Non è ancora il momento della piena applicazione del Cyber Resilience Act, ma per le aziende che sviluppano e commercializzano prodotti digitali nell’Unione europea oggi rappresenta comunque una data importante. Da venerdì 11 settembre 2026 entrano infatti in applicazione gli obblighi di reporting previsti dall’Articolo 14 del Cyber Resilience Act (CRA), la normativa europea che introduce requisiti comuni di cybersecurity per i prodotti con elementi digitali.
La piena applicazione del regolamento è prevista per l’11 dicembre 2027, mentre alcune disposizioni sono già entrate in vigore. L’obbligo di segnalazione rappresenta però il primo passaggio sostanziale che chiama direttamente in causa i produttori nella gestione e nella comunicazione degli eventi di sicurezza.
Cosa cambia da oggi
Il CRA stabilisce che i produttori devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che hanno un impatto sulla sicurezza dei prodotti con elementi digitali.
Il meccanismo prevede tempi particolarmente stringenti. Dal momento in cui vengono a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave, i produttori devono effettuare un early warning entro 24 ore. Entro 72 ore deve poi essere trasmessa la notifica completa. Per le vulnerabilità attivamente sfruttate è previsto inoltre un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione; per gli incidenti gravi il rapporto finale deve arrivare entro un mese dalla notifica delle 72 ore.
Non si tratta quindi soltanto di introdurre un nuovo adempimento burocratico. Il regolamento spinge i produttori verso un modello nel quale la gestione della vulnerabilità diventa parte integrante del ciclo di vita del prodotto, dalla progettazione allo sviluppo, fino alla manutenzione e al supporto.
Una responsabilità che parte dal produttore
Il Cyber Resilience Act nasce dall’esigenza di affrontare un problema ormai strutturale: software e dispositivi connessi sono diventati una componente essenziale delle attività quotidiane e dei processi aziendali, ma non sempre la sicurezza viene considerata allo stesso livello delle altre caratteristiche del prodotto.
Il CRA introduce quindi requisiti obbligatori di cybersecurity che riguardano la progettazione, lo sviluppo, la produzione e la manutenzione dei prodotti con elementi digitali. I produttori devono inoltre gestire le vulnerabilità durante il periodo di supporto e garantire che gli utenti dispongano delle informazioni necessarie per utilizzare i prodotti in sicurezza. Il perimetro è ampio: il regolamento riguarda infatti prodotti hardware e software messi a disposizione sul mercato europeo, dai dispositivi connessi alle applicazioni e ai programmi informatici.
La nuova piattaforma europea per le segnalazioni
Per rendere operativo il nuovo sistema, ENISA ha sviluppato la CRA Single Reporting Platform, il punto unico attraverso il quale devono essere trasmesse le notifiche.
Il produttore effettua una sola segnalazione attraverso la piattaforma, indirizzata al CSIRT dello Stato membro in cui ha il proprio stabilimento principale. Salvo circostanze eccezionali, le informazioni vengono rese contemporaneamente disponibili anche a ENISA. Il CSIRT che riceve inizialmente la notifica provvede quindi a condividerla con gli altri CSIRT degli Stati membri nei cui territori il prodotto è stato reso disponibile.
Il modello punta così a superare una gestione frammentata delle informazioni sulle vulnerabilità, creando un processo coordinato a livello europeo.
Non solo reporting: la cybersecurity entra nel ciclo di vita
L’appuntamento di oggi deve quindi essere letto all’interno di un cambiamento più ampio. Il Cyber Resilience Act non si limita a chiedere alle aziende di reagire quando emerge una vulnerabilità ma introduce un approccio security by design e security by default, con requisiti che accompagnano il prodotto lungo il suo intero ciclo di vita.
La normativa prevede infatti requisiti essenziali di cybersecurity sia per le caratteristiche del prodotto sia per la gestione delle vulnerabilità. In questo modo la sicurezza diventa una responsabilità del produttore e non soltanto un elemento che l’utente deve gestire dopo l’acquisto o l’installazione.
Il conto alla rovescia verso il 2027
L’11 settembre 2026 rappresenta dunque una prima tappa, non il traguardo finale. La Commissione europea ha chiarito che le principali disposizioni del CRA saranno applicabili dall’11 dicembre 2027. La data di oggi anticipa però una parte particolarmente delicata della normativa: quella relativa alla capacità dei produttori di individuare, classificare e comunicare rapidamente gli eventi di sicurezza.
Per le aziende significa dover verificare fin da subito processi, responsabilità e strumenti: dalla gestione delle vulnerabilità alla raccolta delle informazioni necessarie per il reporting, fino alle procedure interne per rispettare finestre temporali che possono essere molto ristrette.
A luglio la Commissione europea ha pubblicato una guida pratica per aiutare produttori, sviluppatori e imprese a prepararsi all’applicazione del regolamento, con indicazioni anche su reporting, valutazione del rischio, periodi di supporto e perimetro dei prodotti interessati.
Il messaggio per il mercato è quindi chiaro: il CRA non è più soltanto una normativa da preparare in vista del 2027. Per quanto riguarda la gestione e la segnalazione delle vulnerabilità e degli incidenti gravi, il momento della compliance è già arrivato.
