Calendario
Gli obblighi di notifica dell'articolo 14 si applicano dall'11 settembre 2026. Il resto del regolamento dall'11 dicembre 2027.
Regolamento (UE) 2024/2847 · CRA
Preparati al Cyber Resilience Act in base al tuo ruolo e alla classe del prodotto.
Indica se fabbrichi, importi, distribuisci o gestisci software open source, e in quale classe rientra il tuo prodotto. Audexa ti mostra solo i controlli che ti riguardano: requisiti essenziali, gestione delle vulnerabilità, SBOM, notifica all'ENISA, documentazione tecnica e marcatura CE, con un piano d'azione per chiudere ogni lacuna.
- 67 controlli in 10 sezioni
- Profilo per ruolo e classe di prodotto
- Corrispondenze con ISO 27001 e NIS2
Autovalutazione CRAFabbricante · Importante classe I
47%
Livello di preparazioneDati di esempio
- Requisiti essenziali (allegato I, parte I)58%
- Gestione delle vulnerabilità (allegato I, parte II)44%
- SBOM e periodo di assistenza36%
- Notifica a ENISA e CSIRT52%
- Documentazione tecnica e conformità39%
67 controlli con come valutarli e come soddisfarli
10 sezioni, dall'ambito del prodotto alla vigilanza del mercato
57 corrispondenze con ISO/IEC 27001:2022
44 corrispondenze con NIS2 per riutilizzare quello che hai già
Cosa richiede il CRA
La cibersicurezza diventa una condizione per vendere il prodotto nell'UE.
Il Cyber Resilience Act fissa requisiti di cibersicurezza per i prodotti con elementi digitali, dalla progettazione alla fine del periodo di assistenza. Gli obblighi cambiano in base al ruolo di ciascun operatore e alla classe del prodotto.
Requisiti essenziali
L'allegato I fissa requisiti per il prodotto (sicurezza predefinita, protezione dei dati, aggiornamenti) e per la gestione delle vulnerabilità durante il periodo di assistenza.
Notifica
Il fabbricante notifica le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite la piattaforma unica di segnalazione, con un preallarme entro 24 ore e una notifica entro 72 ore.
Classe del prodotto
I prodotti importanti di classe I e II e i prodotti critici seguono procedure di valutazione della conformità più rigorose rispetto ai prodotti predefiniti.
Documentazione e marcatura CE
Documentazione tecnica, dichiarazione UE di conformità e marcatura CE prima di immettere il prodotto sul mercato.
Importatori e distributori
Devono verificare che il prodotto sia conforme, che rechi la marcatura CE e la documentazione, e intervenire se rilevano un rischio.
Come ti aiuta Audexa
Dal profilo del prodotto al piano d'azione.
Lo stesso flusso degli altri audit di Audexa, adattato a chi immette prodotti digitali sul mercato europeo.
Delimitare
Solo quello che ti riguarda.
Profilo preliminare
Scegli uno o più ruoli e la classe del prodotto, e vedi quante domande avrà il tuo questionario.
Applicabilità motivata
Indica quali controlli si applicano, quali no e quali sono fuori ambito, e scrivi il perché.
Quello che hai già
Quando crei l'audit vedi quanto coprono già i tuoi audit ISO 27001 o NIS2.
Valutare e agire
Ogni lacuna con il suo prossimo passo.
Questionario guidato
Sì, Parziale, No o Non applicabile per ogni controllo, con una guida su come valutarlo e il suo riferimento quando esiste un riferimento affidabile. Con la Modalità focus, Il tuo percorso ti indica il passo successivo.
Come soddisfare ogni controllo
Passi concreti, evidenze attese, responsabile suggerito, criterio di chiusura e quando riesaminarlo.
Piano di attività
Rilievi trasformati in attività con sottoattività, responsabili e date.
Dimostrare
Tutte le evidenze in un unico posto.
Archivio delle evidenze
SBOM, rapporti di test, procedure di notifica o documentazione tecnica, con revisione e scadenza.
Politiche
Una libreria di 67 modelli. 6 sono collegati al CRA: «Politica di sicurezza del prodotto e divulgazione coordinata delle vulnerabilità», «Procedura di conformità del prodotto e marcatura CE (CRA)», «Politica di sviluppo sicuro», «Politica di gestione delle vulnerabilità e delle patch», «Procedura di notifica degli incidenti alle autorità» e «Procedura di gestione delle richieste delle autorità e di comunicazione dei dati». Sono un punto di partenza da adattare e approvare.
Report e riaudit
Punteggio, rilievi e report in PDF ed Excel. Valuta di nuovo e confronta l'evoluzione.
Alcune funzionalità dipendono dal piano e dai moduli attivi.
Profilo preliminare
Un fabbricante e un distributore non rispondono alle stesse domande.
Prima del questionario indichi il tuo ruolo, e puoi sceglierne più di uno perché molte aziende fabbricano alcuni prodotti e ne importano o distribuiscono altri. Poi scegli la classe del prodotto principale, che determina la procedura di valutazione della conformità. Se non la conosci, parti con il prodotto non classificato e la cambi dopo.
- Ruoli: fabbricante, importatore, distributore, steward del software open source
- Classi: non classificato (predefinito), importante classe I, importante classe II o critico
- Una sezione per classificare il prodotto se non l'hai ancora fatto
- Numero di domande visibile prima di iniziare
Profilo del prodottoCRA
- FabbricanteSelezionato
- ImportatoreSelezionato
- DistributoreNo
- Classe del prodottoImportante classe I
Notifica
Vulnerabilità e incidenti, con scadenze chiare.
Una sezione verifica se sai rilevare una vulnerabilità attivamente sfruttata o un incidente grave e notificarlo tramite la piattaforma unica di segnalazione al CSIRT coordinatore e all'ENISA. Un'altra copre la gestione delle vulnerabilità: SBOM, divulgazione coordinata, aggiornamenti di sicurezza e periodo di assistenza.
- Preallarme, notifica e relazione finale
- Informazione agli utenti interessati
- SBOM e periodo di assistenza dichiarato
- Corrispondenze con NIS2 per riutilizzare la tua procedura sugli incidenti
Notifica CRAArt. 14
- Preallarme24 h
- Notifica72 h
- Relazione finale14 giorni dopo la correzione
- Procedura approvataEvidenza valida
Come funziona
Tre passi per prepararti al CRA.
Definisci il profilo
Scegli i tuoi ruoli e la classe del prodotto, e guarda quanto copre già il lavoro che hai.
Rispondi con la guida
Valuta i controlli applicabili e rivedi le risposte proposte da ISO 27001 o NIS2.
Esegui e riaudita
Porta avanti il piano di attività, raccogli le evidenze e valuta di nuovo prima di ogni scadenza.
Piani
Disponibile dal piano Premium.
Il Cyber Resilience Act è incluso in Premium e Diamond. Non fa parte di Free né di Core. Ti diamo una proposta chiusa durante la demo.
Premium
ConsigliatoPer i team di prodotto e sicurezza che vogliono il ciclo completo.
- Tutti i 22 framework del catalogo, anche il CRA
- 10 audit al mese e 3 utenti
- 200 asset per sezione
- Politiche, evidenze, rischi, attività e assistente Aude
Diamond
Per fabbricanti con molti prodotti o team numerosi.
- Audit e utenti illimitati
- Tutto quello di Premium
Domande frequenti
Le domande che ci fanno più spesso su Cyber Resilience Act.
Da quando si applica il Cyber Resilience Act?
Il regolamento è entrato in vigore a dicembre 2024. Gli obblighi di notifica delle vulnerabilità attivamente sfruttate e degli incidenti gravi si applicano dall'11 settembre 2026, e il resto, compresi i requisiti essenziali e la marcatura CE, dall'11 dicembre 2027.
Sono importatore o distributore, non fabbricante. Mi riguarda?
Sì, con obblighi diversi. Nel profilo preliminare indichi il tuo ruolo e il questionario include la sezione su importatori e distributori. Se modifichi un prodotto in modo sostanziale o lo vendi con il tuo marchio, puoi assumere gli obblighi del fabbricante: c'è un controllo per verificarlo.
Audexa esegue la valutazione della conformità o la marcatura CE?
No. Audexa ti aiuta a prepararti: autovalutazione, piano d'azione ed evidenze. La valutazione della conformità la fai tu o un organismo notificato, a seconda della classe del prodotto, e la marcatura CE è responsabilità del fabbricante. Il risultato di Audexa è orientativo e non è una consulenza legale.
Cosa cambia in base alla classe del prodotto?
La classe determina la procedura di valutazione della conformità. Per questo il profilo chiede la classe del prodotto principale e una sezione del questionario verifica la valutazione corrispondente. Se non conosci ancora la classe, parti con il prodotto non classificato e la cambi dopo.
Lavoriamo già con ISO 27001 e NIS2. Serve a qualcosa?
Sì. Ci sono 57 corrispondenze con ISO 27001:2022 e 44 con NIS2. Le risposte con copertura alta arrivano proposte come «Rivedilo» e una persona le conferma. Non sono equivalenze legali.
In quali lingue è disponibile?
In spagnolo, inglese, francese, italiano e tedesco, come tutti i framework di Audexa.
Audexa risponde all'audit al posto mio?
No. Audexa propone risposte con la loro fonte (evidenze, altri audit, asset, policy o attività) e una persona accetta o modifica ciascuna. Prima dell'invio segnala le risposte che non tornano, senza bloccare nulla. Nulla viene risposto né inviato in automatico.
Richiedi una demo
Ti mostriamo come prepararti al CRA con Audexa.
In 30 minuti vediamo il profilo per ruolo e classe, il questionario, il piano di attività e le evidenze.
- Esaminiamo il tuo ruolo e la classe del tuo prodotto.
- Ti mostriamo i controlli, i rilievi e le attività.
- Ti spieghiamo quale piano fa per il tuo team.