Il capo IV si applica da giugno, l’autorità italiana ancora no

Se fra un mese doveste segnalare una vulnerabilità attivamente sfruttata su un prodotto che vendete — o che avete integrato in un vostro impianto — sapreste dire chi ha le ventiquattro ore per il preallarme, chi le settantadue per la notifica completa, chi scrive la relazione a quattordici giorni dalla correzione, e su quale piattaforma? E se il prodotto non è nell’ultimo catalogo, ma in uno venduto tre anni fa e ancora in assistenza?

Non è una domanda ipotetica: risponde a un calendario già scritto, e una parte di quel calendario è già passata senza che quasi nessuno lo registrasse.

L’Europa non aspetta l’Italia

Il regolamento (UE) 2024/2847 — il Cyber Resilience Act — si applica per intero solo dall’11 dicembre 2027. Ma l’articolo 71, paragrafo 2, ritaglia due eccezioni molto più vicine: «il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026» — due mesi fa — e «l’articolo 14 si applica a decorrere dall’11 settembre 2026» — fra un mese. Il considerando 126 lo motiva così: agli operatori economici va concesso il tempo per adeguarsi, ma non allo stesso ritmo per tutto.

Il capo IV contiene l’articolo 36, l’autorità di notifica. Il paragrafo 1 è netto: «Ogni Stato membro designa un’autorità di notifica responsabile dell’istituzione e dell’esecuzione delle procedure necessarie per la valutazione, la designazione e la notifica degli organismi di valutazione della conformità e il loro controllo». Il paragrafo 4 aggiunge che l’autorità «si assume la piena responsabilità» anche quando delega il compito, e l’articolo 37 la vuole costituita «in modo che non sorgano conflitti di interesse» con gli organismi che deve controllare. È la porta attraverso cui un prodotto ottiene — o non ottiene — la conformità che gli serve per stare sul mercato europeo. E in Europa quella porta è aperta da giugno.

La delega italiana: sei mesi che scadono il 9 ottobre

In Italia quella porta non ha ancora una targa. La legge 17 marzo 2026, n. 36 — legge di delegazione europea, in vigore dal 9 aprile 2026 — delega il Governo, all’articolo 15, comma 1, ad adottare entro sei mesi dall’entrata in vigore uno o più decreti legislativi di attuazione del regolamento (UE) 2024/2847. Sei mesi da aprile portano a un termine che è un calcolo nostro sul testo, non una data scritta nella norma: il 9 ottobre 2026, meno di due mesi da oggi.

Il comma 2 fissa chi farà cosa: lettera b), l’ACN quale «autorità di notifica ai sensi dell’articolo 36»; lettera c), la stessa Agenzia quale autorità di vigilanza del mercato ai sensi dell’articolo 52. Lettera a): coordinamento con il decreto-legge 105/2019 (il Perimetro cibernetico) e il decreto legislativo 138/2024 (il decreto NIS). Lettera d): raccordo con le autorità del decreto legislativo 157/2022. Lettera e): abrogazione delle norme incompatibili. Lettera f): sanzioni «effettive, dissuasive e proporzionate», anche in deroga ai criteri dell’art. 32, comma 1, lett. d), della legge 234/2012, coordinate — quanto al procedimento — con l’art. 17, comma 4-quater, del decreto-legge 82/2021, introiti riassegnati all’ACN; lettera g), risorse «umane, strumentali e finanziarie» adeguate. Il comma 3 mette cifre dietro quella lettera: 2.100.000 euro nel 2026, 5.875.000 nel 2027, 9.125.000 nel 2028 e 6.925.000 annui dal 2029, sul fondo per il recepimento della normativa europea.

Il decreto non c’è, per ora

A oggi non risulta pubblicato in Gazzetta Ufficiale un decreto legislativo di attuazione. È una verifica su fonte primaria, con una finestra ancora aperta: i sommari della Serie Generale sono leggibili fino al n. 183 dell’8 agosto; il 9 agosto era domenica, senza Gazzetta; il n. 184 del 10 agosto non risultava ancora pubblicato nel pomeriggio; l’ultimo decreto legislativo uscito resta il n. 141 del 5 agosto, che non riguarda la ciberresilienza. Non è prova che il decreto non arriverà nei prossimi giorni: è la fotografia di ciò che si può controllare oggi — come per il termine NIS2 del 12 ottobre, anche lì la scadenza si legge in un documento, non in un titolo di giornale. E la mancata designazione dell’ACN non sospende nulla dei vostri obblighi verso l’Europa: sospende solo la parte italiana — chi valuta i vostri organismi di certificazione, chi vi ispeziona, con quale procedimento.

Vedi il servizio · Parlane con un tecnico

Le tre finestre dell’articolo 14 corrono comunque

Dall’11 settembre l’articolo 14 impone al fabbricante di notificare simultaneamente al CSIRT coordinatore e all’ENISA, tramite la piattaforma unica dell’articolo 16:

lettera a): preallarme entro 24 ore dal momento in cui il fabbricante è venuto a conoscenza della vulnerabilità attivamente sfruttata;
lettera b): notifica entro 72 ore, con le informazioni disponibili su prodotto e sfruttamento;
lettera c): relazione finale entro 14 giorni dalla misura correttiva, con gravità, impatto e, se disponibili, il soggetto malintenzionato.

Lo stesso schema vale per gli incidenti gravi — il cronometro lo abbiamo già scomposto. Qui interessa il perimetro dei prodotti coperti, e non è quello che pensate: l’articolo 69, paragrafo 3, deroga alla regola che esenterebbe i prodotti già venduti — «gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento e che sono stati immessi sul mercato prima dell’11 dicembre 2027». Non conta quando l’avete venduto: conta se lo assistete ancora — lo stesso movimento visto per i componenti hardware.

Un’economia, non una scorciatoia generale

Un punto che ripetiamo perché si presta a fraintendimenti: l’articolo 31, paragrafo 3, consente un fascicolo tecnico unico per i prodotti soggetti anche ad altri atti dell’Unione, ma solo «per i prodotti con elementi digitali di cui all’articolo 12» — quelli che sono anche sistemi di IA ad alto rischio. Non è una regola orizzontale: per il resto del mercato, la sovrapposizione fra CRA e altre discipline — SBOM e fascicolo tecnico compresi — resta un’economia da costruire, non un obbligo già scritto.

Chi aspetta il decreto arriva tardi due volte

Chi aspetta il decreto per organizzarsi scommette su due cose insieme: che l’Italia rispetti il 9 ottobre — un calcolo nostro, non una certezza — e che nel frattempo l’Europa non chieda nulla. Nessuna delle due scommesse è ragionevole. La domanda a cui ogni lettore dovrebbe saper rispondere subito è semplice: se scoprissimo oggi che un nostro prodotto — anche uno che non produciamo più — ha una vulnerabilità attivamente sfruttata, sapremmo chi apre il preallarme entro ventiquattro ore, e su quale prova dimostreremmo l’ora esatta in cui l’abbiamo saputo? Per la maggior parte delle organizzazioni la risposta onesta è no. È una lettura normativa su fonti primarie, non un parere legale: per il vostro caso serve un confronto puntuale.

Adempiere, in concreto, significa che le tre finestre dell’articolo 14 diventano un controllo sui sistemi e sui documenti: chi rileva la vulnerabilità, chi la qualifica come attivamente sfruttata, chi apre il preallarme, e dove si registra l’istante della prima conoscenza — le ventiquattro ore partono da lì, non dalla riunione del giorno dopo. Con la traccia datata pronta per un’ispezione, dell’ACN o di un CSIRT. E il perimetro, per l’articolo 69, paragrafo 3, non è il catalogo di oggi: è tutto ciò che avete immesso sul mercato prima dell’11 dicembre 2027, comprese le linee chiuse da tempo.

Decidere è il passo successivo: lo stesso impianto tiene insieme l’inventario dei prodotti, le distinte software, i contratti di fornitura e gli archivi in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Quando esce un avviso su una libreria usata in un vostro prodotto, la risposta a «chi va avvisato entro ventiquattro ore» arriva in ore, non settimane. Sempre in due modalità: on-premise, senza integrazione profonda nella vostra rete, oppure cloud dedicato con data center in Italia, con gestione condivisa.

La prima sessione, senza costi, produce un deliverable che resta vostro anche se non andate oltre: l’elenco datato dei prodotti con elementi digitali ancora sul mercato o in assistenza, con per ciascuno chi è il fabbricante, chi apre il preallarme entro ventiquattro ore e dove è registrata l’ora della prima conoscenza — comprese le caselle vuote. Tenetelo pronto per il 9 ottobre: se la delega slitta, il calendario resta il vostro — lo teniamo aggiornato anche nel calendario delle scadenze.

Mezz’ora con un nostro esperto, senza costi, per capire se le vostre ventiquattro ore sono davvero ventiquattro ore.