L’11 settembre 2026 arriva una prima scadenza operativa del Cyber Resilience Act: i fabbricanti interessati dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei loro prodotti digitali. Per il primo avviso il limite è di 24 ore da quando ne vengono a conoscenza. La Commissione europea riepiloga gli obblighi che iniziano ad applicarsi.
Per chi sviluppa software, il problema organizzativo è immediato. Una segnalazione può arrivare all’assistenza mentre la persona che conosce il prodotto è fuori ufficio. Se il percorso interno dipende da una catena di messaggi improvvisati, buona parte del tempo disponibile rischia di passare prima ancora che qualcuno prenda in carico il caso.
Chi deve verificare il proprio ruolo
Il CRA riguarda prodotti con elementi digitali immessi sul mercato dell’Unione, con il perimetro e le esclusioni definiti dal Regolamento UE 2024/2847. Essere una PMI o usare un gestionale non basta a rendere automaticamente fabbricanti ai fini di questa norma.
Conviene partire da ciò che l’azienda realizza e commercializza. Un prodotto software venduto con il proprio marchio pone domande diverse dall’acquisto di un servizio per uso interno. Chi offre prodotti digitali dovrebbe chiarire l’inquadramento con il responsabile tecnico e chi segue la conformità, includendo nel confronto i contratti con i fornitori.
La data generale di applicazione del regolamento è l’11 dicembre 2027. L’articolo 14 sulle segnalazioni si applica in anticipo, dall’11 settembre 2026. Confondere le due date può far perdere una scadenza già rilevante oppure far credere che tutti gli adempimenti debbano essere completati nello stesso momento.
Il tempo parte dalla conoscenza del problema
L’articolo 14 richiede di agire senza indebito ritardo. Le 24 e le 72 ore sono termini massimi, entrambi calcolati dalla conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave. Non sono due finestre da sommare.
Anche il rapporto finale segue regole diverse. Per una vulnerabilità attivamente sfruttata va presentato entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Per un incidente grave il termine è di un mese dalla notifica dettagliata. I 14 giorni, quindi, non sono una scadenza universale entro cui correggere ogni vulnerabilità.
Le comunicazioni obbligatorie passano dalla Single Reporting Platform, sviluppata da ENISA, che permette di trasmetterle alle autorità competenti attraverso un unico canale. La pagina operativa di ENISA raccoglie istruzioni per la registrazione e l’invio delle notifiche.
Una prova interna prima del prossimo avviso
Un esercizio utile consiste nel simulare l’arrivo di una segnalazione. Il referente dell’assistenza deve sapere a chi passarla. Chi la valuta deve poter identificare versioni e clienti coinvolti. La persona incaricata della notifica deve avere accesso agli strumenti necessari, con un sostituto previsto per le assenze.
La simulazione dovrebbe terminare con una scheda compilata usando un caso fittizio, senza inviare notifiche di prova alle autorità. Se mancano informazioni, emerge subito quali registri aggiornare o quali responsabilità assegnare.
La preparazione si misura anche così: quante ore servono per passare dal primo messaggio a una valutazione documentata. È un dato che un elenco di software di sicurezza installati, da solo, non può fornire.
