Scattano le regole sulla segnalazione delle vulnerabilità e degli incidenti informatici gravi. Il nuovo quadro europeo riguarda produttori di hardware e software con elementi digitali

Nuovo passaggio nell’attuazione del Cyber Resilience Act (CRA), il regolamento europeo che introduce requisiti obbligatori di cybersicurezza per i prodotti hardware e software con elementi digitali commercializzati nell’Unione europea.

L’Agenzia per la Cybersicurezza Nazionale (ACN) segnala la pubblicazione delle linee guida europee per accompagnare imprese e produttori nell’applicazione delle nuove disposizioni, in vista di una prima scadenza particolarmente importante: dall’11 settembre 2026 entreranno infatti in vigore gli obblighi di segnalazione previsti dal regolamento.

Il Cyber Resilience Act punta ad aumentare il livello di sicurezza dei prodotti digitali lungo tutto il loro ciclo di vita, responsabilizzando in particolare i produttori nella gestione delle vulnerabilità e degli incidenti.

Cosa cambia dall’11 settembre

I produttori saranno tenuti a notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali.

Il meccanismo europeo prevede tempistiche precise. Una prima segnalazione dovrà essere effettuata entro 24 ore dal momento in cui il produttore viene a conoscenza della vulnerabilità o dell’incidente. Entro 72 ore dovrà seguire una notifica più completa, con le informazioni disponibili e una prima valutazione dell’accaduto.

È prevista poi una relazione finale: nel caso delle vulnerabilità, entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione; per gli incidenti gravi, entro un mese dalla notifica effettuata nelle prime 72 ore.

Una piattaforma unica europea per le segnalazioni

Le notifiche saranno gestite attraverso la Single Reporting Platform, la piattaforma unica realizzata e gestita da ENISA, l’Agenzia dell’Unione europea per la cybersicurezza.

L’obiettivo è semplificare gli adempimenti: il produttore potrà effettuare la segnalazione attraverso un unico sistema, che provvederà a indirizzarla al CSIRT competente e a renderla disponibile agli organismi europei previsti dalla normativa.

Gli obblighi riguardano un perimetro molto ampio, perché il CRA interessa i “prodotti con elementi digitali”, comprendendo hardware e software immessi sul mercato europeo.

Sicurezza informatica fin dalla progettazione

Il Cyber Resilience Act introduce un cambio di prospettiva nella regolamentazione europea: la cybersicurezza non viene considerata soltanto come una risposta agli attacchi informatici, ma come un requisito da integrare nella progettazione, nello sviluppo e nella manutenzione dei prodotti.

I produttori dovranno quindi gestire le vulnerabilità durante il ciclo di vita del prodotto e garantire adeguati livelli di sicurezza e aggiornamento.

Il regolamento europeo è entrato in vigore il 10 dicembre 2024. Gli obblighi di segnalazione diventano applicabili dall’11 settembre 2026, mentre la piena applicazione delle principali disposizioni del Cyber Resilience Act è prevista dall’11 dicembre 2027.

La pubblicazione delle linee guida rappresenta quindi un passaggio operativo importante soprattutto per imprese, produttori e sviluppatori chiamati ad adeguare procedure interne, sistemi di gestione delle vulnerabilità e modalità di risposta agli incidenti informatici.

Il messaggio è chiaro: con il Cyber Resilience Act la sicurezza dei prodotti digitali diventa sempre più una responsabilità strutturale dell’impresa, e non un intervento da attivare soltanto dopo un incidente.