Il Cyber Resilience Act: gli obblighi di segnalazione per i prodotti digitali sono ora attivi

Il regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA), introduce requisiti obbligatori di cybersicurezza per i prodotti con elementi digitali lungo tutto il loro ciclo di vita. I suoi obblighi di segnalazione, previsti dall'articolo 14, sono entrati in applicazione l'11 settembre 2026. I suoi requisiti principali di cybersicurezza, invece, si applicheranno solo dall'11 dicembre 2027.

Il giorno stesso in cui gli obblighi di segnalazione sono entrati in applicazione, l'ENISA ha lanciato la Single Reporting Platform (SRP), il canale elettronico unico attraverso cui i fabbricanti e i responsabili di software open source devono notificare simultaneamente al CSIRT nazionale coordinatore e all'ENISA qualsiasi vulnerabilità attivamente sfruttata o incidente grave.

Chi deve segnalare, e cosa

Gli obblighi dell'articolo 14 si applicano ai fabbricanti, definiti come le entità che progettano, sviluppano o fabbricano prodotti con elementi digitali, da sole o tramite terzi, e li immettono sul mercato dell'UE con il proprio nome o marchio. Devono essere segnalate due categorie di eventi.

• Vulnerabilità attivamente sfruttata: una vulnerabilità per cui esistono prove attendibili che un attore malevolo l'ha sfruttata in un sistema senza l'autorizzazione del proprietario del sistema.
• Incidente grave: un incidente che compromette negativamente, o è in grado di compromettere, la riservatezza, l'integrità o la disponibilità dei dati o delle funzioni del prodotto, oppure che ha portato o potrebbe portare all'introduzione o all'esecuzione di codice malevolo nel prodotto o nei sistemi di rete e informazione di un utente.

Un orologio in tre tappe, non un'unica scadenza

Una volta che un fabbricante viene a conoscenza di un evento da segnalare, la guida della Commissione europea pubblicata a luglio 2026 fissa tre scadenze successive, che decorrono dal momento in cui il fabbricante, dopo una valutazione iniziale, ha un ragionevole grado di certezza sullo sfruttamento attivo o sulla gravità dell'incidente.

• Allarme precoce: entro 24 ore.
• Notifica: entro 72 ore.
• Rapporto finale: entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione per una vulnerabilità attivamente sfruttata, oppure entro un mese dalla notifica delle 72 ore per un incidente grave.

I fabbricanti devono inoltre informare gli utenti interessati e, se del caso, tutti gli utenti del prodotto, affinché possano adottare misure di mitigazione sui propri sistemi.

Il perimetro è più ampio di quanto sembri a prima vista

Gli obblighi di segnalazione coprono già i prodotti immessi sul mercato dell'UE prima della data di piena applicazione del CRA, compresi i prodotti legacy, e continuano ad applicarsi dopo la fine del periodo ufficiale di supporto di un prodotto. L'unica agevolazione confermata dalla guida della Commissione: i fabbricanti non sono tenuti a segnalare retroattivamente uno sfruttamento attivo di cui erano già a conoscenza prima dell'11 settembre 2026.

Perché la sicurezza del prodotto diventa una questione di transazione

Per un fornitore tech, un produttore di hardware o un editore di software industriale, il CRA cambia la conversazione di due diligence nello stesso modo in cui NIS2 l'ha cambiata per gli operatori di infrastrutture critiche. Un acquirente che valuta un'azienda di prodotto chiederà sempre più non solo se il prodotto funziona, ma se il suo fabbricante può dimostrare un processo funzionante di divulgazione e segnalazione delle vulnerabilità, prove di decisioni di security-by-design prese durante lo sviluppo, e dieci anni di documentazione tecnica conservata.

“Un'azienda che non ha mai dovuto segnalare una vulnerabilità non è necessariamente un'azienda senza vulnerabilità. Può semplicemente essere un'azienda che non ha mai testato se fosse in grado di segnalarne una entro 24 ore.”

— Aegryn

Aegryn Advisory affianca le organizzazioni che progettano, sviluppano o fabbricano prodotti con elementi digitali nella strutturazione della gestione delle vulnerabilità, nella preparazione alla segnalazione degli incidenti e nella documentazione tecnica ai sensi del Cyber Resilience Act, e certifica il risultato nell'ambito della dimensione Sicurezza & Sovranità del CIFSO, prima del momento in cui un acquirente, un assicuratore o un regolatore ne chiede la prova.