Il Cyber Resilience Act (Regolamento UE 2024/2847) si applica per intero dall’11 dicembre 2027, ed e facile archiviarlo come un problema lontano. C’e pero una scadenza che arriva prima di tutte le altre e che molti fabbricanti non hanno ancora in agenda: l’11 settembre 2026. Da quel giorno diventano operativi gli obblighi di segnalazione dell’articolo 14, e con loro la piattaforma unica su cui le notifiche dovranno transitare.
Chi produce hardware o software con elementi digitali destinati al mercato europeo ha quindi una sola priorita concreta nel breve periodo: capire cosa va segnalato, entro quando e a chi. Questo articolo si concentra solo su quello.
Cosa scatta l’11 settembre 2026
Il CRA non entra in vigore tutto insieme. L’articolo 71 prevede un’applicazione scaglionata: la maggior parte degli obblighi (sicurezza by design, gestione delle vulnerabilita, marcatura CE, valutazione di conformita) parte l’11 dicembre 2027. Ma gli obblighi di segnalazione dell’articolo 14 si applicano gia dall’11 settembre 2026, oltre un anno prima.
Tradotto: da quella data, se un tuo prodotto con elementi digitali presenta una vulnerabilita attivamente sfruttata, oppure subisce un incidente grave, hai l’obbligo giuridico di notificarlo entro tempi stretti. Non c’e periodo di grazia: la piattaforma sara operativa e gli orologi inizieranno a girare.
Cosa va segnalato: due categorie
L’articolo 14 individua due eventi che fanno scattare l’obbligo:
- Vulnerabilita attivamente sfruttata contenuta nel prodotto con elementi digitali. Non basta che esista una falla: serve evidenza che venga effettivamente usata da un attore malevolo.
- Incidente grave che ha un impatto sulla sicurezza del prodotto, ossia che ne compromette disponibilita, autenticita, integrita o riservativita.
L’obbligo ricade sul fabbricante. E qui sta il punto piu spesso frainteso: la segnalazione riguarda tutti i prodotti gia immessi sul mercato, non solo quelli nuovi conformi al CRA pieno. Se hai una vulnerabilita sfruttata in un dispositivo o in un software che vendi oggi, dall’11 settembre 2026 quella va notificata.
La triplice tempistica: 24 ore, 72 ore, 14 giorni
L’articolo 14 struttura la segnalazione in tre passaggi successivi, ciascuno con un termine preciso che decorre dal momento in cui il fabbricante viene a conoscenza dell’evento.
Entro 24 ore: allerta precoce (early warning)
Una prima notifica di allerta precoce va trasmessa entro 24 ore dalla presa di conoscenza della vulnerabilita sfruttata o dell’incidente grave. E un segnale rapido, anche senza tutti i dettagli: serve a dare l’allarme.
Entro 72 ore: notifica
Entro 72 ore dalla presa di conoscenza il fabbricante invia la notifica vera e propria, con le informazioni disponibili sulla vulnerabilita o sull’incidente e, ove pertinenti, le misure correttive o di mitigazione adottate o consigliate.
Entro 14 giorni: relazione finale
La relazione finale va trasmessa entro 14 giorni dal momento in cui e disponibile una misura correttiva o di mitigazione, nel caso di vulnerabilita attivamente sfruttata. Per gli incidenti gravi il Regolamento prevede invece un mese dalla notifica. La relazione finale contiene la descrizione completa dell’evento, la gravita e l’impatto, e le misure di rimedio applicate.
I tre termini non sono alternativi: sono fasi consecutive dello stesso processo. Mancarne uno e una violazione a se.
A chi si notifica: CSIRT coordinatore ed ENISA
Le segnalazioni non vanno a un’autorita unica. L’articolo 14 prevede una notifica contestuale a due destinatari:
- il CSIRT designato come coordinatore nello Stato membro di riferimento del fabbricante;
- ENISA, l’Agenzia dell’Unione europea per la cibersicurezza.
Il CSIRT che riceve la segnalazione la condivide poi con gli altri CSIRT coinvolti, in un meccanismo di coordinamento europeo. Per il fabbricante, pero, il gesto pratico e uno solo: una notifica che raggiunge entrambi i destinatari nello stesso momento.
Il canale: il Single Reporting Platform di ENISA
Il punto operativo che rende l’11 settembre 2026 una data vera, e non solo giuridica, e il Single Reporting Platform (SRP). E la piattaforma unica, gestita da ENISA, attraverso cui passa la segnalazione: un punto di ingresso centralizzato che evita al fabbricante di contattare separatamente le diverse autorita nazionali.
L’SRP e previsto dall’articolo 16 del CRA e raccoglie sia le notifiche obbligatorie dell’articolo 14 sia eventuali segnalazioni volontarie. Diventa operativo l’11 settembre 2026, in coincidenza con l’avvio degli obblighi: e il momento in cui la teoria diventa un modulo da compilare entro 24 ore.
Cosa preparare ora: il processo PSIRT interno
La scadenza non chiede un prodotto nuovo, chiede un processo. Un termine di 24 ore non si rispetta improvvisando: presuppone che, dentro l’azienda, esista una funzione capace di riconoscere un evento, qualificarlo e far partire la notifica. E quello che in gergo si chiama PSIRT (Product Security Incident Response Team).
Gli elementi minimi da mettere a punto prima di settembre 2026:
- Canale di intake: un punto noto e presidiato dove confluiscono segnalazioni di vulnerabilita, da ricercatori esterni e da monitoraggio interno.
- Triage e qualificazione: criteri chiari per distinguere una vulnerabilita qualsiasi da una attivamente sfruttata, e un incidente da un incidente grave ai sensi del CRA.
- Catena di responsabilita: chi decide che si notifica, chi compila, chi firma. Con reperibilita compatibile con un termine di 24 ore.
- Inventario dei prodotti: sapere quali prodotti con elementi digitali si hanno sul mercato e quali componenti contengono, perche la segnalazione riguarda anche il gia venduto.
- Modello di notifica: una scheda interna allineata ai campi attesi dall’SRP, cosi da non perdere tempo prezioso a comporre la notifica da zero sotto pressione.
Chi gia gestisce vulnerabilita in modo strutturato dovra soprattutto mappare il proprio flusso sui termini e sui destinatari del CRA. Chi parte da zero ha circa un anno per costruire una funzione che, dall’11 settembre 2026, dovra essere operativa al primo evento utile.
In sintesi
L’11 settembre 2026 e la prima scadenza concreta del Cyber Resilience Act. Riguarda i fabbricanti, tutti i prodotti con elementi digitali gia sul mercato, e impone una segnalazione in tre tempi (24 ore, 72 ore, 14 giorni) verso CSIRT coordinatore ed ENISA, tramite il Single Reporting Platform. Non e una questione di conformita di prodotto, ma di prontezza di processo: la differenza tra rispettare il termine e violarlo si decide oggi, nel modo in cui si organizza il proprio PSIRT.