L’11 settembre 2026 è una data chiave per l’applicazione del Cyber Resilience Act (CRA), il Regolamento (UE) 2024/2847 in vigore dal 2024.
L’Articolo 14 rende subito operativi i primi, severi obblighi di segnalazione: da questa data i fabbricanti di prodotti con elementi digitali dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi con impatto sulla sicurezza del prodotto, secondo tempistiche stringenti.
Indice degli argomenti
Cyber Resilience Act: le novità in vigore dall’11 settembre
Il regolamento è entrato in vigore il 10 dicembre 2024 e avrà piena applicazione dall’11 dicembre 2027, ma alcune disposizioni sono state anticipate.
L’11 giugno 2026 è entrato in applicazione il capo relativo alla notifica degli organismi di valutazione della conformità; dall’11 settembre scattano invece gli obblighi di comunicazione dell’articolo 14.
Quando una vulnerabilità viene sfruttata in un prodotto distribuito su larga scala, la rapidità con cui l’informazione circola può diventare parte della risposta all’incidente.
Il CRA non impone di segnalare ogni vulnerabilità scoperta nel codice. L’articolo 14 riguarda le vulnerabilità attivamente sfruttate contenute nel prodotto con elementi digitali e gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto.
Una falla individuata durante un test o un’attività di ricerca, senza elementi che mostrino un suo sfruttamento effettivo, non determina quindi automaticamente una notifica.
Se emergono invece evidenze che la vulnerabilità è stata utilizzata da un attore malevolo, il fabbricante deve attivare la procedura senza indebito ritardo e comunque entro i termini stabiliti.
Cosa cambia dall’11 settembre
Le comunicazioni confluiranno nella nuova Single Reporting Platform, la piattaforma europea istituita e gestita da ENISA.
La notifica viene indirizzata al CSIRT designato come coordinatore nello Stato membro in cui il fabbricante ha il proprio stabilimento principale e, salvo circostanze eccezionali previste dal regolamento, le informazioni vengono rese contemporaneamente disponibili a ENISA.
Il CSIRT che riceve la comunicazione provvede a diffonderla agli altri CSIRT degli Stati membri nei cui territori il prodotto è stato messo a disposizione. Per l’Italia il coordinatore indicato da ENISA è CSIRT Italia dell’Agenzia per la cyber sicurezza nazionale.
La piattaforma sarà operativa proprio dall’11 settembre 2026 e, nella fase iniziale, supporterà le notifiche obbligatorie previste dall’articolo 14. ENISA ha chiarito che il sistema consente una sola comunicazione, evitando di trasmettere separatamente la stessa segnalazione alle autorità dei diversi Paesi interessati.
Se la piattaforma è temporaneamente indisponibile, la notifica deve essere presentata attraverso la SRP una volta ripristinata; se è necessaria una comunicazione immediata, può essere contattato direttamente il CSIRT competente, senza che ciò sostituisca la successiva trasmissione attraverso la piattaforma.
I 3 passaggi del meccanismo
Il meccanismo prevede tre passaggi, da completare senza indebito ritardo e comunque entro i termini previsti:
- un preallarme entro 24 ore dalla conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave;
- una notifica entro 72 ore, con dati sul prodotto e sull’exploit per le vulnerabilità, oppure natura dell’evento, misure di mitigazione, gravità, impatto e causa probabile per gli incidenti;
- un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità, con un aggiornamento intermedio se non è ancora pronto, oppure entro un mese dalla presentazione della notifica di incidente per gli incidenti gravi.
In presenza di circostanze eccezionali tassativamente individuate, è possibile ritardare la piena disponibilità delle informazioni, anche verso ENISA.
Perimetro di applicazione
Il perimetro di applicazione riguarda hardware e software con elementi digitali, compresi prodotti finiti e componenti commercializzati separatamente.
La definizione comprende anche soluzioni di elaborazione dati da remoto quando rientrano nella connessione prevista dal regolamento.
Sono previste specifiche esclusioni per prodotti già disciplinati da altre normative europee.
Diventa quindi necessario sapere quali componenti sono presenti nei prodotti commercializzati, quali vulnerabilità li riguardano e come queste informazioni vengono raccolte e valutate.
La catena di fornitura
È qui che entra in gioco la catena di fornitura. Un prodotto digitale può integrare librerie, firmware, sistemi operativi e altri componenti sviluppati da soggetti diversi. Il CRA richiede al fabbricante di esercitare una due diligence sui componenti integrati, affinché non compromettano la cyber sicurezza del prodotto.
Se una vulnerabilità attivamente sfruttata riguarda un componente di terzi ed è contenuta nel prodotto finale, il fabbricante deve valutarne l’impatto sul proprio prodotto e, quando ricorrono le condizioni dell’articolo 14, provvedere alla segnalazione.
I multi-livelli del quadro sanzionatorio
Il quadro sanzionatorio è articolato su più livelli. Le violazioni dei requisiti essenziali dell’allegato I e degli obblighi degli articoli 13 e 14 rientrano nella fascia più elevata, fino a 15 milioni di euro o al 2,5% del fatturato globale annuo dell’esercizio precedente, se superiore.
L’inosservanza di altri obblighi, tra cui adempimenti procedurali di importatori e distributori, comporta sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale, mentre informazioni inesatte o fuorvianti alle autorità possono comportare sanzioni fino a 5 milioni di euro o all’1% del fatturato.
Al di là della sanzione, un adeguamento tardivo può avere ricadute anche sul piano operativo e reputazionale: una gestione poco trasparente di una vulnerabilità può incidere sulla continuità dei rapporti con clienti e partner e sulla credibilità del fornitore.
Per questo la gestione dei rischi di sicurezza non riguarda più solo i reparti tecnici, ma coinvolge la governance aziendale nel suo complesso.
Le linee guida della Commissione europea
Per accompagnare le imprese, la Commissione Europea ha pubblicato linee guida interpretative non vincolanti su alcuni nodi dibattuti del regolamento. Trattandosi di indicazioni non vincolanti, le linee guida non sostituiscono il regolamento né costituiscono un parametro automaticamente opponibile in sede di vigilanza, ma offrono un supporto interpretativo utile, in particolare per le piccole e medie imprese, nell’applicazione pratica di previsioni complesse.
Le linee guida interpretative della Commissione europea sul Cyber Resilience Act contribuiscono a tradurre le disposizioni del regolamento in criteri più concreti per produttori e sviluppatori.
Tra gli aspetti più rilevanti rientrano la durata del periodo di supporto, il trattamento del software open source, la Software Bill of Materials e la classificazione dei prodotti in funzione del rischio.
La roadmap: la piena applicazione dal 2027
L’11 settembre non coincide comunque con la piena applicazione del Cyber Resilience Act.
Dall’11 dicembre 2027 entreranno in applicazione gli obblighi generali sulla sicurezza dei prodotti, compresi i requisiti di sicurezza nella progettazione e nello sviluppo, la gestione delle vulnerabilità durante il periodo di supporto, la documentazione tecnica e, per le categorie interessate, le procedure di valutazione della conformità.
Partecipa alla community