In questo articolo Indice dei contenuti 2 sezioni
Da oggi, 11 settembre 2026, il Cyber Resilience Act smette di essere una scadenza sul calendario e diventa un obbligo concreto per chi vende tecnologia in Europa. Entra infatti in applicazione l’articolo 14, quello che impone alle aziende di segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi all’ENISA, l’agenzia europea per la sicurezza delle reti e dell’informazione. Non è una raccomandazione né una buona pratica consigliata, è un dovere con tempi rigidi e sanzioni salate per chi resta in silenzio.
Il canale unico attraverso cui far passare tutto si chiama Single Reporting Platform, operativa proprio da oggi. Una sola porta d’ingresso, insomma, per evitare che ogni produttore vada a bussare a uffici diversi in ventisette Paesi diversi. Il perimetro di chi deve usarla è ampio e vale anche per i prodotti già in commercio, non solo per quelli lanciati da adesso in poi.
Quali prodotti rientrano nell’obbligo
L’elenco è lungo e tocca praticamente tutto ciò che ha una connessione o un pezzo di codice dentro. Ci sono router e modem, i dispositivi per la smart home come elettrodomestici connessi, serrature intelligenti, videocamere di sicurezza e baby monitor. Ci sono i giocattoli connessi, gli smartwatch e in generale gli indossabili. E poi il fronte software, che è forse quello più delicato, con sistemi operativi, firewall, VPN, browser, antivirus e password manager.
Chi produce o distribuisce questa roba in Europa deve muoversi secondo una scaletta precisa. Primo passaggio, un avviso preliminare entro 24 ore dal momento in cui si viene a conoscenza della vulnerabilità sfruttata o dell’incidente grave. Secondo passaggio, la notifica vera e propria entro 72 ore, con le informazioni generali del caso e una prima valutazione di quanto sta accadendo. Terzo e ultimo passaggio, il report finale, che per le vulnerabilità va consegnato entro 14 giorni dalla disponibilità di una misura correttiva, quindi dalla patch, mentre per gli incidenti gravi il termine è di un mese dalla notifica delle 72 ore.
I destinatari non sono soltanto l’ENISA. Le segnalazioni finiscono anche sul tavolo del CSIRT dello Stato membro coinvolto, il team nazionale di risposta agli incidenti informatici. In Italia il riferimento è il CSIRT dell’Agenzia per la Cybersicurezza Nazionale.
Open source, linee guida e il conto da pagare
Il software open source per ora resta fuori, ma si tratta di una tregua a tempo. L’obbligo verrà esteso anche a quel mondo a partire dall’11 dicembre 2027. La piattaforma, inoltre, è pensata per accogliere in futuro anche le segnalazioni volontarie, quelle che non rientrano nei casi previsti dalla norma ma che qualcuno potrebbe voler comunicare comunque.
A fine luglio la Commissione europea aveva pubblicato le linee guida pensate per accompagnare produttori, sviluppatori e imprese verso il rispetto degli obblighi del CRA. Un tentativo di rendere digeribile un adempimento che, va detto senza giri di parole, pesa. Pesa soprattutto sulle società che sviluppano software e sulle realtà piccole, quelle che non hanno un reparto legale e un team di sicurezza pronti a scattare quando arriva la segnalazione di un problema sfruttato in rete.
E chi non rispetta l’obbligo di segnalazione rischia parecchio. Le sanzioni previste arrivano fino a 15 milioni di euro oppure al 2,5% del fatturato globale registrato nell’anno precedente. Si applica l’importo più alto tra i due, il che significa che per i grandi gruppi il riferimento diventa in fretta la percentuale sul fatturato e non la cifra fissa.
Il meccanismo, nelle intenzioni di Bruxelles, punta a ridurre il tempo che intercorre tra la scoperta di un buco sfruttato dagli attaccanti e la reazione coordinata a livello europeo. Le 24 ore del primo avviso servono esattamente a questo, a far circolare l’informazione prima che il danno si allarghi. Le scadenze successive servono invece a completare il quadro, mano a mano che i tecnici capiscono cosa è successo davvero e quanto è esteso il problema.
Fonte: TecnoAndroid
