La serie ETSI EN 304 xxx definisce i requisiti tecnici di cybersecurity e la finestra per i commenti si chiude
Non è più teoria. Oggi ETSI ha avviato il processo di approvazione per 17 standard europei a supporto del Cyber Resilience Act: la serie ETSI EN 304 xxx, già sottoposta quest’estate a 41 organizzazioni membri, si avvia verso la conclusione tra metà settembre e metà novembre 2026. Per chi progetta apparecchiature industriali e prodotti con elementi digitali, il cronometro è partito.
Il cronometro parte da 17 standard
Il processo di approvazione si chiuderà tra metà settembre e metà novembre 2026, a seconda della verticale. La serie ETSI EN 304 xxx definisce i requisiti di cybersecurity: è il primo passaggio in cui il Cyber Resilience Act smette di essere un regolamento di principio e diventa un percorso tecnico verificabile. Per chi progetta macchine, quadri e dispositivi connessi, ogni osservazione inviata in questa finestra pesa sul testo definitivo. Non si tratta di un esercizio astratto: i commenti tecnici formulati nelle prossime settimane possono cambiare il tenore dei criteri su cui si baseranno valutazioni di conformità e procedure di verifica.
Il perimetro normativo è ampio. Il CRA si applica a tutti i prodotti con elementi digitali, e la conformità è richiesta entro la fine del 2027 per produttori, importatori, distributori, fornitori di servizi e sviluppatori di hardware e software commerciali. Sandra Feliciano, presidente del gruppo responsabile per il CRA (TC CYBER-EUSR), guida il lavoro di standardizzazione: una figura di riferimento chiara per chi deve iniziare a prepararsi all’adeguamento.
Presunzione di conformità, ma non un automatismo
Per capire cosa c’è davvero in palio, bisogna partire dal meccanismo giuridico. Come emerge dalla sintesi ufficiale del regolamento, il CRA è entrato in vigore il 10 dicembre 2024 e sarà pienamente applicabile a partire dall’11 dicembre 2027. Il meccanismo chiave è che i prodotti con elementi digitali conformi alle norme armonizzate beneficiano della presunzione di conformità ai requisiti essenziali del CRA: in pratica, chi segue la norma armonizzata non deve dimostrare requisito per requisito di aver soddisfatto gli obblighi, ma può appoggiarsi a un percorso tecnico già riconosciuto. È un alleggerimento concreto per chi progetta e per chi valuta la conformità.
Ma la presunzione non è un automatismo. I produttori di apparecchiature industriali prevedono difficoltà significative su tre fronti: implementare pratiche di ciclo di vita dello sviluppo sicuro, gestire le notifiche di vulnerabilità entro scadenze rigorose e colmare le lacune nelle competenze di cybersecurity. Per chi progetta macchine e sistemi di controllo, questo significa ripensare non solo la documentazione ma i processi interni: come si segue un difetto dopo la consegna, come si gestiscono le segnalazioni quando arrivano, con quali competenze interne si valuta l’esposizione. Sono domande che il mondo dell’automazione industriale ha affrontato in modo frammentario, e che ora entrano nel perimetro di un obbligo normativo.
Su questo sfondo, i riferimenti disponibili contano. CENELEC considera la serie EN 18031 come la base per lo sviluppo di norme armonizzate a supporto del CRA. In parallelo, ETSI ha istituito un gruppo dedicato all’interno del TC CYBER: l’ETSI EUSR, responsabile di tutti gli output di standardizzazione assegnati a ETSI sotto il mandato CRA. Chi deve prepararsi ha già una mappa: da un lato la tradizione CENELEC sugli aspetti di sicurezza, dall’altro il lavoro ETSI sulla cybersecurity dei dispositivi connessi.
La finestra utile prima del 2027
Le difficoltà non sono un vicolo cieco: il calendario offre una finestra. Tra settembre e novembre 2026, chi progetta prodotti con elementi digitali può leggere le bozze della serie ETSI EN 304 xxx e inviare osservazioni. In parallelo, la serie EN 18031 e il gruppo ETSI EUSR sono già riferimenti disponibili per verificare l’impostazione tecnica del proprio prodotto. Perché non sfruttare questi mesi per capire dove si colloca il proprio portafoglio, prima che la scadenza del dicembre 2027 stringa davvero?
Chi progetta prodotti con elementi digitali non deve subire il Cyber Resilience Act. La finestra di commento e i riferimenti già disponibili — la serie EN 18031, il gruppo ETSI EUSR, le bozze in approvazione — sono l’occasione per trasformare un vincolo normativo in un vantaggio competitivo: chi arriva preparato alla piena applicabilità del dicembre 2027 lo fa con processi più solidi e prodotti più difendibili sul mercato.
