Cyber Resilience Act: dall’11 settembre le vulnerabilità si segnalano entro 24 ore
Un venerdì sera. Un cliente segnala un comportamento anomalo su un software che avete rilasciato anni fa.
Se quella vulnerabilità è già sfruttata da qualcuno, da venerdì 11 settembre 2026 avete 24 ore per comunicarlo. Non 24 ore lavorative: 24 ore.
Dalla marcatura CE alla sicurezza informatica
Conosciamo tutti la marcatura CE, presente su elettrodomestici, dispositivi elettronici, macchinari e molti altri prodotti di uso quotidiano.
Pochi, però, sanno esattamente cosa indichi: attraverso questo simbolo, il produttore dichiara che il prodotto rispetta i requisiti europei applicabili.
Con la diffusione di software, dispositivi connessi e soluzioni Internet of Things, il concetto di sicurezza comprende ora anche la capacità di prevenire e gestire le minacce informatiche.
Ecco perché si parla di Cyber Resilience Act, il regolamento europeo che introduce requisiti obbligatori di cybersecurity per i prodotti con elementi digitali, dalla progettazione alla manutenzione.
La conformità alle disposizioni del CRA sarà attestata anche attraverso la marcatura CE.
Cosa è cambiato dall’11 settembre 2026
L’11 settembre 2026 ha segnato l’avvio di una fase concreta nell’applicazione del Cyber Resilience Act.
Dopo aver richiamato questa scadenza sui nostri canali social, torniamo sul tema per analizzare più da vicino gli obblighi introdotti e il loro impatto sul mercato digitale europeo.
Da questa data, i produttori sono tenuti a segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali.
La tempestività delle comunicazioni diventa così parte integrante della risposta europea alle minacce informatiche.
Il CRA si affianca alla Direttiva NIS2: mentre quest’ultima rafforza la gestione del rischio cyber e la resilienza delle organizzazioni coinvolte, il CRA introduce requisiti di sicurezza per i prodotti con elementi digitali immessi sul mercato
Un’unica piattaforma per le segnalazioni
L’UE facilita il processo attraverso la CRA Single Reporting Platform, o SRP, la piattaforma unica di reporting realizzata da ENISA e operativa proprio dall’11 settembre. I produttori possono utilizzarla per trasmettere un’unica segnalazione, indirizzata al CSIRT competente e resa disponibile anche a ENISA, salvo circostanze eccezionali.
Come funzionano le segnalazioni?
Primo avviso: entro 24 ore dalla scoperta dal momento in cui si viene a conoscenza della vulnerabilità o dell’incidente grave.
Notifica completa: entro 72 ore dal momento in cui si viene a conoscenza dell’evento.
Relazione finale: entro 14 giorni dalla disponibilità della misura correttiva per le vulnerabilità ed entro 30 giorni dalla notifica delle 72 ore per gli incidenti gravi.
Gli obblighi di reporting anticipano l’applicazione generale del regolamento, prevista dall’11 dicembre 2027.
I termini indicati sono limiti massimi: la segnalazione va effettuata senza indebito ritardo.
Le scadenze delle 24 e delle 72 ore decorrono entrambe dalla conoscenza dell’evento e non si sommano.
La piattaforma semplifica le segnalazioni e favorisce una risposta a livello europeo.
Il produttore deve, inoltre, informare gli utilizzatori interessati e indicare come ridurre il rischio.
Sul piano sanzionatorio, la violazione degli obblighi degli articoli 13 e 14 può arrivare fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore.
La resilienza digitale diventa un requisito di mercato
Per le aziende non si tratta soltanto di prepararsi a nuovi adempimenti.
È l’occasione per ripensare il ruolo della cybersecurity lungo l’intero ciclo di vita di prodotti, servizi e forniture digitali.
In un contesto in cui software e dispositivi connessi sono diventati infrastrutture essenziali per il business, la resilienza informatica non è più un’opzione: è un requisito di mercato.
In Prospettive Hi-Tech affianchiamo aziende ed enti nella costruzione dei processi di rilevazione, valutazione e notifica, e nel raccordo fra CRA, NIS2 e GDPR.
Per verificare se il Regolamento si applica alla vostra organizzazione e quali processi richiede, potete contattarci.
Fonte istituzionale: Cyber Resilience Act | UE
