---
title: "Il capo IV si applica da giugno, l’autorità italiana ancora no"
description: "Il capo IV del Cyber Resilience Act si applica dall’11 giugno 2026. L’Italia deve ancora designare l’autorità di notifica: la delega scade il 9 ottobre."
url: https://csidia.com/note-operative/cra-capo-quarto-autorita-di-notifica-delega/
lang: it
date: 2026-08-10
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/cra-capo-quarto-autorita-di-notifica-delega/
---

# Il capo IV si applica da giugno, l’autorità italiana ancora no

Se fra un mese doveste segnalare una vulnerabilità attivamente sfruttata su un prodotto che vendete — o che avete integrato in un vostro impianto — sapreste dire chi ha le ventiquattro ore per il preallarme, chi le settantadue per la notifica completa, chi scrive la relazione a quattordici giorni dalla correzione, e su quale piattaforma? E se il prodotto non è nell’ultimo catalogo, ma in uno venduto tre anni fa e ancora in assistenza?

Non è una domanda ipotetica: risponde a un calendario già scritto, e una parte di quel calendario è già passata senza che quasi nessuno lo registrasse.

## L’Europa non aspetta l’Italia

Il regolamento (UE) 2024/2847 — il Cyber Resilience Act — si applica per intero solo dall’11 dicembre 2027. Ma l’articolo 71, paragrafo 2, ritaglia due eccezioni molto più vicine: «il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026» — due mesi fa — e «l’articolo 14 si applica a decorrere dall’11 settembre 2026» — fra un mese. Il considerando 126 lo motiva così: agli operatori economici va concesso il tempo per adeguarsi, ma non allo stesso ritmo per tutto.

Il capo IV contiene l’articolo 36, l’autorità di notifica. Il paragrafo 1 è netto: «Ogni Stato membro designa un’autorità di notifica responsabile dell’istituzione e dell’esecuzione delle procedure necessarie per la valutazione, la designazione e la notifica degli organismi di valutazione della conformità e il loro controllo». Il paragrafo 4 aggiunge che l’autorità «si assume la piena responsabilità» anche quando delega il compito, e l’articolo 37 la vuole costituita «in modo che non sorgano conflitti di interesse» con gli organismi che deve controllare. È la porta attraverso cui un prodotto ottiene — o non ottiene — la conformità che gli serve per stare sul mercato europeo. E in Europa quella porta è aperta da giugno.

## La delega italiana: sei mesi che scadono il 9 ottobre

In Italia quella porta non ha ancora una targa. La legge 17 marzo 2026, n. 36 — legge di delegazione europea, in vigore dal 9 aprile 2026 — delega il Governo, all’articolo 15, comma 1, ad adottare **entro sei mesi** dall’entrata in vigore uno o più decreti legislativi di attuazione del regolamento (UE) 2024/2847. Sei mesi da aprile portano a un termine che è un calcolo nostro sul testo, non una data scritta nella norma: il **9 ottobre 2026**, meno di due mesi da oggi.

Il comma 2 fissa chi farà cosa: lettera b), l’ACN quale «autorità di notifica ai sensi dell’articolo 36»; lettera c), la stessa Agenzia **quale autorità di vigilanza del mercato ai sensi dell’articolo 52**. Lettera a): coordinamento con il **decreto-legge 105/2019** (il Perimetro cibernetico) e il **decreto legislativo 138/2024** (il decreto NIS). Lettera d): raccordo con le autorità del decreto legislativo 157/2022. Lettera e): abrogazione delle norme incompatibili. Lettera f): sanzioni «effettive, dissuasive e proporzionate», **anche in deroga** ai criteri dell’art. 32, comma 1, lett. d), della legge 234/2012, coordinate — quanto al procedimento — con l’art. 17, comma 4-quater, del decreto-legge 82/2021, introiti riassegnati all’ACN; lettera g), risorse «umane, strumentali e finanziarie» adeguate. Il comma 3 mette cifre dietro quella lettera: **2.100.000 euro nel 2026, 5.875.000 nel 2027, 9.125.000 nel 2028 e 6.925.000 annui dal 2029**, sul fondo per il recepimento della normativa europea.

## Il decreto non c’è, per ora

A oggi non risulta pubblicato in Gazzetta Ufficiale un decreto legislativo di attuazione. È una verifica su fonte primaria, con una finestra ancora aperta: i sommari della Serie Generale sono leggibili fino al **n. 183 dell’8 agosto**; il 9 agosto era domenica, senza Gazzetta; il **n. 184 del 10 agosto non risultava ancora pubblicato** nel pomeriggio; l’ultimo decreto legislativo uscito resta il **n. 141 del 5 agosto**, che non riguarda la ciberresilienza. Non è prova che il decreto non arriverà nei prossimi giorni: è la fotografia di ciò che si può controllare oggi — [come per il termine NIS2 del 12 ottobre](https://csidia.com/note-operative/nis2-12-ottobre-2026-un-documento-non-una-data), anche lì la scadenza si legge in un documento, non in un titolo di giornale. E la mancata designazione dell’ACN **non sospende nulla** dei vostri obblighi verso l’Europa: sospende solo la parte italiana — chi valuta i vostri organismi di certificazione, chi vi ispeziona, con quale procedimento.

[Vedi il servizio](https://csidia.com/soluzioni/conformita-documentale) · [Parlane con un tecnico](https://csidia.com/contatti)

## Le tre finestre dell’articolo 14 corrono comunque

Dall’11 settembre l’articolo 14 impone al fabbricante di notificare **simultaneamente al CSIRT coordinatore e all’ENISA**, tramite la piattaforma unica dell’articolo 16:

- lettera a): **preallarme entro 24 ore** dal momento in cui il fabbricante è venuto a conoscenza della vulnerabilità attivamente sfruttata;
- lettera b): **notifica entro 72 ore**, con le informazioni disponibili su prodotto e sfruttamento;
- lettera c): **relazione finale entro 14 giorni** dalla misura correttiva, con gravità, impatto e, se disponibili, il soggetto malintenzionato.

Lo stesso schema vale per gli **incidenti gravi** — [il cronometro lo abbiamo già scomposto](https://csidia.com/note-operative/cyber-resilience-act-segnalazione-settembre-2026). Qui interessa il perimetro dei prodotti coperti, e non è quello che pensate: l’articolo 69, paragrafo 3, deroga alla regola che esenterebbe i prodotti già venduti — «gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento e che sono stati immessi sul mercato prima dell’11 dicembre 2027». Non conta quando l’avete venduto: conta se lo assistete ancora — [lo stesso movimento visto per i componenti hardware](https://csidia.com/note-operative/componenti-logici-covered-list-fcc).

## Un’economia, non una scorciatoia generale

Un punto che ripetiamo perché si presta a fraintendimenti: l’articolo 31, paragrafo 3, consente un **fascicolo tecnico unico** per i prodotti soggetti anche ad altri atti dell’Unione, ma **solo** «per i prodotti con elementi digitali di cui all’articolo 12» — quelli che sono anche sistemi di IA ad alto rischio. Non è una regola orizzontale: per il resto del mercato, la sovrapposizione fra CRA e altre discipline — [SBOM e fascicolo tecnico compresi](https://csidia.com/note-operative/cyber-resilience-act-sbom-fascicolo-tecnico-2027) — resta un’economia da costruire, non un obbligo già scritto.

## Chi aspetta il decreto arriva tardi due volte

Chi aspetta il decreto per organizzarsi scommette su due cose insieme: che l’Italia rispetti il 9 ottobre — un calcolo nostro, non una certezza — e che nel frattempo l’Europa non chieda nulla. Nessuna delle due scommesse è ragionevole. La domanda a cui ogni lettore dovrebbe saper rispondere subito è semplice: se scoprissimo oggi che un nostro prodotto — anche uno che non produciamo più — ha una vulnerabilità attivamente sfruttata, sapremmo chi apre il preallarme entro ventiquattro ore, e su quale prova dimostreremmo l’ora esatta in cui l’abbiamo saputo? Per la maggior parte delle organizzazioni la risposta onesta è no. È una lettura normativa su fonti primarie, non un parere legale: per il vostro caso serve un confronto puntuale.

## Fonti

- [Regolamento (UE) 2024/2847 (Cyber Resilience Act) — testo ufficiale (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Legge 17 marzo 2026, n. 36 — legge di delegazione europea 2025, art. 15 (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2026-03-17;36)
- [Gazzetta Ufficiale della Repubblica Italiana](https://www.gazzettaufficiale.it/)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/cra-capo-quarto-autorita-di-notifica-delega/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com