Dall’11 settembre 2026 i produttori di prodotti con elementi digitali devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi. Il CRA introduce nuove responsabilità lungo l’intero ciclo di vita di hardware e software

Non è ancora il momento della piena applicazione del Cyber Resilience Act, ma per le aziende che sviluppano e commercializzano prodotti digitali nell’Unione europea oggi rappresenta comunque una data importante. Da venerdì 11 settembre 2026 entrano infatti in applicazione gli obblighi di reporting previsti dall’Articolo 14 del Cyber Resilience Act (CRA), la normativa europea che introduce requisiti comuni di cybersecurity per i prodotti con elementi digitali.

La piena applicazione del regolamento è prevista per l’11 dicembre 2027, mentre alcune disposizioni sono già entrate in vigore. L’obbligo di segnalazione rappresenta però il primo passaggio sostanziale che chiama direttamente in causa i produttori nella gestione e nella comunicazione degli eventi di sicurezza.

Cosa cambia da oggi

Il CRA stabilisce che i produttori devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che hanno un impatto sulla sicurezza dei prodotti con elementi digitali.

Il meccanismo prevede tempi particolarmente stringenti. Dal momento in cui vengono a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave, i produttori devono effettuare un early warning entro 24 ore. Entro 72 ore deve poi essere trasmessa la notifica completa. Per le vulnerabilità attivamente sfruttate è previsto inoltre un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione; per gli incidenti gravi il rapporto finale deve arrivare entro un mese dalla notifica delle 72 ore.

Non si tratta quindi soltanto di introdurre un nuovo adempimento burocratico. Il regolamento spinge i produttori verso un modello nel quale la gestione della vulnerabilità diventa parte integrante del ciclo di vita del prodotto, dalla progettazione allo sviluppo, fino alla manutenzione e al supporto.

Una responsabilità che parte dal produttore

Il Cyber Resilience Act nasce dall’esigenza di affrontare un problema ormai strutturale: software e dispositivi connessi sono diventati una componente essenziale delle attività quotidiane e dei processi aziendali, ma non sempre la sicurezza viene considerata allo stesso livello delle altre caratteristiche del prodotto.

Il CRA introduce quindi requisiti obbligatori di cybersecurity che riguardano la progettazione, lo sviluppo, la produzione e la manutenzione dei prodotti con elementi digitali. I produttori devono inoltre gestire le vulnerabilità durante il periodo di supporto e garantire che gli utenti dispongano delle informazioni necessarie per utilizzare i prodotti in sicurezza. Il perimetro è ampio: il regolamento riguarda infatti prodotti hardware e software messi a disposizione sul mercato europeo, dai dispositivi connessi alle applicazioni e ai programmi informatici.

La nuova piattaforma europea per le segnalazioni

Per rendere operativo il nuovo sistema, ENISA ha sviluppato la CRA Single Reporting Platform, il punto unico attraverso il quale devono essere trasmesse le notifiche.

Il produttore effettua una sola segnalazione attraverso la piattaforma, indirizzata al CSIRT dello Stato membro in cui ha il proprio stabilimento principale. Salvo circostanze eccezionali, le informazioni vengono rese contemporaneamente disponibili anche a ENISA. Il CSIRT che riceve inizialmente la notifica provvede quindi a condividerla con gli altri CSIRT degli Stati membri nei cui territori il prodotto è stato reso disponibile.

Il modello punta così a superare una gestione frammentata delle informazioni sulle vulnerabilità, creando un processo coordinato a livello europeo.

Non solo reporting: la cybersecurity entra nel ciclo di vita

L’appuntamento di oggi deve quindi essere letto all’interno di un cambiamento più ampio. Il Cyber Resilience Act non si limita a chiedere alle aziende di reagire quando emerge una vulnerabilità ma introduce un approccio security by design e security by default, con requisiti che accompagnano il prodotto lungo il suo intero ciclo di vita.

La normativa prevede infatti requisiti essenziali di cybersecurity sia per le caratteristiche del prodotto sia per la gestione delle vulnerabilità. In questo modo la sicurezza diventa una responsabilità del produttore e non soltanto un elemento che l’utente deve gestire dopo l’acquisto o l’installazione. 

continua ………..

Tratto da www.lineaedp.it

Autore: Redazione LineaEDP

L’articolo completo è consultabile qui