Il software dentro i vostri dispositivi, sorvegliato ogni giorno.

Sì. Il CRA si applica a tutti i prodotti con elementi digitali messi a disposizione sul mercato dell'UE, ovunque siano fabbricati.

Se il dispositivo non può svolgere la sua funzione senza di essi e li avete progettati voi, o sono stati realizzati sotto la vostra responsabilità, sì: il regolamento li considera parte del prodotto (elaborazione dati da remoto, art. 3, punto 2). Un servizio web venduto da solo, senza un dispositivo né un software da installare, è fuori dall'ambito di applicazione.

Non per il CRA. Il fabbricante è chi commercializza il prodotto con il proprio nome o marchio, chiunque l'abbia fabbricato (art. 3, punto 13), e un importatore o un distributore che appone il proprio marchio su un prodotto assume gli obblighi del fabbricante (art. 21). L'obbligo di notifica, che si applica già, è vostro. Vi serve che il fornitore vi dia l'elenco dei componenti e vi informi delle falle che conosce.

I vostri obblighi iniziano l'11 dicembre 2027 (art. 19). Da quel giorno, prima di immettere un prodotto sul mercato dovrete verificare che il fabbricante abbia svolto la valutazione della conformità e redatto la documentazione tecnica, che il prodotto rechi la marcatura CE con la dichiarazione e le istruzioni, e che siano indicati i recapiti del fabbricante e la fine del periodo di assistenza. Le unità immesse sul mercato da quella data devono essere conformi anche se le avete acquistate prima, quindi conviene chiedere già ora ai fornitori.

L'obbligo è del fabbricante. Sulla piattaforma la presenta una persona registrata come rappresentante, e la notifica arriva al CSIRT del paese in cui avete lo stabilimento principale. Di solito una persona della vostra azienda è il rappresentante principale e noi entriamo come rappresentante secondario, con la vostra autorizzazione scritta. Finché il vostro rappresentante principale non è stato verificato e non ci ha invitati, è quella persona a presentare la notifica con il testo che prepariamo noi.

No. Per le unità immesse sul mercato dall'11 dicembre 2027 dovrete averne una, tenerla aggiornata e consegnarla alle autorità se ve la chiedono. Pubblicarla è una vostra scelta (allegato II, punto 9).

Dipende dalla categoria. Per la maggior parte dei dispositivi (la categoria predefinita) basta la procedura di controllo interno: valutate voi stessi la conformità (modulo A). Per i prodotti di classe I, come serrature intelligenti, telecamere di sicurezza o router, solo se non applicate integralmente norme armonizzate, e al 13 ottobre 2026 quelle norme non sono ancora state citate nella Gazzetta ufficiale. Per i prodotti di classe II e per quelli critici interviene sempre un terzo: un organismo notificato o un sistema europeo previsto dal Cybersecurity Act. Il test vi dà una prima idea.