CER e CRA negli Stati UE
Il recepimento della direttiva CER sulla resilienza dei soggetti critici e le misure nazionali per il Cyber Resilience Act.
Versione sempre aggiornata: https://www.cybersecuritydatabase.org/it/reports/cer-cra/
Direttiva CER (resilienza dei soggetti critici)
Al 29 ottobre 2026, 23 Stati membri su 27 hanno una legge di recepimento della direttiva CER in vigore; 3 l’hanno fatto entro il termine del 17 ottobre 2024. Mancano ancora: Bulgaria, Francia, Spagna e Svezia.
- 23 / 27Stati con l’atto nazionale in vigore
- 3in regola entro il termine
- 8mesi di ritardo mediano di chi ha recepito tardi
- 4Stati ancora senza atto in vigore
Mappa dello stato di recepimento
- Recepita, in vigore 23
- Progetto in parlamento 2
- Testo in preparazione 2
- Fuori dall’UE
Situazione paese per paese
| Paese | Stato | Atto nazionale | In vigore dal | Ritardo |
|---|---|---|---|---|
| Austria | Recepita, in vigore | Bundesgesetz über die Resilienz kritischer Einrichtungen (Resilienz kritischer Einrichtungen-Gesetz – RKEG) · BGBl. I Nr. 60/2025 | 1 marzo 2026 | 16 mesi di ritardo |
| Belgio | Recepita, in vigore | Loi du 19 décembre 2025 relative à la résilience des entités critiques · Moniteur belge, 19.01.2026 | 19 gennaio 2026 | 15 mesi di ritardo |
| Bulgaria | Testo in preparazione | Проект на Закон за устойчивост на критичните субекти | – | 24 mesi e ancora in ritardo |
| Cechia | Recepita, in vigore | Zákon o kritické infrastruktuře · 266/2025 Sb. | 19 agosto 2025 | 10 mesi di ritardo |
| Cipro | Recepita, in vigore | Οι περί Πολιτικής Άμυνας (Ανθεκτικότητα των Κρίσιμων Οντοτήτων) Κανονισμοί του 2025 · Κ.Δ.Π. 204/2025 | 11 luglio 2025 | 8 mesi di ritardo |
| Croazia | Recepita, in vigore | Zakon o kritičnoj infrastrukturi · NN 89/2025 | 21 giugno 2025 | 8 mesi di ritardo |
| Danimarca | Recepita, in vigore | Lov om kritiske enheders modstandsdygtighed · Lov nr. 433 af 6. maj 2025 | 1 luglio 2025 | 8 mesi di ritardo |
| Estonia | Recepita, in vigore | Hädaolukorra seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus · RT I, 08.10.2024, 1 | 18 ottobre 2024 | nei termini |
| Finlandia | Recepita, in vigore | Laki yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta · 310/2025 | 1 luglio 2025 | 8 mesi di ritardo |
| Francia | Progetto in parlamento | Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité | – | 24 mesi e ancora in ritardo |
| Germania | Recepita, in vigore | Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (KRITIS-Dachgesetz) · BGBl. 2026 I Nr. 66 | 17 marzo 2026 | 16 mesi di ritardo |
| Grecia | Recepita, in vigore | Νόμος 5236/2025 · ΦΕΚ Α' 175/10.10.2025 | 10 ottobre 2025 | 11 mesi di ritardo |
| Irlanda | Recepita, in vigore | European Union (Resilience of Critical Entities) Regulations 2024 · S.I. No. 559 of 2024 | 17 ottobre 2024 | nei termini |
| Italia | Recepita, in vigore | Decreto legislativo 4 settembre 2024, n. 134 · GU n. 223 del 23.09.2024 | 18 ottobre 2024 | nei termini |
| Lettonia | Recepita, in vigore | Grozījumi Nacionālās drošības likumā | 28 giugno 2025 | 8 mesi di ritardo |
| Lituania | Recepita, in vigore | Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatymo Nr. VIII-971 pakeitimo įstatymas | 15 novembre 2024 | 1 mese di ritardo |
| Lussemburgo | Recepita, in vigore | Loi du 5 mai 2026 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale · Mémorial A n° 226 | 5 maggio 2026 | 18 mesi di ritardo |
| Malta | Recepita, in vigore | Resilience of Critical Entities and Infrastructures (Identification, Designation and Protection) Order, 2026 · S.L. 460.43 (L.N. 5 of 2026) | 23 gennaio 2026 | 15 mesi di ritardo |
| Paesi Bassi | Recepita, in vigore | Wet weerbaarheid kritieke entiteiten (Wwke) · Stb. 2026, 188 | 15 agosto 2026 | 21 mesi di ritardo |
| Polonia | Recepita, in vigore | Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw · Dz.U. 2026 poz. 815 | 4 luglio 2026 | 20 mesi di ritardo |
| Portogallo | Recepita, in vigore | Decreto-Lei n.º 22/2025 | 19 marzo 2025 | 5 mesi di ritardo |
| Romania | Recepita, in vigore | Legea nr. 294/2024 privind reziliența entităților critice · Legea nr. 294/2024 | 2 dicembre 2024 | 1 mese di ritardo |
| Slovacchia | Recepita, in vigore | Zákon o kritickej infraštruktúre a o zmene a doplnení niektorých zákonov · 367/2024 Z. z. | 1 gennaio 2025 | 2 mesi di ritardo |
| Slovenia | Recepita, in vigore | Zakon o kritični infrastrukturi (ZKI-1) · Uradni list RS, št. 102/2024 | 18 dicembre 2024 | 2 mesi di ritardo |
| Spagna | Testo in preparazione | Proyecto de Ley de protección y resiliencia de las entidades críticas · BOCG, Congreso, serie A, núm. 88-1 (121/000088) | – | 24 mesi e ancora in ritardo |
| Svezia | Progetto in parlamento | Prop. 2025/26:303 En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare | – | 24 mesi e ancora in ritardo |
| Ungheria | Recepita, in vigore | 2024. évi LXXXIV. törvény a kritikus szervezetek ellenálló képességéről · 2024. évi LXXXIV. törvény | 30 dicembre 2024 | 2 mesi di ritardo |
Procedure d’infrazione della Commissione
Quanti degli Stati richiamati hanno poi messo in vigore la legge nazionale, e quanti solo dopo la tappa indicata.
| Tappa | Data | Stati richiamati | Oggi in regola | In regola dopo questa tappa | Ancora senza legge |
|---|---|---|---|---|---|
| Lettere di costituzione in mora (si apre in una nuova scheda) | 28 novembre 2024 | 24 | 20 | 19 | Bulgaria, Francia, Spagna e Svezia |
| Pareri motivati (si apre in una nuova scheda) | 17 luglio 2025 | 13 | 9 | 7 | Bulgaria, Francia, Spagna e Svezia |
| Pareri motivati (si apre in una nuova scheda) | 21 novembre 2025 | 2 | 2 | 1 | – |
| Ricorso alla Corte di giustizia UE (si apre in una nuova scheda) | 29 aprile 2026 | 7 | 3 | 3 | Bulgaria, Francia, Spagna e Svezia |
Cyber Resilience Act (CRA)
Il CRA è un regolamento e si applica direttamente, ma ogni Stato deve designare le autorità e fissare le sanzioni. Al 29 ottobre 2026, 3 Stati su 27 hanno le misure nazionali in vigore e 2 solo in parte; 13 non hanno ancora presentato alcun atto.
- 3 / 27Stati con l’atto nazionale in vigore
- 24Stati ancora senza atto in vigore
Mappa dello stato di attuazione
- Misure in vigore 3
- Misure parziali in vigore 2
- Progetto in parlamento 3
- Testo in preparazione 6
- Nessuna misura individuata 13
- Fuori dall’UE
Prossime date del CRA
- Gli Stati membri si adoperano per avere un numero sufficiente di organismi notificati
- Il regolamento si applica integralmente
- Scadono i certificati di esame UE del tipo rilasciati per la cibersicurezza in base ad altre norme UE
- Relazione della Commissione sull'efficacia della piattaforma unica di segnalazione
- Prima relazione di valutazione e riesame del regolamento (poi ogni quattro anni)
Situazione paese per paese
| Paese | Stato | Autorità | In vigore dal |
|---|---|---|---|
| Austria | Testo in preparazione | Notifica: Cancelleria federale (Bundeskanzleramt). Vigilanza del mercato: da designare. | – |
| Belgio | Nessuna misura individuata | – | – |
| Bulgaria | Nessuna misura individuata | – | – |
| Cechia | Testo in preparazione | Notifica e segnalazioni: NÚKIB. Vigilanza del mercato: autorità di settore già esistenti (per esempio l'Ispettorato commerciale ceco). | – |
| Cipro | Nessuna misura individuata | Notifica e, in futuro, vigilanza del mercato: Autorità per la sicurezza digitale (presso il Commissario per le comunicazioni), secondo il Commissario. Segnalazioni: CSIRT nazionale dell'Autorità. | – |
| Croazia | Nessuna misura individuata | – | – |
| Danimarca | Testo in preparazione | Secondo il progetto: notifica, vigilanza del mercato e coordinamento nazionale alla Styrelsen for Samfundssikkerhed (Agenzia per la resilienza); le autorità di vigilanza per l'IA per i prodotti che sono sistemi di IA ad alto rischio; il DANAK valuta gli organismi di valutazione della conformità. Segnalazioni: CSIRT nazionale (Centro per la cybersicurezza). | – |
| Estonia | Nessuna misura individuata | – | – |
| Finlandia | Misure in vigore | Vigilanza del mercato, notifica e segnalazioni: Traficom (Centro nazionale per la cybersicurezza NCSC-FI). | 1 giugno 2026 |
| Francia | Misure parziali in vigore | Notifica e CSIRT: ANSSI. Vigilanza del mercato: ANFR con il supporto tecnico dell'ANSSI, secondo il ministero (non ancora stabilita da un atto). | – |
| Germania | Progetto in parlamento | Vigilanza del mercato, notifica e CSIRT per le segnalazioni: Ufficio federale per la sicurezza informatica (BSI). | – |
| Grecia | Nessuna misura individuata | – | – |
| Irlanda | Nessuna misura individuata | Segnalazioni: National Cyber Security Centre (NCSC). Vigilanza del mercato e notifica: da designare. | – |
| Italia | Progetto in parlamento | Secondo lo schema: notifica e vigilanza del mercato all'Agenzia per la cybersicurezza nazionale (ACN), che può avvalersi della Guardia di finanza; l'organismo nazionale di accreditamento valuta e controlla gli organismi di valutazione della conformità; le autorità per l'IA per i prodotti che sono anche sistemi di IA ad alto rischio; Banca d'Italia, CONSOB e IVASS per i soggetti vigilati; il Garante privacy nelle sue competenze. Segnalazioni dei consumatori: CSIRT Italia. | – |
| Lettonia | Nessuna misura individuata | – | – |
| Lituania | Nessuna misura individuata | – | – |
| Lussemburgo | Nessuna misura individuata | – | – |
| Malta | Misure in vigore | Autorità di notifica: Malta Digital Innovation Authority (MDIA), con la valutazione e il controllo degli organismi affidati al National Accreditation Board. Vigilanza del mercato (dall'11 dicembre 2027): MDIA. CSIRT coordinatore (dall'11 dicembre 2027): il CSIRT nazionale (CSIRTMalta, presso MITA). | 11 settembre 2026 |
| Paesi Bassi | Progetto in parlamento | Vigilanza del mercato e notifica: Rijksinspectie Digitale Infrastructuur (RDI). | – |
| Polonia | Nessuna misura individuata | – | – |
| Portogallo | Nessuna misura individuata | – | – |
| Romania | Nessuna misura individuata | – | – |
| Slovacchia | Misure parziali in vigore | Vigilanza del mercato: Ufficio per la sicurezza nazionale (NBÚ), dal 1° gennaio 2026. L'Ufficio per la normazione, la metrologia e le prove (ÚNMS) può sanzionare gli organismi notificati. | – |
| Slovenia | Testo in preparazione | – | – |
| Spagna | Testo in preparazione | Secondo il progetto: notifica al Centro crittologico nazionale (CCN); vigilanza del mercato alla Segreteria di Stato per le telecomunicazioni e le infrastrutture digitali (SETID), con l'INCIBE come laboratorio tecnico di supporto; ufficio unico di collegamento la Direzione generale del Consumo. | – |
| Svezia | Testo in preparazione | Vigilanza del mercato e notifica: le designa il governo; la commissione d'inchiesta fa proposte nel rapporto. | – |
| Ungheria | Misure in vigore | Vigilanza del mercato e notifica: Autorità di vigilanza delle attività regolamentate (SZTFH). | 6 gennaio 2026 |