Il Cyber Resilience Act non è soltanto un appuntamento da preparare per il 2027. Dall’11 settembre 2026 sono già applicabili gli obblighi di segnalazione per i fabbricanti di prodotti con elementi digitali che rientrano nel regolamento. La piattaforma europea per trasmettere le notifiche è operativa e le FAQ ENISA, aggiornate il 15 ottobre, chiariscono diversi aspetti pratici del suo utilizzo.
Per le imprese interessate, la priorità non è limitarsi a conoscere una scadenza. Occorre capire chi raccoglie le informazioni, chi valuta gli eventi e chi può trasmettere la segnalazione. Un processo definito in anticipo permette di affrontare un episodio di sicurezza senza dover ricostruire responsabilità e accessi durante l’emergenza.
Quali obblighi sono già applicabili nel 2026?
Il calendario ufficiale della Commissione europea distingue due passaggi. Gli obblighi di segnalazione dei fabbricanti si applicano dall’11 settembre 2026; le principali altre disposizioni del CRA saranno applicabili dall’11 dicembre 2027. Non è quindi corretto attendere quella seconda data per organizzare le notifiche.
Il riferimento è la sicurezza di prodotti con elementi digitali, che possono comprendere hardware e software. L’applicabilità va verificata considerando il prodotto, il ruolo dell’operatore e le esclusioni previste dal regolamento, non semplicemente la presenza di un reparto informatico in azienda. Inoltre, le FAQ ENISA precisano che le segnalazioni possono riguardare anche prodotti nel perimetro CRA immessi sul mercato prima dell’11 dicembre 2027.
Quali eventi richiedono una segnalazione?
La Commissione europea individua due categorie: vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del prodotto. Una vulnerabilità attivamente sfruttata richiede evidenze affidabili dell’utilizzo da parte di un soggetto malevolo. Non coincide, quindi, con ogni possibile debolezza tecnica individuata durante un controllo.
Gli incidenti gravi riguardano invece eventi che soddisfano i criteri del regolamento e compromettono la sicurezza del prodotto. La valutazione non va confusa con una generica interruzione delle attività aziendali. Distinguere queste situazioni aiuta a raccogliere le informazioni pertinenti e a indirizzarle alle persone incaricate della valutazione.
Quali tempi occorre conoscere?
L’articolo 14 del Regolamento UE 2024/2847 prevede un preallarme senza indebito ritardo e comunque entro 24 ore dalla conoscenza dell’evento. La notifica successiva è prevista, sempre senza indebito ritardo, entro 72 ore dalla conoscenza: non si tratta di altre 72 ore dopo il preallarme.
I tempi della relazione finale sono differenti. Per una vulnerabilità attivamente sfruttata, il termine è di 14 giorni dalla disponibilità di una misura correttiva o di attenuazione. Per un incidente grave, è di un mese dalla notifica prevista entro 72 ore.
Sul piano organizzativo, è utile poter ricostruire quando l’impresa è venuta a conoscenza dell’evento, quali verifiche ha effettuato e quali misure ha reso disponibili. Le informazioni vanno aggiornate durante la gestione, senza considerare la prima comunicazione come conclusione del processo.
Come funziona la piattaforma ENISA?
La Single Reporting Platform, avviata da ENISA l’11 settembre, consente di trasmettere la notifica attraverso un unico canale europeo. Il processo coinvolge il CSIRT designato come coordinatore, cioè il gruppo competente per la risposta agli incidenti informatici, ed ENISA. La successiva condivisione segue le regole del CRA.
Le FAQ aggiornate di ENISA richiedono ai rappresentanti un account personale EU Login con autenticazione a più fattori. Un dettaglio importante: ENISA consiglia di registrarsi sulla piattaforma e avviare la verifica dell’associazione con il fabbricante quando occorre presentare una notifica. È invece possibile predisporre in anticipo l’account EU Login. La verifica dell’associazione procede in parallelo e non impedisce le notifiche mentre è ancora in corso.
Da dove iniziare per organizzare il processo aziendale?
Un punto di partenza concreto è identificare i prodotti potenzialmente interessati e i canali attraverso cui arrivano le segnalazioni: assistenza clienti, sviluppo, fornitori e responsabili della sicurezza. Le informazioni devono raggiungere chi può valutarle, anche quando l’evento riguarda un componente integrato nel prodotto.
È utile poi definire un referente, una sostituzione in caso di assenza e il percorso interno per raccogliere dati tecnici e approvare le comunicazioni. Una simulazione può verificare se questi passaggi funzionano davvero nei tempi previsti.
Il collegamento con gli adeguamenti normativi e la conformità di prodotto riguarda proprio questa capacità organizzativa. Sicurezza tecnica, documentazione e responsabilità devono procedere insieme: la disponibilità di una piattaforma non sostituisce un processo aziendale chiaro.
Articolo informativo: l’applicabilità del CRA e gli obblighi del singolo operatore richiedono la verifica del regolamento e delle indicazioni ufficiali pertinenti; il testo non costituisce consulenza legale.
