Dall’11 settembre 2026 si applicano gli obblighi di segnalazione previsti dall’articolo 14 del Cyber Resilience Act, il Regolamento (UE) 2024/2847.
A partire da quella data chi fabbrica prodotti con elementi digitali ha l’obbligo di segnalare due tipi di evento:
- le vulnerabilità attivamente sfruttate
- gli incidenti gravi che incidono sulla sicurezza del prodotto.
La segnalazione deve essere fatta tramite la Single Reporting Platform di ENISA e viene gestita dal CSIRT (per l’Italia, ACN–CSIRT) e da ENISA.
I termini per la segnalazione sono i seguenti:
- preallarme entro 24 ore e notifica entro 72 ore da quando il fabbricante viene a conoscenza dell’evento
- relazione finale entro 14 giorni da quando è disponibile una misura correttiva o di attenuazione per le vulnerabilità oppure entro un mese dalla notifica per gli incidenti.
L’obbligo riguarda i prodotti con elementi digitali che rientrano nel CRA, compresi quelli già immessi sul mercato.
Le sanzioni previste per la violazione degli obblighi di segnalazione si applicano a partire dall’11 Dicembre 2027 e arrivano fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore.
Cosa succede l’11 Settembre 2026
Il Cyber Resilience Act, in vigore dal 10 dicembre 2024, si applica integralmente solo dall’11 dicembre 2027, con l’eccezione dell’articolo 14 sugli obblighi di segnalazione, anticipato all’11 settembre 2026
L’obbligo di segnalazione vale anche per i prodotti venduti anni fa, purché rientrino nel campo di applicazione del Cyber Resilience Act (CRA).
Un esempio. Se dall’11 settembre 2026 un’azienda scopre che una falla di sicurezza di un dispositivo venduto nel 2022 è stata sfruttata da un malintenzionato, deve segnalarla, anche se la falla era già nota: ciò che conta è il momento in cui viene scoperto lo sfruttamento. Se invece l’azienda ne era già a conoscenza prima dell’11 settembre 2026, non è tenuta a segnalarlo retroattivamente.
Per i prodotti immessi sul mercato prima dell’11 dicembre 2027, le altre regole del Cyber Resilience Act (CRA) diventano obbligatorie solo se, da quella data in poi, il prodotto subisce una modifica sostanziale.
Chi è coinvolto (e chi crede di non esserlo)
L’obbligo ricade sul fabbricante di prodotti con elementi digitali, cioè hardware e software collegati, anche indirettamente, a un dispositivo o a una rete.
In concreto: dispositivi IoT, macchine e impianti connessi, componenti embedded, firmware, app, software distribuito a titolo commerciale, moduli e librerie integrati in prodotti di terzi.
Tre casi che spesso vengono contestati, ma che possono far rientrare l’impresa tra i soggetti obbligati:
- Chi vende con il proprio marchio un prodotto realizzato da altri, o lo modifica in modo sostanziale: rientra. Per il CRA è fabbricante a tutti gli effetti.
- Chi produce macchinari con elementi digitali (PLC, pannelli HMI, telemetria): rientra. Il CRA si applica insieme al Regolamento Macchine (UE) 2023/1230, ciascuno con il proprio perimetro e calendario.
- Chi eroga servizi cloud puri: non rientra, salvo le soluzioni di trattamento remoto dei dati, sviluppate dal fabbricante o sotto la sua responsabilità, senza le quali il prodotto non svolgerebbe una delle sue funzioni. L’eventuale applicazione della NIS2 va valutata a parte.
Importatori e distributori che non operano come fabbricanti non sono oggi soggetti a obblighi di segnalazione diretti; dal dicembre 2027 saranno però tenuti a informare il fabbricante delle vulnerabilità di cui vengono a conoscenza.
Chi importa prodotti extra-UE farebbe bene a chiedere sin d’ora ai propri fornitori come intendono adempiere agli obblighi di segnalazione del Cyber Resilience Act (CRA).
Cosa va notificato e in quanto tempo
Gli eventi da segnalare sono due.
La vulnerabilità attivamente sfruttata: è quella per cui esistono prove attendibili che un malintenzionato l’abbia sfruttata in un sistema senza autorizzazione: non basta che la vulnerabilità esista, e i test condotti in buona fede non rilevano.
L’incidente grave: è quello che compromette, anche solo potenzialmente, la disponibilità, l’autenticità, l’integrità o la riservatezza di dati o funzioni sensibili, oppure che comporta l’introduzione o l’esecuzione di codice malevolo nel prodotto o nei sistemi dell’utilizzatore.
La segnalazione si articola in tre fasi.
| Fase | Vulnerabilità Sfruttata | Incidente Grave |
|---|---|---|
| Preallarme | senza indebito ritardo e comunque entro 24 ore dalla conoscenza | senza indebito ritardo e comunque entro 24 ore dalla conoscenza |
| Notifica | senza indebito ritardo e comunque entro 72 ore dalla conoscenza | senza indebito ritardo e comunque entro 72 ore dalla conoscenza |
| Relazione Finale | entro 14 giorni da quando è disponibile una misura correttiva o di attenuazione | entro un mese dalla trasmissione della notifica delle 72 ore |
Nelle fasi successive non occorre ripetere quanto già comunicato. Tutte le segnalazioni passano dalla Single Reporting Platform (SRP) di ENISA e giungono contemporaneamente a ENISA e al CSIRT coordinatore del Paese in cui l’azienda assume le decisioni sulla cybersicurezza dei propri prodotti (per l’Italia, ACN–CSIRT), il quale può richiedere aggiornamenti e informa le autorità di vigilanza del mercato.
Il fabbricante deve inoltre avvertire gli utilizzatori colpiti — e, se necessario, tutti gli utenti — della vulnerabilità o dell’incidente e delle misure con cui proteggersi; se non provvede in tempo, può intervenire il CSIRT.
Chi ha gestito un data breach sa che avvisare gli interessati è il passaggio più delicato: qui vale lo stesso, con in più la reputazione del prodotto in gioco.
La piattaforma ENISA: cosa c’è e cosa manca al lancio
La Single Reporting Platform sarà operativa dall’11 settembre 2026 e accessibile attraverso il Portale SRP.
Le FAQ ufficiali di ENISA sul Cyber Resilience Act illustrano il funzionamento della piattaforma. In sintesi:
- Occorre un account EU Login personale con autenticazione a più fattori, da creare in anticipo; ogni fabbricante ha un referente primario e fino a venti secondari.
- La registrazione richiede pochi minuti; il CSIRT la convalida in parallelo e, nel frattempo, è possibile inviare fino a venti notifiche. ENISA consiglia di registrarsi in occasione della prima notifica.
- Non sono previste né la segnalazione volontaria né un’API: si notifica esclusivamente dal portale.
- Se la piattaforma non è raggiungibile, la notifica va inviata appena torna disponibile; in caso di urgenza si contatta direttamente il CSIRT.
Completano il quadro il Regolamento delegato (UE) 2026/881, sui casi in cui il CSIRT può ritardare la diffusione di una notifica (i termini del fabbricante restano invariati), il Regolamento di esecuzione (UE) 2025/2392, che descrive i prodotti importanti e critici, e le linee guida della Commissione del 27 luglio 2026 (C(2026) 5252), la cui sezione 9 chiarisce gli obblighi di segnalazione e il momento della “conoscenza”.
Cosa rischia chi non è pronto per il Cyber Resilience Act
L’articolo 64 del Cyber Resilience Act prevede multe fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore, graduate sulle dimensioni dell’impresa.
Sanzioni e vigilanza del mercato scattano però solo dall’11 Dicembre 2027.
Anche prima che scattino le sanzioni del Cyber Resilience Act, chi non è pronto si espone su tre fronti:
- Responsabilità civile per prodotto difettoso. La Direttiva (UE) 2024/2853, applicabile ai prodotti immessi sul mercato dal 9 dicembre 2026 (Software compreso), prevede una responsabilità oggettiva: per stabilire se un prodotto è difettoso contano anche i requisiti di cybersicurezza e gli aggiornamenti non forniti.
- Obblighi paralleli di altre normative. Lo stesso incidente può far scattare la notifica al Garante e la comunicazione agli interessati (artt. 33-34 GDPR), la notifica NIS2, gli obblighi contrattuali verso i clienti soggetti a DORA e i flussi informativi verso l’Organismo di Vigilanza 231. Ognuno ha presupposti e scadenze propri: vanno coordinati in un’unica gestione dell’incidente.
- Contratti con i clienti. I clienti soggetti a NIS2 e DORA chiedono sempre più spesso clausole di notifica con termini più stringenti del CRA: saper segnalare è ormai un requisito commerciale, prima ancora che regolatorio.
Checklist immediata del Cyber Resilience Act
Ecco cosa fare fin da ora:
- Mappare i Prodotti. Individuare quelli con elementi digitali che rientrano nel Cyber Resilience Act (CRA), compresi quelli già sul mercato, stabilire chi ne è il fabbricante e annotare lo stato del supporto. La classificazione in prodotti importanti o critici servirà per il 2027; l’inventario serve subito.
- Individuare lo stabilimento principale e il CSIRT coordinatore nell’elenco ENISA; creare gli account EU Login con autenticazione a più fattori per il referente primario e i secondari; tenere pronti i dati dell’entità per registrarsi al momento della prima notifica.
- Scrivere la procedura di segnalazione — preallarme, notifica e relazione finale, con i termini distinti per vulnerabilità sfruttate e incidenti gravi — dotandosi di un canale di ricezione presidiato (PSIRT, security.txt, casella dedicata), di criteri per qualificare l’evento, di una matrice di gravità, di responsabili decisionali, della registrazione dell’ora della “conoscenza” e dei modelli per i tre invii.
- Coordinare le altre discipline. Un unico processo di gestione dell’incidente che copra, per lo stesso evento, presupposti e scadenze di GDPR, NIS2, DORA e 231.
- Preparare la comunicazione agli utenti e allineare la supply chain: fornitori e OEM devono sapere entro quanto tempo dovete essere informati da loro.
- Collaudare la procedura con una simulazione da tavolo, per verificare ruoli, tempi di risposta e criticità. La domanda da porsi oggi è semplice: chi effettua la notifica se l’incidente arriva sabato sera?
Come EUCS può aiutarvi
EUCS affianca fabbricanti, integratori e importatori nell’adeguamento al Cyber Resilience Act: verifica dei prodotti in scope, procedura di segnalazione con modelli pronti all’uso, registrazione sulla Single Reporting Platform, coordinamento con GDPR, NIS2, DORA e 231, formazione e simulazione dell’incidente.
Domande frequenti sul Cyber Resilience Act
Il Cyber Resilience Act si applica ai prodotti già in commercio?
Eravamo già a conoscenza di uno sfruttamento prima dell’11 settembre 2026: dobbiamo segnalarlo?
Siamo una piccola impresa: siamo esenti?
Dobbiamo notificare ogni vulnerabilità che scopriamo?
Ci sono sanzioni dall’11 settembre 2026?
Vendiamo solo software in cloud: siamo fuori dal CRA?
Dr. Eric Falzone
Docente e Responsabile Cybersecurity Academy EUCSEric Falzone docente ed esperto in sicurezza informatica coordina l’area formativa Cybersecurity dell’Academy EUCS. Progetta corsi di sicurezza informatica calibrati sui ruoli, sui sistemi utilizzati, sui rischi cyber e sul contesto operativo e supporta le organizzazioni nella definizione e documentazione delle iniziative formative adottate nell’ambito dei programmi di cybersecurity, gestione del rischio informatico e consapevolezza del personale. Profilo LinkedIn di Eric Falzone
Fonti Normative
- Regolamento (UE) 2024/2847 (Cyber Resilience Act)
- Commissione europea, obblighi di segnalazione CRA e FAQ sull’attuazione
- Commissione europea, linee guida sull’applicazione del CRA, 27 luglio 2026 — notizia ACNRegolamento delegato (UE) 2026/881
- Regolamento di esecuzione (UE) 2025/2392
- ENISA, Single Reporting Platform e FAQ
- Elenco CSIRT coordinatori
- Portale SRP — EU Login
- Legge 17 marzo 2026, n. 36
- D.Lgs. 138/2024
- Regolamento (UE) 2016/679
- Direttiva (UE) 2024/2853
