Cybersicurezza UE: scadenze serrate per i produttori, tra avvisi preliminari e rapporti finali.
Per chi produce prodotti con elementi digitali, l’11 settembre 2026 non è una data come le altre: da quel giorno scattano gli obblighi di segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi previsti dal Cyber Resilience Act. Come chiarisce la pagina della Commissione europea dedicata alle segnalazioni CRA, il countdown è già partito e le finestre sono strette. Mancano quattro giorni all’entrata in applicazione degli obblighi e all’apertura della nuova piattaforma unica.
Una data cerchiata in rosso: cosa scatta l’11 settembre
L’obbligo non nasce dal nulla. Il Cyber Resilience Act è in vigore dal 10 dicembre 2024, come si legge nella pagina dedicata al regolamento, ma gli obblighi di segnalazione diventano applicabili soltanto dall’11 settembre 2026. È in quel momento che i produttori saranno tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali.
Per rendere operativo il meccanismo, ENISA è incaricata di istituire la piattaforma unica di segnalazione CRA ai sensi dell’articolo 16 del CRA. La piattaforma sarà operativa entro l’11 settembre 2026, così che l’avvio dei nuovi doveri non resti un obbligo sulla carta: c’è un unico punto di ingresso per le notifiche. In altre parole, la data di entrata in applicazione degli obblighi coincide con la data in cui la piattaforma unica deve essere pronta a ricevere le segnalazioni. La domanda, a questo punto, è cosa significhi in pratica segnalare una vulnerabilità o un incidente entro quelle finestre.
L’orologio del CRA: 24 ore, 72 ore, 14 giorni
Per capire la portata pratica, basta guardare le lancette. La scansione temporale prevista dal Cyber Resilience Act distingue due binari, ma ha una gabbia comune: chi viene a conoscenza di una vulnerabilità sfruttata attivamente o di un incidente grave deve presentare un avviso preliminare entro 24 ore e una notifica completa entro 72 ore dalla conoscenza dell’evento. Non si tratta di tempi negoziabili, ma di paletti che scandiscono la reazione del produttore. Il termine delle 24 ore, in particolare, obbliga le organizzazioni a mantenere canali di allerta attivi anche dopo il rilascio del prodotto: la segnalazione scatta dalla conoscenza, non dalla conferma definitiva dell’impatto.
Sul fronte delle vulnerabilità attivamente sfruttate, la chiusura del fascicolo è ancora più stringente: il rapporto finale deve essere presentato entro 14 giorni dalla disponibilità di una misura correttiva. Per gli incidenti gravi, il rapporto finale va presentato entro un mese. La differenza non è solo burocratica: se per un bug sfruttato il tempo utile si misura in giorni, per gli incidenti gravi la responsabilità si dilata, ma resta comunque compressa rispetto alle abitudini di molti processi di gestione delle non conformità. In entrambi i casi, l’onere documentale non si esaurisce con la prima segnalazione: l’avviso preliminare e la notifica completa sono solo i primi due passaggi di una sequenza che si chiude con il rapporto finale.
Per i grandi player la sfida è soprattutto organizzativa: occorre integrare la catena di segnalazione nei flussi di sicurezza prodotto già esistenti. Per i più piccoli, il rischio è diverso: sentirsi schiacciati da un meccanismo pensato per una compliance europea che richiede reattività, tracciabilità e competenze dedicate. Ed è qui che entrano in gioco gli strumenti messi a punto per le PMI.
PMI: 67 esempi pratici per non restare indietro
La Commissione sembra aver previsto il contraccolpo. Nei giorni scorsi ha pubblicato nuovi orientamenti in cui ha riservato particolare attenzione alle microimprese e alle PMI, offrendo 67 esempi pratici, una serie di casi d’uso, diagrammi di flusso e grafici. L’obiettivo dichiarato è rendere il percorso di conformità chiaro e proporzionato, senza oneri amministrativi superflui. La segnalazione non è un puro adempimento: è un pezzo di sicurezza collettiva, e prepararsi ora è la mossa più intelligente.
Il CRA non chiede solo reattività: chiede di trasformare la gestione delle vulnerabilità in routine. Per chi lo fa bene, l’obbligo diventa un vantaggio di fiducia.
