Le scadenze di NIS2, CRA, DORA e AI Act, europee e italiane, prese dai testi ufficiali: le prossime e quelle degli ultimi sei mesi.
Le date sono un aiuto per orientarsi e non sono una consulenza: fa fede la fonte ufficiale indicata per ogni scadenza. Le controlliamo sui testi ufficiali e per ognuna indichiamo la data dell’ultima verifica.
Il file .ics si apre con Outlook, Google Calendar e Apple Calendar. Le date indicative non entrano nel calendario.
Dicembre 2027
CRAUE
10 dicembre 2027
Ultimo giorno dei requisiti di cibersicurezza della direttiva RED
Fino al 10 dicembre 2027 le apparecchiature radio interessate dal regolamento delegato 2022/30 devono rispettare i requisiti di cibersicurezza della direttiva RED; dall’11 dicembre 2027 li sostituisce il CRA. Le unità immesse sul mercato tra il 1° agosto 2025 e il 10 dicembre 2027 restano controllabili secondo la RED anche dopo.
A chi si applica: Fabbricanti, importatori e distributori di apparecchiature radio rientranti nel regolamento delegato 2022/30.
Si applica tutto il regolamento: requisiti essenziali di cibersicurezza, gestione delle vulnerabilità, documentazione tecnica, valutazione della conformità, dichiarazione di conformità UE e marcatura CE, obblighi di importatori e distributori, vigilanza del mercato e sanzioni. Gli esemplari immessi sul mercato prima restano fuori, salvo modifica sostanziale, ma l’art. 14 vale comunque. Conta il singolo esemplare, non il modello: le unità immesse dall’11 dicembre 2027 devono essere conformi anche se il modello era già in vendita.
A chi si applica: Fabbricanti, rappresentanti autorizzati, importatori e distributori di prodotti con elementi digitali.
CRA: obblighi dei gestori di software open source (art. 24)
Le persone giuridiche che sostengono in modo sistematico e duraturo lo sviluppo di software open source destinato ad attività commerciali devono avere una politica di cibersicurezza documentata, collaborare su richiesta con le autorità di vigilanza del mercato e segnalare tramite la piattaforma ENISA le vulnerabilità attivamente sfruttate nei prodotti al cui sviluppo partecipano e gli incidenti gravi che colpiscono i sistemi che mettono a disposizione per lo sviluppo.
A chi si applica: Gestori di software open source (per esempio le fondazioni).
CRA: validità massima dei certificati e delle decisioni di approvazione rilasciati con altre norme UE
I certificati di esame UE del tipo e le decisioni di approvazione sulla cibersicurezza rilasciati con altre norme UE di prodotto (per esempio la RED, con il regolamento delegato 2022/30) restano validi al più tardi fino a questa data.
A chi si applica: Fabbricanti che hanno questi certificati o decisioni di approvazione.
CRA: obblighi di segnalazione dei fabbricanti (art. 14)
Il fabbricante che viene a sapere di una vulnerabilità sfruttata attivamente o di un incidente grave sul suo prodotto lo notifica esclusivamente tramite la piattaforma unica di segnalazione dell’ENISA (accesso con EU Login), operativa dalla stessa data: preallarme entro 24 ore, notifica entro 72 ore, relazione finale. Vale anche per i prodotti già sul mercato.
A chi si applica: Fabbricanti di prodotti con elementi digitali messi a disposizione nell’UE, compresi quelli immessi sul mercato prima dell’11 dicembre 2027.
CRA: si applicano le regole sugli organismi notificati
Si applica il capo IV: da questa data gli Stati membri possono valutare e notificare alla Commissione i laboratori e gli enti di certificazione che vogliono diventare organismi notificati per il CRA.
A chi si applica: Organismi di valutazione della conformità; indirettamente i fabbricanti che dovranno rivolgersi a un organismo notificato.