Kurze Antwort: Das italienische Anpassungsdekret zum Cyber Resilience Act (CRA) überträgt der nationalen Cybersicherheitsbehörde (ACN) die Marktüberwachung und die Notifizierung der Konformitätsbewertungsstellen. Der Ministerrat hat es am 2. Oktober 2026 in vorläufiger Prüfung gebilligt. Es ist noch nicht in Kraft.
Was das Dekret vorsieht
- Die ACN überwacht den Markt und kann sich dabei der Finanzpolizei (Guardia di finanza) bedienen.
- Als notifizierende Behörde bewertet sie die Konformitätsbewertungsstellen nicht selbst: Das bleibt Aufgabe der Akkreditierungsstelle.
- Verbraucher können Schwachstellen und Vorfälle an das CSIRT Italia melden.
- Verstöße gehören zu den Fällen, in denen Verbandsklagen zum Schutz kollektiver Interessen möglich sind.
- Das Sanktionsverfahren ist noch nicht geregelt.
Die Fristen des CRA
- 11. Juni 2026: Kapitel IV, Konformitätsbewertungsstellen
- 11. September 2026: Meldepflichten für Hersteller, bereits in Kraft
- 11. Dezember 2027: Hauptpflichten
Die Meldepflichten gelten auch für bereits verkaufte Produkte. Bei einer aktiv ausgenutzten Schwachstelle sind eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen 14 Tagen nach Verfügbarkeit einer Korrektur erforderlich.
Drei Fragen für alle, die digitale Produkte entwickeln oder verkaufen
- Sind wir Hersteller, Importeur oder Händler von Produkten mit digitalen Elementen, Software eingeschlossen?
- Können wir eine aktiv ausgenutzte Schwachstelle erkennen und binnen 24 Stunden melden?
- Kennen wir die Komponenten unserer Produkte?
Zur Abgrenzung: Der CRA betrifft Produkte, die NIS2 Organisationen in wesentlichen und wichtigen Sektoren.
Quelle: Ministerrat, ACN
Stand der Recherche: 13. Oktober 2026 — Regulatorik entwickelt sich dynamisch; dieser Beitrag ersetzt keine individuelle Rechts- oder Fachberatung.
