Per molte piccole e medie imprese la cybersecurity e ancora trattata come un insieme di interventi separati: antivirus, backup, aggiornamenti, qualche policy, un fornitore esterno da chiamare quando qualcosa non funziona. Il Cyber Resilience Act europeo cambia questa prospettiva, soprattutto per chi produce, integra, distribuisce o mantiene prodotti digitali.
Il 13 luglio 2026 ENISA ha pubblicato lo SME Cyber Resilience Maturity Assessment Model, un modello pensato per aiutare micro, piccole e medie imprese a valutare il proprio livello di maturita cyber tenendo conto dei requisiti del Cyber Resilience Act. Non e una certificazione, non sostituisce gli obblighi di legge e non va letto come una scorciatoia per dichiararsi conformi. E pero uno strumento utile per fare una cosa spesso trascurata: trasformare la cybersecurity da elenco di adempimenti a percorso misurabile di governo aziendale.
Il punto e concreto. Se un'impresa mette sul mercato software, dispositivi connessi, componenti digitali, applicazioni, piattaforme o soluzioni integrate, non puo piu limitarsi a chiedere se il prodotto "funziona". Deve chiedersi se il prodotto e progettato, documentato, aggiornato e gestito in modo sicuro lungo tutto il suo ciclo di vita.
Perche il modello ENISA arriva in un momento importante
Il Cyber Resilience Act e entrato in vigore il 10 dicembre 2024. Le sue principali disposizioni saranno applicabili dall'11 dicembre 2027, ma alcune parti arrivano prima: gli obblighi di segnalazione per vulnerabilita attivamente sfruttate e incidenti gravi si applicheranno dall'11 settembre 2026.
La Commissione europea ricorda che i produttori dovranno notificare un'allerta iniziale entro 24 ore dalla conoscenza dell'evento, una notifica completa entro 72 ore e una relazione finale secondo le tempistiche previste. Questo non significa soltanto avere un indirizzo email di emergenza. Significa sapere chi decide, quali informazioni raccogliere, come classificare l'evento, quale prodotto e coinvolto, quali versioni sono esposte, quali clienti informare e quali evidenze conservare.
Per una PMI questo passaggio puo essere complesso. Le risorse sono limitate, i ruoli spesso si sovrappongono, la documentazione tecnica non sempre e aggiornata e i rapporti con sviluppatori, integratori, cloud provider e fornitori software possono essere distribuiti su contratti diversi. Il modello ENISA serve proprio a riportare ordine.
Le cinque aree da valutare
Secondo ENISA, il modello si concentra su cinque domini: governance e documentazione; risk management e sicurezza by design e by default; gestione delle vulnerabilita e delle patch; gestione del ciclo di vita del prodotto; consapevolezza, competenze e skill.
La prima area, governance e documentazione, e spesso la piu sottovalutata. Una PMI puo avere buone pratiche tecniche ma non riuscire a dimostrarle. Senza documentazione, responsabilita chiare, registro delle decisioni e tracciabilita delle versioni, la sicurezza resta dipendente dalle persone e non dal processo.
La seconda area riguarda il modo in cui il rischio entra nella progettazione. Security by design non vuol dire aggiungere un controllo a fine sviluppo, ma scegliere architettura, autenticazione, configurazioni, aggiornamenti e gestione dei dati con criteri di sicurezza fin dall'inizio. Security by default significa ridurre le configurazioni deboli, evitare password iniziali banali, limitare privilegi non necessari e rendere sicura l'opzione predefinita.
La terza area, vulnerabilita e patch, e la piu visibile quando accade un incidente. Serve sapere come vengono raccolte le segnalazioni, chi valuta la gravita, come si decide una correzione, come si distribuisce l'aggiornamento e come si comunica con clienti e partner. Qui il collegamento con gli obblighi di reporting del CRA e diretto.
La quarta area e il ciclo di vita del prodotto. Un software o un dispositivo non finisce con la vendita. Occorre definire periodo di supporto, aggiornamenti, manutenzione, fine vita, dipendenze software, componenti open source e responsabilita lungo la supply chain.
La quinta area riguarda competenze e consapevolezza. Non basta avere un responsabile IT preparato se sviluppo, commerciale, assistenza clienti, procurement e direzione non capiscono il proprio pezzo. Un incidente di sicurezza puo nascere da una libreria non aggiornata, da un requisito contrattuale ignorato, da una configurazione lasciata aperta o da una comunicazione tardiva.
Maturita non significa conformita automatica
Un aspetto importante del documento ENISA e la distinzione tra maturita e conformita. Il modello propone profili di maturita, dal livello base a quello avanzato, per aiutare l'impresa a capire quanto i rischi di prodotto siano gestiti in modo consistente. ENISA precisa pero che un livello avanzato non sostituisce gli obblighi legali e non deve essere considerato prova di conformita.
Questa precisazione e utile per evitare un equivoco frequente. Gli strumenti di autovalutazione servono a preparare il lavoro, non a chiuderlo. Possono aiutare a individuare lacune, priorita, responsabilita e investimenti, ma la conformita richiede analisi giuridica, tecnica e organizzativa sul caso specifico.
Per i manager il valore sta altrove: avere una mappa. Una mappa permette di capire dove intervenire prima, quali rischi sono piu esposti, quali fornitori devono essere coinvolti e quali evidenze servono per non arrivare impreparati alle scadenze.
Cosa dovrebbe fare una PMI nei prossimi mesi
La prima azione e classificare il proprio ruolo. L'impresa e produttrice di un prodotto con elementi digitali? Integra componenti di terzi? Distribuisce software? Fornisce manutenzione? Personalizza soluzioni? Gestisce una piattaforma che entra nel ciclo di vita del prodotto di un cliente? La risposta cambia responsabilita, documenti e priorita.
La seconda azione e mappare i prodotti e le dipendenze. Ogni applicazione, firmware, modulo, libreria, servizio cloud o componente open source dovrebbe essere collegato a un proprietario interno, a una versione, a un processo di aggiornamento e a un criterio di supporto. Senza inventario non c'e gestione delle vulnerabilita.
La terza azione e verificare il processo di incident response. L'azienda deve sapere come riconoscere un evento rilevante, chi lo valuta, quali informazioni servono, quali canali usare e come conservare le evidenze. Anche se l'obbligo di reporting non si applica a tutti nello stesso modo, l'organizzazione deve essere pronta a reagire con metodo.
La quarta azione e rivedere i contratti con fornitori e partner. Se una vulnerabilita riguarda una libreria, un componente cloud o un modulo sviluppato da terzi, chi informa chi? In quanto tempo? Con quali log? Con quali responsabilita? La sicurezza di prodotto non si governa solo con strumenti tecnici: si governa anche con clausole, SLA, procedure e diritto di audit.
La quinta azione e trasformare l'autovalutazione in roadmap. Il modello ENISA include anche uno strumento Excel scaricabile che aiuta a calcolare punteggi di maturita e monitorare i progressi nel tempo. Usarlo una volta sola ha poco valore. Ripeterlo ogni trimestre o ogni semestre, invece, permette di misurare se l'organizzazione sta davvero migliorando.
Il collegamento con NIS2 e supply chain
Il Cyber Resilience Act guarda ai prodotti con elementi digitali, mentre NIS2 riguarda la sicurezza di soggetti essenziali e importanti in determinati settori. Sono normative diverse, ma nella pratica aziendale si incontrano sulla supply chain.
Un cliente soggetto a NIS2 chiedera sempre piu spesso evidenze ai propri fornitori digitali. Un produttore soggetto al CRA avra bisogno di informazioni affidabili dai propri sviluppatori, integratori e componentisti. Un fornitore ERP, cloud o software dovra dimostrare non solo disponibilita del servizio, ma anche capacita di gestire vulnerabilita, patch, documentazione e continuita.
Per questo la maturita cyber non e un tema soltanto tecnico. Diventa un criterio di selezione dei fornitori, una parte della due diligence, un elemento contrattuale e un fattore competitivo.
Una checklist essenziale per partire
Un'impresa puo iniziare con sette domande molto pratiche.
Primo: abbiamo un inventario aggiornato dei prodotti digitali e delle loro componenti principali?
Secondo: sappiamo chi e responsabile della sicurezza di ciascun prodotto o servizio?
Terzo: abbiamo un processo documentato per ricevere, valutare e correggere vulnerabilita?
Quarto: possiamo distribuire patch in modo controllato e tracciabile?
Quinto: conosciamo il periodo di supporto dei prodotti che vendiamo o integriamo?
Sesto: i contratti con fornitori e clienti prevedono tempi, responsabilita e flussi informativi in caso di incidente?
Settimo: direzione, IT, sviluppo, assistenza e procurement condividono la stessa procedura o ognuno gestisce il rischio in modo separato?
Se una o piu risposte sono incerte, non significa che l'impresa sia fuori mercato. Significa che ha davanti un lavoro da pianificare subito, prima che le scadenze rendano tutto piu urgente e costoso.
Conclusione
Il modello ENISA per la maturita cyber delle PMI e utile perche parla il linguaggio delle organizzazioni reali. Non promette conformita automatica e non riduce il Cyber Resilience Act a una lista di moduli da compilare. Aiuta invece a vedere dove l'impresa e solida, dove dipende troppo da prassi informali e dove deve investire.
Per chi produce, integra o vende soluzioni digitali, la domanda non e piu solo "siamo sicuri?". La domanda diventa: possiamo dimostrare di gestire sicurezza, vulnerabilita, documentazione e ciclo di vita del prodotto in modo ripetibile?
Chi comincia ora avra tempo per correggere processi, contratti e responsabilita. Chi aspetta l'ultima scadenza rischia di trasformare la cybersecurity in un'emergenza amministrativa, invece che in una capacita stabile dell'impresa.
Fonti
– ENISA, SME Cyber Resilience Maturity Assessment Model: https://www.enisa.europa.eu/publications/sme-cyber-resilience-maturity-assessment-model
– ENISA, Where do SMEs stand in preparing for the Cyber Resilience Act?: https://www.enisa.europa.eu/news/where-do-smes-stand-in-preparing-for-the-cyber-resilience-act
– Commissione europea, Cyber Resilience Act – Manufacturers: https://digital-strategy.ec.europa.eu/en/policies/cra-manufacturers
– Commissione europea, Cyber Resilience Act – Reporting obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
– ACN, Obblighi NIS: https://www.acn.gov.it/portale/nis/obblighi