Cyber Resilience Act: video introduttivo per aziende e Pubbliche Amministrazioni sugli obblighi di segnalazione e sulle misure di adeguamento, per comprendere le responsabilità applicabili e prevenire violazioni del regolamento.
Dall’11 settembre 2026, il Cyber Resilience Act (CRA) impone ai fabbricanti dei prodotti con elementi digitali soggetti al regolamento di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto.
Le prime comunicazioni prevedono un preallarme entro 24 ore e una notifica entro 72 ore.
Entrambi i termini decorrono dalla conoscenza dello sfruttamento o dell’incidente grave, con l’obbligo di agire senza ritardi ingiustificati.
Questo Cyber Resilience Act Video introduce i prodotti interessati, le responsabilità dei fabbricanti e la preparazione delle procedure e del personale. Il testo che segue approfondisce i principali punti del quadro normativo.
Che cos’è il Cyber Resilience Act e quali prodotti riguarda
Il Cyber Resilience Act è il Regolamento (UE) 2024/2847 sulla cybersicurezza dei prodotti con elementi digitali. Introduce requisiti per la progettazione, lo sviluppo, la produzione e la gestione delle vulnerabilità, insieme a regole sulla valutazione della conformità e sulla marcatura CE.
Il suo ambito comprende prodotti hardware e software messi a disposizione sul mercato UE il cui uso previsto o ragionevolmente prevedibile include una connessione, anche indiretta, a un dispositivo o a una rete.
Possono rientrarvi, ad esempio, router, dispositivi connessi, applicazioni e componenti software. L’applicabilità va verificata sul singolo prodotto, considerando le esclusioni previste dal regolamento.
Il CRA è entrato in vigore il 10 dicembre 2024. L’applicazione generale decorre dall’11 dicembre 2027; gli obblighi di segnalazione dei fabbricanti sono anticipati all’11 settembre 2026, mentre il capo IV sugli organismi di valutazione della conformità si applica dall’11 giugno 2026.
Chi deve segnalare e perché il tema interessa anche la Pubblica Amministrazione
L’obbligo dell’articolo 14 del Cyber Resilience Act ricade sul fabbricante.
Questo ruolo può comprendere anche chi fa progettare o realizzare un prodotto da terzi e lo commercializza con il proprio nome o marchio. Per individuare gli obblighi occorre quindi esaminare le attività effettivamente svolte e il ruolo nella filiera.
Il semplice acquisto o utilizzo di un prodotto non attribuisce automaticamente gli obblighi del fabbricante. La distinzione vale sia per le aziende sia per le Pubbliche Amministrazioni.
Per chi acquista tecnologie, conoscere il CRA è comunque utile per valutare le informazioni dei fornitori: durata degli aggiornamenti di sicurezza, modalità di assistenza, comunicazioni sulle vulnerabilità e documentazione di conformità, secondo le date applicabili.
Quali eventi devono essere segnalati secondo il Cyber Resilience Act
La vulnerabilità attivamente sfruttata è una falla di sicurezza per la quale esistono prove attendibili di un utilizzo da parte di un soggetto malevolo, senza l’autorizzazione del proprietario del sistema. La sola scoperta di un difetto non equivale alla conoscenza del suo sfruttamento.
Gli incidenti gravi comprendono quelli che incidono, o possono incidere, sulla capacità del prodotto di proteggere dati o funzioni sensibili o importanti, oppure comportano, o possono comportare, l’introduzione o l’esecuzione di codice malevolo nel prodotto o nei sistemi dell’utilizzatore. La valutazione deve seguire i criteri dell’articolo 14, paragrafo 5 del CRA.
Quali termini rispettare e dove inviare le segnalazioni
Le 24 ore per il preallarme e le 72 ore per la notifica partono dallo stesso momento: la conoscenza dello sfruttamento o dell’incidente grave. Le 72 ore non decorrono dall’invio del preallarme.
La procedura prevede anche una relazione finale, salvo che le informazioni pertinenti siano già state fornite:
- per una vulnerabilità attivamente sfruttata, entro 14 giorni dalla disponibilità di una misura correttiva o di attenuazione;
- per un incidente grave, entro un mese dalla trasmissione della notifica dell’incidente.
Il fabbricante deve inoltre informare tempestivamente gli utilizzatori interessati e, quando necessario, comunicare le misure per proteggersi.
Le segnalazioni passano attraverso la Single Reporting Platform (SRP) gestita da ENISA, individuando il CSIRT competente secondo i criteri del regolamento.
Il CRA riguarda anche i prodotti già sul mercato?
Sì. L’articolo 69, paragrafo 3 del CRA estende gli obblighi di segnalazione anche ai prodotti soggetti al Cyber Resilience Act immessi sul mercato prima dell’11 dicembre 2027.
Per esempio, un fabbricante ha venduto un dispositivo nel 2022: se dall’11 settembre 2026 scopre che una sua vulnerabilità è stata sfruttata, deve segnalarla, anche se la falla era già conosciuta. Se conosceva già lo sfruttamento prima di quella data, non deve segnalarlo retroattivamente.
Per approfondimenti: ENISA — FAQ sui prodotti precedenti e sulla conoscenza dello sfruttamento.
Per gli altri requisiti, i prodotti immessi sul mercato prima dell’11 dicembre 2027 sono soggetti alla disciplina transitoria: tali requisiti si applicano se il prodotto subisce una modifica sostanziale da quella data.
Come preparare procedure, responsabilità e personale
Sul piano organizzativo, è utile partire da un inventario dei prodotti e dall’individuazione delle persone che ricevono, valutano e comunicano le segnalazioni di sicurezza. La procedura dovrebbe chiarire chi raccoglie le evidenze, chi decide sull’obbligo di notifica, chi effettua gli invii e chi informa gli utilizzatori.
Formazione e simulazioni aiutano a verificare che queste attività possano essere svolte nei tempi richiesti, anche in assenza del referente abituale. È opportuno documentare il momento della conoscenza, le valutazioni effettuate e le misure adottate.
Occorre distinguere l’avvio delle segnalazioni dall’applicazione delle sanzioni CRA: l’articolo 64 segue la data generale dell’11 dicembre 2027. L’obbligo di segnalazione dei fabbricanti resta applicabile dall’11 settembre 2026.
Per approfondire esempi, scadenze e indicazioni operative, consulta l’articolo EUCS sugli obblighi di segnalazione del Cyber Resilience Act.
