Costi di conformità al CRA: predisporre un budget affidabile
Costi di conformità al CRA: predisporre un budget affidabile
Non esiste un prezzo unico per il regolamento UE sulla ciberresilienza (CRA), né una tariffa di certificazione obbligatoria per tutti i prodotti. Distinguere il lavoro relativo al prodotto, il percorso di valutazione della conformità e la sicurezza dopo la commercializzazione. La marcatura CE non è un certificato CRA acquistabile.
Esiste una tariffa ufficiale CRA?
Il regolamento (UE) 2024/2847 non prevede una tariffa unica europea per il controllo interno del fabbricante o per l’apposizione della marcatura CE. Il controllo interno non richiede automaticamente un organismo notificato a pagamento. Se occorre una valutazione di terza parte, il prezzo dipende dall’ambito; prove e consulenza sono servizi distinti. Non è giustificabile una cifra universale in euro.
Gli obblighi di notifica dell’articolo 14 si applicano dall’11 settembre 2026, anche ai prodotti già messi a disposizione sul mercato UE. La maggior parte degli altri obblighi si applica dall’11 dicembre 2027. Il budget 2026 deve già finanziare le notifiche.
La categoria del prodotto determina il percorso e il prezzo
Ai sensi dell’articolo 32, confrontare la funzione principale con gli allegati III e IV e le descrizioni tecniche ufficiali. La tabella guida il budget, ma non sostituisce una classificazione formale.
| Categoria | Possibile valutazione | Conseguenza economica |
|---|---|---|
| Prodotti ordinari | Di norma è disponibile il controllo interno del fabbricante (modulo A). | Analisi dei rischi, prove tecniche e documentazione; le prove esterne non sono automaticamente obbligatorie. |
| Prodotti importanti classe I | Controllo interno solo con norme armonizzate applicabili, specifiche comuni o sistema UE di certificazione della cibersicurezza idoneo; altrimenti organismo notificato. Verificare l’eccezione per software libero. | Finché il percorso è incerto, stimare sia il controllo interno documentato sia una valutazione esterna. |
| Prodotti importanti di classe II / prodotti critici | Organismo notificato o, ove disponibile e legalmente applicabile, sistema UE di certificazione della cibersicurezza idoneo. Verificare eccezioni per determinati prodotti importanti open source. | Richiedere ambito, modulo, varianti e ripetizione delle prove; la sola autodichiarazione può non bastare. |
Elenco delle voci di costo per il preventivo
Separare i costi iniziali da quelli del ciclo di vita, indicando responsabile, quantità e documentazione per ogni voce.
| Voce di costo | Fattore principale | Cosa richiedere |
|---|---|---|
| Classificazione e analisi dei divari | Destinazione d’uso, funzioni di sicurezza, componenti e controlli esistenti. | Ambito scritto, percorso normativo e ipotesi. |
| Adeguamenti e fascicolo tecnico | Progettazione sicura, rischi, vulnerabilità, fornitori, istruzioni. | Attività, giornate/uomo e criteri di accettazione. |
| Verifiche e riprove | Interfacce, minacce, ambiente, campioni, versioni software e firmware. | Piano prove, campioni, gestione difetti e prezzo delle riprove. |
| Valutazione esterna | Solo quando richiesta o scelta; moduli B+C e H hanno ambiti diversi. | Notifica CRA dell’organismo, risultati, sorveglianza e costi delle modifiche. |
| Produzione e versioni | Siti, appaltatori, varianti e controlli sulle nuove versioni. | Verifiche di sito motivate; non si presume un audit di fabbrica universale. |
| Cibersicurezza dopo l’immissione sul mercato e ruoli nell’UE | Periodo di supporto, monitoraggio, aggiornamenti, segnalazioni e reali servizi di rappresentanza/importazione. | Budget annuo, titolari dei compiti e accordi. |
Tre scenari di budget, non prezzi garantiti
- Un software ordinario con processi di sicurezza maturi — Può ridurre l’esposizione alla valutazione esterna; prevalgono adeguamenti, prove e processi di aggiornamento/segnalazione.
- Classe I con copertura delle norme incerta — Stimare due percorsi: controllo interno ammissibile o valutazione notificata se non lo è. Verificare le norme prima di un prezzo fisso.
- Famiglia di dispositivi connessi di classe II con frequenti aggiornamenti del firmware — Stimare valutazione di terza parte o schema idoneo, campioni rappresentativi e costi di modifiche e riprove; motivare il riuso delle prove tra varianti.
Dati necessari per un preventivo attendibile
Senza queste informazioni qualunque prezzo resta un’ipotesi non vincolante.
- Fabbricante, marchio, canale UE, eventuale importatore/rappresentante e ripartizione dei compiti.
- Descrizione, uso previsto, funzioni principali, connettività, ambiente di utilizzo e mercati.
- Classe CRA motivata; norme, specifiche o schema di certificazione e verifica dell’applicabilità.
- Versioni, varianti, fornitori, distinta software (SBOM), componenti di terzi e trattamento remoto.
- Valutazione dei rischi, test, risposta a incidenti, gestione vulnerabilità, aggiornamenti e fascicolo esistenti.
- Durata del supporto, calendario versioni, possibili modifiche sostanziali, campioni e personale disponibile.
Pianificare le attività per ridurre le ripetizioni
- Definire il perimetro e le incertezze della classe CRA; non acquistare subito una certificazione.
- Confermare il percorso legale, le norme e gli schemi disponibili e l’ambito di notifica dell’organismo.
- Riutilizzare prove di sicurezza attendibili e acquistare soltanto la soluzione dei divari documentati.
- Concordare per iscritto criteri di ingresso nei test, versioni, campioni, riprove, cambiamenti ed esclusioni.
- Accantonare separatamente fondi ricorrenti per monitoraggio, correzioni, supporto e notifiche ex articolo 14.
Confrontare i preventivi e stimare i costi ricorrenti
Chiedere importi separati per risultati fissi, opzioni, ore interne, trasferte e verifiche sul posto giustificate, riprove, eventuale sorveglianza, imposte e supporto. Un «certificato CRA a X euro» senza classe e ambito non è confrontabile.
Per l’attuazione, consultare i servizi per la conformità al CRA; per la classificazione e la strategia, la consulenza sulla classificazione CRA; per gli altri regimi, i costi della marcatura CE. Si tratta di questioni distinte.
Fonti ufficiali
- Regolamento (UE) 2024/2847: articoli 32 e 71, allegati
- Commissione: sintesi CRA e valutazione della conformità
- Commissione: obblighi di segnalazione
Domande frequenti sui costi CRA
Esiste una tassa fissa per marcatura CE o dichiarazione CRA?
Il CRA non prevede un importo fisso generale per l’apposizione della marcatura CE o la redazione della dichiarazione UE di conformità. Le attività interne hanno un costo; l’organismo notificato può addebitare il costo della valutazione quando interviene.
Tutti i prodotti di classe I devono effettuare test in laboratorio esterno?
No. Verificare se il controllo interno è consentito e quali prove sono necessarie. Test indipendenti possono comunque essere utili.
Una valutazione copre un’intera famiglia?
Solo nei limiti giustificati dalla procedura scelta, dall’architettura comune documentata, dalle differenze e dall’ambito accettato dall’organismo di valutazione, se coinvolto. Quantificare varianti, modifiche al firmware e possibili ripetizioni delle prove.
Il produttore extra UE deve sempre pagare un rappresentante autorizzato?
Non automaticamente. Il CRA consente un mandatario con incarico scritto; verificare separatamente obblighi di importatore e altri operatori.
Perché finanziare le segnalazioni prima di dicembre 2027?
L’articolo 14 si applica dall’11 settembre 2026; la maggior parte degli altri obblighi dall’11 dicembre 2027.