Un modello di maturità per chi non ha un ufficio sicurezza: ENISA prova a rendere il CRA praticabile

Il problema che il regolamento non risolve da solo

Il Cyber Resilience Act — Regolamento (UE) 2024/2847 — è scritto per i prodotti, non per le dimensioni aziendali. Un fabbricante di dispositivi connessi con dodici dipendenti ha, sui prodotti che immette sul mercato europeo, obblighi della stessa natura di una multinazionale. La differenza non sta nella norma: sta in chi la legge.

Nelle grandi organizzazioni esiste qualcuno il cui lavoro è tradurre un regolamento in un piano. Nelle PMI, che sono la maggioranza del tessuto produttivo europeo, quella funzione non esiste come ruolo: viene assorbita da chi già fa altro, di solito il responsabile tecnico o il titolare. Il risultato tipico non è la non conformità deliberata. È la paralisi: un testo lungo, nessun punto d'ingresso ovvio, e una scadenza percepita come lontana finché non lo è più.

Il documento pubblicato da ENISA il 13 luglio 2026 prova a fornire quel punto d'ingresso.

Cosa è, esattamente

Lo SME Cyber Resilience Maturity Assessment Model è, per come lo descrive l'agenzia, un approccio strutturato con cui micro, piccole e medie imprese possono valutare e rafforzare la propria resilienza informatica complessiva, tenendo conto dei requisiti del Cyber Resilience Act.

Il destinatario primario è dichiarato: le organizzazioni che fabbricano e immettono sul mercato prodotti con elementi digitali, perché sono quelle direttamente soggette ai requisiti del CRA. Ma ENISA precisa che il modello può essere usato anche da altre organizzazioni coinvolte nel ciclo di vita del prodotto — integratori, fornitori di servizi — per valutare e migliorare le proprie pratiche di sicurezza del prodotto.

Insieme al documento è pubblicato un CRA Maturity Model Tool in formato .xlsx. Non è un dettaglio secondario: significa che l'autovalutazione si fa dentro uno strumento che la PMI sa già usare, senza acquistare piattaforme, senza consulenza obbligata per il primo passo.

1. 01
   Valutare

   dove siamo davvero, non dove pensiamo di essere
2. 02
   Identificare

   i margini di miglioramento, in ordine
3. 03
   Rafforzare

   con i requisiti del CRA come riferimento

Il contesto: cosa era emerso a giugno

Il modello non nasce isolato. Il 24 giugno 2026 ENISA aveva pubblicato il SME CRA Survey Report, frutto di una rilevazione fatta proprio per capire a che punto fossero le imprese più piccole rispetto al regolamento. L'agenzia dichiara esplicitamente di stare lavorando a guida pratica, strumenti e attività di supporto tarati sulla realtà e sui bisogni delle organizzazioni più piccole, per aiutarle a comprendere e attuare il CRA.

Vale la pena leggere la sequenza per quello che è: prima si misura la distanza fra la norma e chi deve applicarla, poi si costruisce lo strumento. È un ordine di lavoro che nella produzione normativa non è affatto scontato.

La scadenza che rende tutto questo urgente

1. 10 dicembre 2024
   In vigore

   Il Cyber Resilience Act entra in vigore.

2. 24 giugno 2026
   Rilevazione

   ENISA pubblica il SME CRA Survey Report.

3. 13 luglio 2026
   Strumento

   Esce il modello di maturità per le PMI, con foglio di calcolo.

4. 11 settembre 2026
   Prima scadenza

   Scattano gli obblighi di segnalazione per i fabbricanti.

5. 11 dicembre 2027
   Blocco principale

   Requisiti essenziali, conformità e marcatura CE.

L'11 settembre 2026 è il primo momento in cui il CRA smette di essere una questione di pianificazione e diventa un obbligo operativo: da quel giorno i fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi, con un pre-allarme entro 24 ore e una notifica entro 72.

È una scadenza che colpisce le PMI in modo asimmetrico rispetto alle grandi imprese, e non per ragioni di risorse. Segnalare entro 24 ore richiede di accorgersene: cioè un canale attraverso cui le segnalazioni sui propri prodotti arrivano, qualcuno che le legge, e una procedura decisa prima. Chi non ha ancora un indirizzo pubblico per la divulgazione delle vulnerabilità non ha un problema di modulistica: ha un problema di rilevamento.

Come usarlo, senza illudersi su cosa fa

Cosa fa: dà una struttura a una domanda vaga. Trasforma "dovremmo occuparci del CRA" in un elenco di aree con un livello attuale e un livello successivo. È il modo più economico per scoprire quali sono i due o tre punti in cui siete più scoperti — e nella maggioranza dei casi non sono quelli che vi aspettate.

Cosa non fa: non è una certificazione, non produce conformità, non sostituisce la valutazione di conformità prevista dal regolamento e non vincola alcuna autorità. Un punteggio alto nell'autovalutazione non è una difesa se un prodotto immesso sul mercato non soddisfa i requisiti essenziali.

Come non sprecarlo: compilarlo una volta e archiviarlo è la fine più probabile e la meno utile. Il valore di un modello di maturità sta nella seconda misurazione, non nella prima: serve a mostrare se qualcosa si è mosso. Fissare adesso la data del secondo giro — sei mesi, non "quando avremo tempo" — è la differenza fra uno strumento e un file.

Il consiglio operativo più concreto: partite dalla parte del modello che tocca la gestione delle vulnerabilità e la comunicazione con l'esterno. Non perché sia la più importante in assoluto, ma perché è quella con la scadenza più vicina, ed è quella dove il ritardo si vede da fuori.

Nota su cosa questo articolo è: un approfondimento su strumenti ufficiali appena pubblicati, con i fatti presi dalle pagine di ENISA e dal regolamento. Non contiene una valutazione dell'efficacia del modello, che non è ancora misurabile: è uscito da poche settimane.