L’11 settembre 2026 rappresenta la prima scadenza operativa del Cyber Resilience Act. Da oggi i produttori devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti hardware e software immessi sul mercato dell’Unione Europea.
È opportuno distinguere questa data dall’entrata in vigore del regolamento, avvenuta il 10 dicembre 2024. Il CRA diventerà pienamente applicabile l’11 dicembre 2027, quando scatterà la parte più ampia dei requisiti relativi alla progettazione, alla valutazione del rischio, alla gestione delle vulnerabilità, agli aggiornamenti e alla conformità dei prodotti. Da oggi trova invece applicazione anticipata l’articolo 14, dedicato agli obblighi di segnalazione.
Il passaggio riguarda un mercato molto più esteso rispetto ai tradizionali prodotti informatici. Nel perimetro del regolamento rientrano infatti i “prodotti con elementi digitali”: hardware e software messi a disposizione sul mercato europeo il cui utilizzo prevede una connessione, diretta o indiretta, logica o fisica, a un dispositivo o a una rete. La definizione comprende anche i componenti commercializzati separatamente e i servizi di elaborazione remota indispensabili al funzionamento del prodotto.
Il CRA può quindi interessare applicazioni, sistemi operativi e dispositivi di rete, ma anche videocamere, serrature elettroniche, lettori di credenziali, sistemi di controllo degli accessi e numerosi altri oggetti connessi.
LEGGI ANCHE: NIS 2, ottobre 2026 è il momento della verità: cosa cambia davvero per imprese e partner ICT
Cyber Resilience Act: che cosa deve essere segnalato
L’obbligo scatta in presenza di due situazioni precise. La prima è una vulnerabilità attivamente sfruttata, per la quale esistono prove affidabili che un soggetto malevolo abbia effettivamente utilizzato la falla all’interno di un sistema senza l’autorizzazione del proprietario.
La seconda riguarda gli incidenti gravi che compromettono la sicurezza del prodotto. Non ogni malfunzionamento o tentativo di attacco determina quindi una notifica: l’incidente deve incidere, tra gli altri aspetti, sulla capacità del prodotto di proteggere disponibilità, autenticità, integrità o riservatezza di dati e funzioni sensibili.
I produttori devono trasmettere una prima segnalazione entro 24 ore dal momento in cui vengono a conoscenza dell’evento. Entro 72 ore deve seguire una notifica più completa, contenente le informazioni disponibili sulla vulnerabilità o sull’incidente, sulla gravità e sulle possibili conseguenze.
Per le vulnerabilità attivamente sfruttate, il rapporto finale deve essere presentato entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Nel caso degli incidenti gravi, il termine è invece di un mese dalla notifica delle 72 ore. Le scadenze e il funzionamento del sistema sono riepilogati dalla Commissione europea nella pagina dedicata agli obblighi di segnalazione.
Una sola segnalazione attraverso la piattaforma europea
Le notifiche devono essere inviate attraverso la Single Reporting Platform realizzata e gestita da ENISA. Il produttore effettua una sola comunicazione, indirizzata al Computer Security Incident Response Team del Paese nel quale ha il proprio stabilimento principale. Le informazioni vengono messe a disposizione anche di ENISA e condivise con i CSIRT degli altri Stati membri nei quali il prodotto è stato commercializzato.
La piattaforma punta a evitare che un’azienda debba replicare la stessa procedura in tutti i Paesi europei interessati. ENISA ha pubblicato indicazioni per la registrazione, la gestione degli utenti autorizzati e l’invio delle notifiche attraverso la SingleReporting Platform.
Gli obblighi in vigore da oggi si applicano anche ai prodotti già presenti sul mercato europeo, compresi quelli commercializzati prima della piena applicazione del CRA. È una precisazione importante: il produttore deve disporre di processi capaci di individuare e valutare gli eventi che coinvolgono anche il parco installato, non soltanto i nuovi prodotti in fase di sviluppo.
Dalla gestione dell’incidente alla sicurezza del prodotto
La scadenza porta nelle aziende un cambiamento organizzativo che precede la piena applicazione del regolamento. Per rispettare le 24 ore, occorre sapere rapidamente se l’evento interessa un prodotto, se la vulnerabilità risulta già sfruttata e se l’incidente raggiunge la soglia prevista dal CRA. Servono inoltre responsabilità definite, canali per ricevere le segnalazioni esterne e procedure che colleghino sviluppo, cybersecurity, assistenza tecnica, attività legale e rapporti con le autorità.
L’adeguamento agli obblighi di segnalazione richiede anzitutto una revisione dei processi aziendali. Il tradizionale modello di incident management deve essere esteso agli eventi che coinvolgono i prodotti, affiancandogli una procedura per ricevere, valutare e notificare le vulnerabilità. Può essere utile introdurre un controllo già nelle prime fasi della gestione dell’evento, per stabilire se sia interessato un prodotto e se ricorrano le condizioni previste dal Cyber Resilience Act.
Nelle organizzazioni presenti in più Paesi, questa valutazione deve inoltre seguire criteri condivisi a livello di gruppo. La classificazione di una vulnerabilità e l’eventuale decisione di segnalarla non possono dipendere dalla sede o dalla funzione aziendale che ne viene per prima a conoscenza, soprattutto quando la notifica iniziale deve essere inviata entro 24 ore.
Le implicazioni diventano evidenti nei settori posti all’incrocio tra sicurezza fisica e cybersecurity. Una serratura elettronica, un lettore di credenziali o un sistema di controllo degli accessi possono integrare firmware, applicazioni, identità digitali e servizi cloud. Una vulnerabilità informatica può quindi compromettere direttamente la capacità del dispositivo di proteggere persone, edifici e aree riservate.
Considerazioni analoghe valgono per la videosorveglianza. Una videocamera connessa deve tutelare il proprio funzionamento e, nello stesso tempo, le immagini e le informazioni che raccoglie e trasmette. La gestione della sicurezza comprende quindi l’analisi delle vulnerabilità, la distribuzione degli aggiornamenti e il controllo dei sistemi operativi, delle librerie e degli altri componenti software forniti da terze parti.
Il rapporto tra Cyber Resilience Act e NIS2
Il Cyber Resilience Act si affianca alla NIS2, ma i due quadri normativi intervengono su oggetti differenti. La NIS2 riguarda la sicurezza delle reti e dei sistemi informativi delle organizzazioni che rientrano nel suo perimetro. Il CRA stabilisce invece requisiti di cybersecurity per i prodotti con elementi digitali immessi sul mercato europeo.
La distinzione normativa non impedisce che lo stesso evento possa coinvolgere entrambi. Una vulnerabilità sfruttata in un dispositivo connesso può rappresentare un problema del prodotto ai fini del CRA e, contemporaneamente, provocare un incidente nei sistemi aziendali soggetto agli obblighi della NIS2. Tempi, destinatari e contenuti delle comunicazioni devono quindi essere coordinati.
LEGGI ANCHE: Nis 2 cos’è, quando è entrata in vigore e a che punto siamo: tutto quello che serve sapere
Che cosa cambierà dal dicembre 2027
La scadenza dell’11 settembre anticipa il principio sul quale si basa l’intero regolamento: la sicurezza informatica diventa una responsabilità continuativa del produttore.
Dall’11 dicembre 2027 i produttori dovranno valutare il rischio cyber già durante la progettazione, documentare le misure adottate, gestire le vulnerabilità dei componenti propri e di terze parti, mettere a disposizione gli aggiornamenti di sicurezza e dichiarare il periodo durante il quale il prodotto sarà supportato. Il Cyber Resilience Act prevede inoltre procedure di valutazione della conformità e la marcatura CE.
Il periodo di supporto dovrà riflettere il tempo durante il quale si prevede che il prodotto venga utilizzato e, in linea generale, non potrà essere inferiore a cinque anni, salvo che la vita utile attesa sia più breve. Il quadro complessivo degli obblighi è illustrato nella sintesi ufficiale della Commissione europea.
La prima prova, però, comincia oggi.
