Cyber Resilience Act e Monaco

Una scadenza di cui pochissime imprese monegasche hanno sentito parlare

L'11 settembre 2026 entrano in applicazione i primi obblighi vincolanti del Cyber Resilience Act europeo (regolamento (UE) 2024/2847). Da quella data i fabbricanti di prodotti con elementi digitali dovranno segnalare alle autorità europee le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi — entro termini misurati in ore, non in settimane.

L'istinto monegasco è di passare oltre. Monaco non è uno Stato membro dell'Unione europea, quindi i regolamenti europei non si applicano automaticamente alle imprese monegasche. Di solito quell'istinto è corretto. Qui lo è un po' meno, perché il Cyber Resilience Act si aggancia al luogo in cui il prodotto è immesso sul mercato, non a quello in cui l'impresa è registrata.

Se la vostra società monegasca immette software, un'applicazione o un dispositivo connesso sul mercato europeo, rientrate potenzialmente nel campo di applicazione. Se gestite un ristorante con una pagina di prenotazione, no. È tra queste due situazioni che si gioca la parte utile del discorso.

Perché stare fuori dall'UE non basta a esserne esenti

Il Cyber Resilience Act segue la logica dell'immissione sul mercato, la stessa famiglia giuridica della marcatura CE. Riguarda i prodotti con elementi digitali messi a disposizione sul mercato dell'Unione, indipendentemente dal luogo di stabilimento del fabbricante. Un'impresa situata fuori dall'Unione che vi vende rientra nell'ambito di applicazione.

Per un fabbricante extra-UE la conseguenza pratica è strutturale: qualcuno, all'interno dell'Unione, deve farsi carico degli obblighi di conformità. Questo significa designare un rappresentante autorizzato stabilito nell'UE, oppure appoggiarsi a un importatore che assuma i doveri corrispondenti. Per una software house monegasca che vende a clienti francesi, italiani o tedeschi non è una formalità da sbrigare al momento della commercializzazione: determina chi firma cosa.

La posizione di Monaco è qui davvero particolare. Monaco rientra nel territorio IVA francese, circostanza che viene regolarmente confusa con l'appartenenza all'Unione. Non sono la stessa cosa, e nessuno dei due elementi risolve la questione. A risolverla è soltanto il fatto di immettere o meno un prodotto con elementi digitali sul mercato europeo.

Che cos'è un «prodotto con elementi digitali»

È qui che la maggior parte delle imprese monegasche tirerà un sospiro di sollievo, e qualcuna troverà invece del lavoro da fare.

Il regolamento copre hardware connettibile e software: gli esempi della Commissione vanno dai baby monitor agli smartwatch, dalle applicazioni ai programmi informatici. Oltre al prodotto in sé, le soluzioni di elaborazione dati da remoto necessarie al suo funzionamento sono considerate parte integrante dello stesso e rientrano anch'esse nell'ambito. I prodotti sono poi suddivisi in livelli che determinano la valutazione della conformità: la maggior parte ricade in una categoria predefinita e può essere autovalutata, livelli più stringenti riguardano gestori di password, VPN, sistemi operativi e firewall, e una ristretta categoria critica — contatori intelligenti, elementi sicuri — impone la certificazione.

In concreto, per un'impresa monegasca tipo:

• Un sito vetrina, una pagina di prenotazione o un sito istituzionale non sono il bersaglio di questo regolamento. Il vostro sviluppo web non diventa un prodotto con marcatura CE.
• Un'applicazione mobile nativa che pubblicate e commercializzate è un caso molto più vicino al confine e merita un esame serio.
• L'hardware connesso — un dispositivo venduto con il proprio software companion — è esattamente ciò per cui il regolamento è stato scritto. A Monaco ce n'è più di quanto si immagini, in particolare nello yachting, nei sistemi di sicurezza e nelle tecnologie per l'edilizia.
• Il SaaS puro si colloca in una posizione più sfumata: l'ambito è costruito attorno ai prodotti, non ai servizi, ma le componenti cloud legate al funzionamento di un prodotto vi vengono ricondotte. Se il vostro fatturato dipende dalla risposta, chiedetela a un consulente qualificato.

Il conto alla rovescia di 24 e 72 ore

L'obbligo di settembre è più circoscritto della conformità piena, ma impegnativo sul piano operativo. Per una vulnerabilità attivamente sfruttata o un incidente grave che incide sulla sicurezza del vostro prodotto:

1. Allerta precoce entro 24 ore dal momento in cui ne venite a conoscenza.
2. Notifica completa entro 72 ore.
3. Relazione finale entro 14 giorni dalla disponibilità di una misura correttiva per una vulnerabilità, oppure entro un mese per un incidente grave.

Le segnalazioni passano dalla piattaforma unica di segnalazione del CRA verso il CSIRT competente, con l'obiettivo di segnalare una sola volta anziché in ciascuno Stato membro.

Sono le 24 ore il numero che merita attenzione. Quel termine non lascia il tempo di stabilire chi decide, chi scrive e chi possiede le credenziali della piattaforma. Sono domande da risolvere prima dell'incidente — la stessa lezione che le imprese monegasche hanno tratto dall'obbligo di notifica entro 72 ore previsto dalla legge n. 1.565, e un buon motivo per trattare i due temi in un unico cantiere. Se avete già una procedura interna per le notifiche legate alla protezione dei dati APDP, estendetela invece di ripartire da zero.

Cosa fare prima dell'11 settembre

• Stabilite se siete effettivamente interessati. Mettete per iscritto che cosa vendete, in quale forma, a chi e in quali Paesi. La maggior parte delle imprese monegasche chiuderà l'esercizio in un pomeriggio con un no netto, e quella risposta scritta ha già un valore in sé.
• Individuate il vostro operatore economico nell'UE. Vendere prodotti nell'Unione senza rappresentante autorizzato né assetto di importazione è la lacuna da colmare per prima.
• Nominate un responsabile e un percorso. Una persona che risponda dell'allerta entro 24 ore, con accesso documentato alla piattaforma e un sostituto per i periodi di ferie.
• Sappiate da dove arriva il vostro software. Segnalare vulnerabilità sfruttate presuppone di conoscere le proprie componenti. Per la maggior parte dei team significa un inventario delle dipendenze e un monitoraggio costante — attività da contratto continuativo di manutenzione e supporto del sito, non da audit una tantum.

La data più importante è l'11 dicembre 2027

Settembre 2026 fa scattare gli obblighi di segnalazione. I requisiti sostanziali — sicurezza fin dalla progettazione, gestione delle vulnerabilità lungo tutto il periodo di supporto, documentazione tecnica, valutazione della conformità e marcatura CE — si applicano dall'11 dicembre 2027. Da notare: gli obblighi di segnalazione riguardano anche prodotti già presenti sul mercato europeo, quindi un'applicazione distribuita anni fa non ne resta automaticamente fuori.

Quindici mesi sembrano comodi e non lo sono, se il vostro prodotto richiede una procedura di valutazione della conformità, una revisione di sicurezza fin dalla progettazione o una ristrutturazione del modo in cui rilasciate gli aggiornamenti. Le imprese che leggeranno settembre come un invito a mappare la propria esposizione passeranno il 2027 a eseguire. Quelle che aspetteranno lo passeranno a improvvisare.

Una riserva onesta: il testo è recente, gli orientamenti continuano a essere pubblicati, e le questioni di perimetro ai margini — in particolare sul SaaS — meritano una lettura giuridica seria. Quando la risposta incide sulla vostra roadmap di prodotto o sulla capacità di vendere nell'Unione, fatela validare da un professionista qualificato. Nulla di quanto precede costituisce consulenza legale.

Per la maggior parte delle imprese monegasche l'esito corretto di questa lettura è un breve e documentato «fuori ambito». Per la minoranza che sviluppa software e prodotti connessi destinati a clienti europei è invece l'inizio di un progetto vero — che si lega naturalmente alle vostre scelte di strategia digitale su quali mercati servire.

Per capire da che parte di questa linea si trova la vostra attività, contattateci: di norma basta una conversazione breve per stabilirlo.