--- title: "Cyber Resilience Act: l’11 settembre scatta l’obbligo di segnalazione" description: "Dall’11 settembre 2026 chi produce beni con elementi digitali deve segnalare vulnerabilità sfruttate e incidenti gravi in 24/72 ore, anche sul già venduto." url: https://csidia.com/note-operative/cyber-resilience-act-segnalazione-settembre-2026/ lang: it date: 2026-07-18 label: "Sicurezza" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/cyber-resilience-act-segnalazione-settembre-2026/ --- # Cyber Resilience Act: l’11 settembre scatta l’obbligo di segnalazione Il Cyber Resilience Act — il regolamento europeo (UE) 2024/2847 sulla sicurezza dei prodotti con elementi digitali — si applica per intero dall’11 dicembre 2027. Ma c’è un pezzo che parte molto prima, e manca meno di due mesi: **dall’11 settembre 2026 scattano gli obblighi di segnalazione** dell’articolo 14. Da quel giorno, i fabbricanti di prodotti con elementi digitali devono notificare **le vulnerabilità attivamente sfruttate e gli incidenti gravi** che toccano la sicurezza dei loro prodotti. Con tempi cronometrati. E — il punto che quasi nessuno ha registrato — **anche per i prodotti già sul mercato**. ## Chi è dentro «Prodotti con elementi digitali» è una definizione volutamente larga: hardware e software connessi o connettibili — macchinari con controllore di bordo, dispositivi IoT, apparati, gateway, applicazioni. Per il tessuto industriale emiliano la traduzione è diretta: chi produce **macchine connesse, elettronica di bordo, dispositivi biomedicali, sistemi di automazione** è un fabbricante ai sensi del CRA. E chi integra componenti digitali di terzi nei propri prodotti ne risponde comunque verso i propri clienti: la catena di fornitura non è una scusante — [come per la NIS2](https://csidia.com/note-operative/nis2-aziende-settori-critici), è parte del perimetro. ## Cosa chiede l’articolo 14, esattamente Dal momento in cui il fabbricante **viene a conoscenza** di una vulnerabilità attivamente sfruttata o di un incidente grave: - **entro 24 ore**: preallarme (early warning); - **entro 72 ore**: notifica completa, con le informazioni disponibili; - **entro 14 giorni** dalla misura correttiva (vulnerabilità) o **entro un mese** (incidenti gravi): relazione finale. Le segnalazioni passano dalla piattaforma unica europea, operativa entro la stessa data dell’11 settembre 2026. Nota bene la formula «viene a conoscenza»: il cronometro non parte quando decidete voi, parte quando **avreste dovuto sapere**. Il che sposta il problema dove sta davvero. ## Il vero requisito: accorgersene Come per la NIS2, l’adempimento visibile (la notifica) è la parte facile. La parte difficile è **la capacità di accorgersi**: sapere quali componenti software ci sono in ogni prodotto venduto (la distinta base del software), ricevere e triagliare le segnalazioni di vulnerabilità, capire in ore — non in settimane — se una vulnerabilità è presente nei vostri prodotti e se è sfruttata. Un fabbricante che non ha un processo di gestione delle vulnerabilità non riuscirà a rispettare le 24 ore nemmeno volendo: non per negligenza nella notifica, ma per cecità a monte. È lo stesso schema che raccontiamo da mesi: prima dell’adempimento viene **la visibilità sui propri sistemi e sui propri dati** — l’inventario, il monitoraggio continuo, un processo di risposta con ruoli chiari. Chi lo costruisce una volta lo riusa per NIS2, CRA e AI Act insieme: [tre normative, un solo lavoro preparatorio](https://csidia.com/note-operative/ai-act-gdpr-chi-fa-cosa). Ed è il terreno dove [l’AI operativa](https://csidia.com/ai-operativa) rende di più: agenti che leggono flussi di vulnerabilità e telemetria dei prodotti e portano all’attenzione umana solo ciò che riguarda davvero i vostri codici e le vostre versioni. ## Da qui all’11 settembre: la checklist realistica 1. **Verificate se siete fabbricanti CRA**: prodotti hardware o software, connessi o connettibili, venduti nell’UE. In caso di dubbio, la risposta è quasi sempre sì. 2. **Costruite (o completate) la distinta software dei prodotti**: senza sapere cosa c’è dentro, nessuna segnalazione nei tempi è possibile. 3. **Attivate un canale di ricezione vulnerabilità** (una casella e una policy di coordinated disclosure bastano per partire) e un triage con responsabile nominato. 4. **Provate il percorso una volta**: simulate una vulnerabilità sfruttata su un prodotto e cronometrate: conoscenza → valutazione → preallarme. Se servono più di 24 ore, ora lo sapete con margine per rimediare. 5. **Mettete a calendario il resto del CRA**: requisiti di sicurezza by design, gestione delle vulnerabilità per tutto il ciclo di vita, marcatura CE — dicembre 2027 arriva in fretta, e [la manifattura che produce connesso](https://csidia.com/settori/manifattura) è la prima chiamata. *Producete o integrate prodotti connessi e volete sapere se le 24 ore sono alla vostra portata? [Mezz’ora con un nostro esperto](https://csidia.com/contatti) per scoprirlo prima di settembre.* ## Fonti - [Regolamento (UE) 2024/2847 (Cyber Resilience Act) — testo ufficiale (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [Commissione europea — Cyber Resilience Act](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/cyber-resilience-act-segnalazione-settembre-2026/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com