I produttori di tecnologia che vendono prodotti connessi nell’Unione Europea devono ora affrontare scadenze rigide per segnalare gravi incidenti e vulnerabilità di cybersecurity attivamente sfruttati.
Nuovi requisiti di segnalazione ai sensi della Legge europea sulla Cyber Resilienza (CRA) sono diventati applicabili l’11 settembre 2026. I produttori devono fornire un avviso iniziale entro 24 ore dopo aver preso conoscenza di determinati eventi di sicurezza che riguardano prodotti con elementi digitali.
Le regole coprono due situazioni principali. Vulnerabilità per le quali esistono prove affidabili di sfruttamento attivo da parte degli attaccanti e incidenti gravi che interessano la sicurezza di un prodotto digitale.
I prodotti coperti dalla CRA includono un’ampia gamma di hardware e software messi a disposizione sul mercato UE. Il framework può applicarsi ad applicazioni, programmi informatici, firmware, elettronica di consumo connessa, apparecchiature industriali per l’Internet delle Cose e componenti integrati in altri prodotti connessi.
Il processo di segnalazione non termina con il primo avviso di 24 ore. I produttori devono fornire una notifica più dettagliata entro 72 ore dalla presa a conoscenza del problema. Per una vulnerabilità attivamente sfruttata, è richiesto un rapporto finale non oltre 14 giorni dopo la disponibilità di una misura correttiva o mitigante.
Gli incidenti gravi seguono una scadenza finale diversa. I produttori hanno un mese dopo la presentazione della notifica di 72 ore per fornire il rapporto finale.
Per gestire il processo, l’Agenzia dell’Unione Europea per la Cybersicurezza (ENISA) ha lanciato una Piattaforma Unica di Segnalazione. Le aziende possono utilizzare il sistema per inviare una notifica unica invece di segnalare separatamente lo stesso evento a più autorità nazionali.
Il produttore seleziona il Team nazionale di Risposta agli Incidenti di Sicurezza Informatica appropriato, che funge da coordinatore durante la presentazione di un rapporto. La notifica viene contemporaneamente resa disponibile a ENISA, mentre le informazioni rilevanti possono poi essere distribuite ad altri team nazionali dove il prodotto interessato è disponibile.
Gli obblighi possono anche riguardare aziende con sede al di fuori dell’Unione Europea se rendono disponibili prodotti digitali coperti sul mercato UE.
Il sistema di segnalazione CRA è progettato per fornire alle autorità informazioni anticipate sulle vulnerabilità già sfruttate dagli attaccanti e su gravi incidenti di sicurezza che potrebbero mettere a rischio gli utenti. Crea inoltre tempistiche significativamente più strette per i produttori che in passato potevano gestire tali divulgazioni principalmente tramite procedure interne.
Le aziende possono affrontare contemporaneamente obblighi ai sensi di altre regole europee, tra cui NIS2 o il Regolamento Generale sulla Protezione dei Dati, a seconda delle circostanze. La segnalazione di un evento ai sensi della CRA non sostituisce automaticamente tali requisiti separati.
La scadenza di settembre rappresenta una fase iniziale nell’implementazione del Cyber Resilience Act. La maggior parte dei requisiti più ampi della legislazione, inclusi gli obblighi che riguardano la progettazione, la manutenzione e l’aggiornamento della cybersecurity dei prodotti digitali, diventeranno applicabili l’11 dicembre 2027.