EU Cyber Resilience Act (CRA): l’obbligo di segnalazione scatta dall’11 settembre
La notifica all'ENISA delle vulnerabilità attivamente sfruttate nei prodotti con elementi digitali inizia a settembre 2026; una valutazione di conformità completa che comprende la marcatura CE diventerà obbligatoria a dicembre 2027.
Il Regolamento sulla ciberresilienza (CRA) introduce requisiti di cibersicurezza validi in tutta l'UE per i prodotti con elementi digitali. L'ambito è ampio: la maggior parte dei prodotti hardware e software collegabili rientra nel quadro, siano essi prodotti di consumo o meno.
La prima parte del regolamento a entrare in applicazione è l'obbligo di segnalazione. I produttori sono tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi alle autorità competenti tramite un canale definito; non si tratta di un'attività una tantum, ma di un processo continuo.
La fase successiva alla segnalazione è l'applicazione dei requisiti di prodotto e della valutazione di conformità. Prepararsi alla segnalazione è quindi anche il momento giusto per stabilire la documentazione sulla sicurezza del prodotto e la politica di aggiornamento.
Quando è entrato in vigore il regolamento e quando si applicherà pienamente
Il Regolamento sulla ciberresilienza è entrato in vigore il 10 dicembre 2024 come Regolamento (UE) 2024/2847. Ma l'entrata in vigore e l'inizio dell'applicazione degli obblighi non sono la stessa cosa: il regolamento fissa una tempistica scaglionata, per cui il produttore affronta prima la segnalazione e poi i requisiti di prodotto.
La prima parte applicabile è l'obbligo di segnalazione a partire dall'11 settembre 2026. Il resto del regolamento — i requisiti essenziali di cibersicurezza, la valutazione di conformità, il fascicolo tecnico e la marcatura CE — si applica pienamente dall'11 dicembre 2027.
I quindici mesi tra queste due date non sono un periodo di attesa ma di preparazione. Poiché l'obbligo di segnalazione presuppone un processo di gestione delle vulnerabilità già operativo, l'infrastruttura da realizzare nel 2026 costituisce anche la base della documentazione richiesta nel 2027.
Chi rientra nell'ambito
L'ambito è definito dalla natura del prodotto anziché dalla categoria di prodotto: l'espressione "prodotto con elementi digitali" copre prodotti hardware e software in grado di stabilire una connessione dati a un dispositivo o rete, direttamente o indirettamente. Non deve necessariamente trattarsi di un prodotto di consumo; possono rientrarvi anche apparecchiature industriali, componenti e software autonomo.
Il regolamento classifica i prodotti in base al livello di rischio e, al crescere della classe, aumenta il ruolo di terzi nella valutazione di conformità. Il primo compito consiste quindi nel determinare in quale classe rientra il prodotto: la classe determina tutte le decisioni successive (autodichiarazione o organismo notificato).
Presumere che un prodotto sia fuori ambito è rischioso: anche un dispositivo senza connessione cloud ma abbinato a un'app mobile possiede un elemento digitale. Nei casi limite, registrare per iscritto la decisione insieme alla sua motivazione è il documento che si rivela più utile in un'ispezione successiva.
Come funziona la segnalazione
Dall'11 settembre 2026 i produttori sono tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che compromettono la sicurezza del prodotto. La segnalazione avviene tramite la piattaforma unica di segnalazione dell'ENISA, congiuntamente al CSIRT nazionale competente e all'ENISA.
La segnalazione non si esaurisce con la compilazione di un unico modulo: funziona per fasi, come allerta precoce, poi come segnalazione più dettagliata e, alla chiusura del processo, come relazione finale. Ciò richiede di stabilire in anticipo chi raccoglierà quali informazioni nelle prime ore di un incidente.
La conseguenza pratica è questa: la segnalazione non è una clausola di conformità ma un'operazione. Se non sono pronti il turno di reperibilità, il canale di comunicazione, il decisore e il modello di registrazione, la notifica non può essere effettuata entro i termini.
Il lato dell'applicazione
Il regolamento prevede sanzioni amministrative per le violazioni dei requisiti essenziali di cibersicurezza e delle clausole di segnalazione; il limite massimo è fissato in 15 milioni di euro o il 2,5% del fatturato annuo mondiale, applicandosi l'importo più elevato.
Un'altra conseguenza, importante quanto il rischio di sanzioni, riguarda l'accesso al mercato: un prodotto la cui conformità non può essere dimostrata non può essere immesso sul mercato dell'UE, e l'autorità di vigilanza del mercato può adottare misure, compreso il richiamo.
Cosa conviene fare adesso
Redigere un inventario dei prodotti e stabilire quale prodotto possieda elementi digitali e a quale classe appartenga è l'unico passo che rende pianificabile l'intero calendario. Senza inventario, ogni altro compito si basa su congetture.
Il secondo passo è annunciare il periodo di supporto e mettere per iscritto la politica di aggiornamento. Fanno parte dei requisiti del 2027 ma, comportando decisioni commerciali, sono i compiti più lunghi.
Il terzo è istituire il canale di segnalazione delle vulnerabilità: sia un indirizzo per ricevere segnalazioni esterne sia un flusso interno per valutarle. La segnalazione del 2026 non funziona senza quel flusso.
Cosa fare?
- 1Determinate se i vostri prodotti rientrano nell'ambito del CRA.
- 2Istituite un processo di segnalazione di vulnerabilità e incidenti con un responsabile, un canale e una tempistica definiti.
- 3Mettete per iscritto la vostra politica di aggiornamento della sicurezza e il periodo di supporto.
Questo articolo ha scopo informativo e non costituisce parere legale. Il modo in cui una normativa si applica al vostro prodotto dipende dalle caratteristiche tecniche del prodotto e dal mercato di destinazione; l'ambito esatto può essere determinato solo esaminando il prodotto.