Cyber Resilience Act: l’11 settembre scatta l’obbligo di segnalazione
3 min di lettura
Il Cyber Resilience Act — il regolamento europeo (UE) 2024/2847 sulla sicurezza dei prodotti con elementi digitali — si applica per intero dall’11 dicembre 2027. Ma c’è un pezzo che parte molto prima, e manca meno di due mesi: dall’11 settembre 2026 scattano gli obblighi di segnalazione dell’articolo 14. Da quel giorno, i fabbricanti di prodotti con elementi digitali devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che toccano la sicurezza dei loro prodotti. Con tempi cronometrati. E — il punto che quasi nessuno ha registrato — anche per i prodotti già sul mercato.
Chi è dentro
«Prodotti con elementi digitali» è una definizione volutamente larga: hardware e software connessi o connettibili — macchinari con controllore di bordo, dispositivi IoT, apparati, gateway, applicazioni. Per il tessuto industriale emiliano la traduzione è diretta: chi produce macchine connesse, elettronica di bordo, dispositivi biomedicali, sistemi di automazione è un fabbricante ai sensi del CRA. E chi integra componenti digitali di terzi nei propri prodotti ne risponde comunque verso i propri clienti: la catena di fornitura non è una scusante — come per la NIS2, è parte del perimetro.
Cosa chiede l’articolo 14, esattamente
Dal momento in cui il fabbricante viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave:
- entro 24 ore: preallarme (early warning);
- entro 72 ore: notifica completa, con le informazioni disponibili;
- entro 14 giorni dalla misura correttiva (vulnerabilità) o entro un mese (incidenti gravi): relazione finale.
Le segnalazioni passano dalla piattaforma unica europea, operativa entro la stessa data dell’11 settembre 2026. Nota bene la formula «viene a conoscenza»: il cronometro non parte quando decidete voi, parte quando avreste dovuto sapere. Il che sposta il problema dove sta davvero.
Il vero requisito: accorgersene
Come per la NIS2, l’adempimento visibile (la notifica) è la parte facile. La parte difficile è la capacità di accorgersi: sapere quali componenti software ci sono in ogni prodotto venduto (la distinta base del software), ricevere e triagliare le segnalazioni di vulnerabilità, capire in ore — non in settimane — se una vulnerabilità è presente nei vostri prodotti e se è sfruttata. Un fabbricante che non ha un processo di gestione delle vulnerabilità non riuscirà a rispettare le 24 ore nemmeno volendo: non per negligenza nella notifica, ma per cecità a monte.
È lo stesso schema che raccontiamo da mesi: prima dell’adempimento viene la visibilità sui propri sistemi e sui propri dati — l’inventario, il monitoraggio continuo, un processo di risposta con ruoli chiari. Chi lo costruisce una volta lo riusa per NIS2, CRA e AI Act insieme: tre normative, un solo lavoro preparatorio. Ed è il terreno dove l’AI operativa rende di più: agenti che leggono flussi di vulnerabilità e telemetria dei prodotti e portano all’attenzione umana solo ciò che riguarda davvero i vostri codici e le vostre versioni.
Da qui all’11 settembre: la checklist realistica
- Verificate se siete fabbricanti CRA: prodotti hardware o software, connessi o connettibili, venduti nell’UE. In caso di dubbio, la risposta è quasi sempre sì.
- Costruite (o completate) la distinta software dei prodotti: senza sapere cosa c’è dentro, nessuna segnalazione nei tempi è possibile.
- Attivate un canale di ricezione vulnerabilità (una casella e una policy di coordinated disclosure bastano per partire) e un triage con responsabile nominato.
- Provate il percorso una volta: simulate una vulnerabilità sfruttata su un prodotto e cronometrate: conoscenza → valutazione → preallarme. Se servono più di 24 ore, ora lo sapete con margine per rimediare.
- Mettete a calendario il resto del CRA: requisiti di sicurezza by design, gestione delle vulnerabilità per tutto il ciclo di vita, marcatura CE — dicembre 2027 arriva in fretta, e la manifattura che produce connesso è la prima chiamata.
Producete o integrate prodotti connessi e volete sapere se le 24 ore sono alla vostra portata? Mezz’ora con un nostro esperto per scoprirlo prima di settembre.