di autenticazione multifattore.

Come adeguarsi in 6 step

  1. Verifica del perimetro: capire se sei soggetto essenziale, importante o fornitore critico di uno di questi.
  2. Registrazione sul portale ACN entro le scadenze previste dal cronoprogramma.
  3. Gap analysis delle misure di sicurezza minime richieste dalla direttiva.
  4. Piano di gestione degli incidenti e delle notifiche a CSIRT Italia, con ruoli e tempistiche chiare.
  5. Estensione dei controlli alla supply chain e ai fornitori critici.
  6. Formazione del management, che ha responsabilità diretta sull’adeguatezza delle misure adottate, e del personale.

Ruoli aziendali coinvolti

Direzione

Ha responsabilità diretta sull’adeguatezza delle misure di sicurezza adottate.

IT e cybersecurity

Implementano le misure tecniche e gestiscono le notifiche di incidente.

Risk management

Conduce l’analisi del rischio e la valutazione periodica delle misure.

Procurement

Qualifica e monitora i fornitori critici della supply chain.

HR

Organizza la formazione obbligatoria per management e personale.

Legal e compliance

Coordina registrazione ACN, contratti e responsabilità di filiera.

Checklist iniziale NIS2

  • Hai verificato se la tua azienda rientra tra i soggetti essenziali o importanti NIS2?
  • Sei fornitore di un cliente che è a sua volta soggetto a NIS2?
  • Hai già un sistema di gestione della sicurezza delle informazioni (es. ISO 27001)?
  • Esiste una procedura per notificare un incidente entro 24 ore?
  • La tua supply chain è mappata e i fornitori critici sono qualificati?

Errori da evitare

  • Pensare che NIS2 riguardi solo grandi aziende di settori regolamentati.
  • Aspettare la lettera di notifica dell’ACN prima di iniziare la gap analysis.
  • Limitare l’adeguamento all’IT, senza coinvolgere direzione e procurement.
  • Non verificare gli obblighi NIS2 imposti a cascata dai propri clienti.

Come ti supportiamo

  • Verifica del perimetro di applicazione e supporto alla registrazione ACN.
  • Gap analysis delle misure di sicurezza minime richieste dalla direttiva.
  • Integrazione con ISO 27001 e con i processi già certificati.
  • Formazione del management e del personale, audit interno e supporto continuativo.

Scopri i nostri servizi di consulenza e certificazione. Approfondisci anche il Cyber Resilience Act e la nostra guida alla ISO 27001.

Domande frequenti su NIS2

La mia azienda deve registrarsi anche se non ha ricevuto comunicazioni dall’ACN?

Sì: la responsabilità di verificare se si rientra nel perimetro NIS2 è dell’azienda stessa, indipendentemente dal fatto di aver ricevuto o meno una comunicazione ufficiale.

NIS2 e ISO 27001 sono la stessa cosa?

No, ma sono complementari: un sistema di gestione ISO 27001 già implementato copre gran parte delle misure di sicurezza richieste da NIS2 e ne facilita l’adeguamento.

Cosa rischia chi non si adegua a NIS2?

Sono previste sanzioni amministrative pecuniarie, che per i soggetti essenziali possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale, oltre a responsabilità personali per gli organi di vertice.

Vuoi sapere se la tua azienda rientra in NIS2?

I nostri consulenti verificano il perimetro di applicazione, individuano i gap rispetto alle misure richieste e costruiscono un piano di adeguamento realistico entro le scadenze del 2026.

Richiedi una verifica del perimetro NIS2

Cyber Resilience Act: obblighi per le aziende software dall’11 settembre 2026

/0 Commenti/in /da

Cyber Resilience Act: obblighi per le aziende software dall’11 settembre 2026

Dall’11 settembre 2026 scattano i primi obblighi concreti del Cyber Resilience Act (Regolamento UE 2024/2847): chi produce, importa o distribuisce prodotti con elementi digitali deve segnalare a ENISA e al CSIRT nazionale le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi, con tempistiche molto strette.

Non riguarda solo i grandi produttori di hardware: rientrano nel perimetro anche software gestionali, app, dispositivi IoT, firmware e componenti open source distribuiti all’interno di un prodotto commerciale. Chi non si organizza per tempo rischia sanzioni fino a 15 milioni di euro o il 2,5% del fatturato globale.

Value Quality Consulting affianca aziende produttrici e distributrici di software e dispositivi connessi a Roma, Roma EUR e in tutta Italia nella gap analysis, nella predisposizione dei processi di vulnerability management e nel percorso verso la piena conformità al Cyber Resilience Act.

Cyber Resilience Act: obblighi di sicurezza per prodotti digitali

Cosa prevede il Cyber Resilience Act e da quando

Il Cyber Resilience Act è il primo regolamento europeo che impone requisiti di cybersecurity ai prodotti con elementi digitali lungo tutto il ciclo di vita: progettazione, sviluppo, produzione e gestione post-vendita. È entrato in vigore a dicembre 2024, ma la sua applicazione è scaglionata su più date.

Dall’11 settembre 2026 diventano operativi gli obblighi di segnalazione: le aziende devono notificare un allarme preventivo entro 24 ore in caso di vulnerabilità attivamente sfruttata, una notifica più dettagliata entro 72 ore e un report finale entro 14 giorni dalla risoluzione. Dall’11 dicembre 2027 scatteranno invece gli obblighi pieni su requisiti essenziali di sicurezza, marcatura CE e valutazione di conformità.

A chi si applica il Cyber Resilience Act

Il regolamento si applica a qualunque prodotto hardware o software con elementi digitali immesso sul mercato UE, con connessione diretta o indiretta a un dispositivo o a una rete: gestionali, app mobili, dispositivi IoT, firmware, librerie software, sistemi di controllo industriale. Sono coinvolti tre ruoli lungo la filiera, ciascuno con obblighi specifici: fabbricanti, importatori e distributori.

Restano esclusi i prodotti già coperti da normative settoriali equivalenti (dispositivi medici, automotive, aviazione) e il software distribuito come servizio puro (SaaS) quando non incorporato in un prodotto. In molti casi, però, allinearsi in via volontaria resta comunque opportuno per ragioni commerciali e contrattuali verso clienti enterprise.

Le scadenze chiave del Cyber Resilience Act

Data Obbligo Chi è coinvolto
Dicembre 2024 Entrata in vigore del regolamento Tutti gli operatori economici
11 settembre 2026 Obblighi di segnalazione di vulnerabilità sfruttate e incidenti gravi Fabbricanti
11 dicembre 2027 Requisiti essenziali di sicurezza, marcatura CE, valutazione di conformità Fabbricanti, importatori, distributori

Come adeguarsi in 6 step

  1. Censimento del portafoglio prodotti con elementi digitali e classificazione del rischio (default, importante, critico).
  2. Gap analysis rispetto ai requisiti essenziali di sicurezza e ai processi di gestione delle vulnerabilità già in essere.
  3. Software Bill of Materials (SBOM) e processi strutturati di vulnerability handling.
  4. Procedura di segnalazione a ENISA e al CSIRT nazionale, con ruoli, tempistiche e canali chiari.
  5. Aggiornamento della documentazione tecnica e allineamento con ISO 27001 e ISO/IEC 27034.
  6. Formazione dei team di sviluppo e supporto alla valutazione di conformità dove richiesta.

Ruoli aziendali coinvolti

R&S e sviluppo

Integrano secure-by-design e gestione patch nel ciclo di sviluppo.

IT e cybersecurity

Gestiscono il monitoraggio delle vulnerabilità e le segnalazioni a ENISA/CSIRT.

Legal e compliance

Verificano contratti, responsabilità di filiera e marcatura CE.

Direzione

Approva budget e roadmap di adeguamento.

Product management

Aggiornano i cicli di supporto e le politiche di fine vita prodotto.

Vendite

Comunicano la conformità come vantaggio competitivo verso i clienti enterprise.

Checklist iniziale Cyber Resilience Act

  • Hai un inventario aggiornato di tutti i prodotti con elementi digitali che produci o distribuisci?
  • Esiste una procedura per gestire le segnalazioni di vulnerabilità da parte di terzi?
  • Sai generare una SBOM per i tuoi prodotti software?
  • Hai definito chi, in azienda, deve segnalare un incidente a ENISA e al CSIRT entro 24 ore?
  • Il ciclo di vita del prodotto prevede aggiornamenti di sicurezza per un periodo definito?

Errori da evitare

  • Pensare che il Cyber Resilience Act riguardi solo i produttori di hardware.
  • Rimandare la gap analysis alle scadenze del 2027, quando gli obblighi di segnalazione scattano già a settembre 2026.
  • Non coordinare compliance, sviluppo e legal in un unico progetto di adeguamento.
  • Sottovalutare i componenti open source integrati nei propri prodotti.

Come ti supportiamo

  • Gap analysis sul portafoglio prodotti e classificazione del rischio.
  • Supporto alla predisposizione di SBOM, processi di vulnerability management e documentazione tecnica.
  • Integrazione con i sistemi di gestione già certificati (ISO 27001, ISO 9001).
  • Formazione dei team tecnici e supporto alla valutazione di conformità.

Scopri i nostri servizi di consulenza e certificazione. Per approfondire leggi anche la nostra guida alla ISO 27001 e l’articolo su NIS2: scadenze e adempimenti per le PMI.

Domande frequenti sul Cyber Resilience Act

Il Cyber Resilience Act si applica anche alle PMI?

Sì, non ci sono soglie dimensionali generali: si applica a qualunque azienda che immette sul mercato UE un prodotto con elementi digitali, comprese le microimprese, pur con alcune semplificazioni per i produttori più piccoli.

Cosa succede se non rispetto le scadenze?

Le sanzioni possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato globale annuo, oltre al rischio di ritiro del prodotto dal mercato.

Serve una certificazione specifica per il Cyber Resilience Act?

Per i prodotti a rischio “default” è sufficiente l’autovalutazione di conformità; per i prodotti “importanti” e “critici” è richiesta una valutazione di conformità di terza parte da un organismo notificato.

Vuoi sapere se i tuoi prodotti sono pronti per il Cyber Resilience Act?

I nostri consulenti cybersecurity analizzano il tuo portafoglio prodotti e costruiscono un piano di adeguamento realistico, dagli obblighi di segnalazione del 2026 alla piena conformità del 2027.

Richiedi una consulenza Cyber Resilience Act