TL;DR — Dall’11 settembre 2026 l’articolo 14 del Cyber Resilience Act (Regolamento UE 2024/2847) obbliga i produttori di prodotti con elementi digitali a segnalare vulnerabilità attivamente sfruttate e incidenti gravi: allarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro 14 giorni. Tutto passa dalla Single Reporting Platform di ENISA, che a fine luglio 2026 ha pubblicato solo ora le prime guide di registrazione: il processo interno va costruito subito, senza aspettare che lo strumento sia rodato.
Qualche settimana fa un cliente che sviluppa firmware per dispositivi IoT industriali mi ha chiesto se il Cyber Resilience Act fosse “un problema del 2027”, come gli avevano detto in una fiera di settore. Gli ho mostrato la pagina ufficiale della Commissione Europea: l’articolo 14, quello sull’obbligo di segnalare vulnerabilità sfruttate e incidenti gravi, si applica dall’11 settembre 2026, non tra un anno e mezzo. Il grosso del regolamento — marcatura CE, fascicolo tecnico, requisiti di progettazione — arriva davvero l’11 dicembre 2027. Ma il primo banco di prova, quello con l’orologio che parte da zero appena scopri il problema, è a poche settimane da qui. E lo strumento che dovrebbe raccoglierlo, la piattaforma ENISA, è arrivato al traguardo con il fiato corto.
Cos’è il Cyber Resilience Act e perché l’11 settembre 2026 non è una data qualsiasi
Il Cyber Resilience Act (CRA), formalmente Regolamento (UE) 2024/2847, è la prima normativa europea che impone requisiti obbligatori di cybersicurezza per tutti i prodotti con elementi digitali — hardware, software, firmware, dispositivi IoT — venduti nel mercato UE, in vigore dal 10 dicembre 2024 (Commissione Europea, digital-strategy.ec.europa.eu, 2026). La piena applicazione, con marcatura CE cyber e requisiti essenziali di progettazione, scatta l’11 dicembre 2027. Ma il regolamento ha previsto due scadenze anticipate proprio per non far trovare impreparato nessuno quando arriverà il resto: la notifica degli organismi di valutazione della conformità dall’11 giugno 2026, e l’obbligo di segnalazione delle vulnerabilità dell’articolo 14 dall’11 settembre 2026.
Quest’ultima è la scadenza che riguarda concretamente chiunque produca, importi o distribuisca prodotti digitali nel mercato europeo, indipendentemente dalle dimensioni dell’azienda. Non si tratta di dimostrare la conformità del prodotto — quello arriva dopo — ma di avere in piedi, già ora, un processo capace di rilevare una vulnerabilità attivamente sfruttata o un incidente grave e di segnalarlo entro tempi molto stretti. È il primo pezzo del CRA che produce effetti giuridici reali, sanzionabili, prima ancora che il grosso della norma sia pienamente operativo.
Cosa devo notificare esattamente e con quali tempistiche dall’11 settembre?
Dall’11 settembre 2026 devi notificare due sole categorie di eventi: vulnerabilità attivamente sfruttate nei tuoi prodotti e incidenti gravi che ne compromettono disponibilità, autenticità, integrità o riservatezza. La sequenza è a tre scadenze: allarme rapido entro 24 ore da quando ne vieni a conoscenza, notifica più completa entro 72 ore, relazione finale entro 14 giorni dalla disponibilità di una misura correttiva (Commissione Europea, digital-strategy.ec.europa.eu, 2026).
Il punto che spesso sfugge è cosa non rientra nell’obbligo: una vulnerabilità ordinaria che scopri e correggi prima che venga sfruttata resta nel normale processo di gestione delle vulnerabilità, non attiva questo canale (cyberresilienceact.eu, 2026). Il trigger è specifico — sfruttamento attivo comprovato o incidente con impatto grave — non ogni bug che trovi durante un test.
| Fase | Termine | Contenuto richiesto |
|---|---|---|
| Allarme rapido (early warning) | Entro 24 ore dalla consapevolezza | Prima segnalazione, incluso il sospetto di atti illeciti o dolosi |
| Notifica vulnerabilità/incidente | Entro 72 ore | Descrizione più completa, valutazione iniziale di gravità e impatto, eventuali misure adottate |
| Relazione finale | Entro 14 giorni (vulnerabilità) o 1 mese (incidenti gravi) | Descrizione completa, gravità, impatto, misura correttiva applicata |
Nella mia esperienza di chi ha seguito più di una migrazione normativa negli ultimi trent’anni, la parte che le aziende sottovalutano non è il “cosa scrivere” nella notifica, ma il “chi decide che è il momento di scriverla”. Se il processo interno di triage non è definito prima, le prime 24 ore se ne vanno tutte in riunioni per capire chi deve autorizzare l’invio — e il conto alla rovescia, come vedremo, non si ferma per questo.
Dove devo inviare la segnalazione e come funziona la Single Reporting Platform?
Devi inviare la segnalazione attraverso un unico canale elettronico, la Single Reporting Platform (SRP) gestita da ENISA, che instrada automaticamente la notifica al CSIRT designato come coordinatore nello Stato membro del tuo stabilimento principale e, simultaneamente, a ENISA stessa (ENISA, enisa.europa.eu, pagina ufficiale SRP, 2026). Non è previsto un canale alternativo equivalente: un’email diretta a un CSIRT nazionale non sostituisce la piattaforma.
Il CSIRT che riceve la notifica la diffonde senza ritardo agli altri CSIRT degli Stati membri dove il prodotto è disponibile. In casi eccezionali, per motivi di sicurezza specifici, può ritardarne la diffusione: un Regolamento delegato adottato dalla Commissione l’11 dicembre 2025 elenca i motivi ammessi, tra cui — significativamente — la possibilità che la piattaforma stessa sia temporaneamente compromessa o non disponibile (ICT Security Magazine, 17 giugno 2026). È un dettaglio che dice molto: la norma stessa tratta l’infrastruttura di raccolta delle vulnerabilità sfruttate come una superficie di rischio da proteggere, non solo come un registro amministrativo.
Il problema pratico, arrivati a questo punto della finestra, è che la piattaforma è stata pubblicamente non ancora operativa fino a tarda primavera: a fine giugno 2026 la guida indipendente cyberresilienceact.eu segnalava che “as of 29 June 2026, that platform is not yet live” (cyberresilienceact.eu, 29 giugno 2026). ENISA ha iniziato a pubblicare le prime guide operative per i rappresentanti designati dei produttori solo il 31 luglio 2026, con le FAQ ufficiali aggiornate il 3 agosto 2026 — a poco più di un mese dalla scadenza (ENISA, FAQ CRA SRP, aggiornate 03/08/2026).
Cosa devo fare adesso se la piattaforma ENISA non è ancora del tutto rodata?
Devi costruire ora il processo interno di rilevamento e triage, indipendentemente dallo stato della piattaforma: identifica il CSIRT competente per il tuo stabilimento principale, definisci chi in azienda riconosce un evento segnalabile e chi autorizza l’invio, e prepara i contenuti di allarme, notifica e relazione finale secondo il ritmo 24-72 ore-14 giorni. La guida cyberresilienceact.eu lo dice senza mezzi termini: “waiting for the platform to appear is not a plan” (cyberresilienceact.eu, 29 giugno 2026).
Il motivo è semplice e, nella mia esperienza, il punto che spiazza di più chi si occupa di compliance per la prima volta: i termini di 24, 72 ore e 14 giorni partono dal momento in cui l’azienda viene a conoscenza dell’evento, non dal momento in cui la piattaforma diventa disponibile o dalla data di completamento della tua registrazione. Un produttore che rileva una vulnerabilità sfruttata attivamente nei giorni immediatamente prima o dopo l’11 settembre è comunque sull’orologio delle 24 ore, piattaforma pronta o meno.
- Identifica il CSIRT coordinatore di riferimento in base al tuo stabilimento principale nell’UE, o al tuo rappresentante autorizzato se sei fuori UE.
- Registrati per tempo con un account EU Login (ecas.ec.europa.eu) per i rappresentanti designati, prima che un evento reale ti costringa a farlo sotto pressione.
- Definisci il processo decisionale interno: chi riconosce l’evento, chi autorizza la notifica, chi la redige — prima che il tempo si consumi in escalation interne.
- Mantieni un inventario aggiornato dei componenti dei tuoi prodotti (idealmente un SBOM), perché non puoi segnalare tempestivamente una falla in un componente di cui non sai di aver distribuito.
Implicazioni pratiche per le PMI italiane
Per una PMI italiana che produce o integra software, firmware o dispositivi connessi, il CRA non è “un problema dei grandi vendor”: il regolamento coinvolge produttori, importatori e distributori di qualunque dimensione, e le sanzioni per la non conformità ai requisiti essenziali e agli obblighi di segnalazione arrivano fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo, se superiore (ICT Security Magazine, 6 maggio 2026, sulla base dell’art. 64 del Regolamento). Aspettare dicembre 2027 per iniziare a pensarci significa arrivare all’11 settembre 2026 completamente scoperti sul primo obbligo davvero sanzionabile.
C’è anche una sovrapposizione operativa da gestire fin da ora: chi è già soggetto NIS2 (si veda il nostro approfondimento sulle FAQ ACN sulla governance) probabilmente ha già un processo di notifica incidenti verso il CSIRT Italia con tempistiche simili (24-72 ore). La cosa più sensata, per chi rientra in entrambi i perimetri, è disegnare un unico flusso interno di rilevamento-triage-notifica che alimenti sia gli obblighi NIS2 sia quelli del CRA, evitando di duplicare processi e responsabilità su due binari paralleli con scadenze quasi identiche ma destinatari diversi.
FAQ
Il Cyber Resilience Act si applica già dall’11 settembre 2026 a tutti gli obblighi?
No. Dall’11 settembre 2026 si applica solo l’articolo 14, l’obbligo di segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi. Il grosso del regolamento — marcatura CE, requisiti di progettazione, fascicolo tecnico — diventa pienamente applicabile solo dall’11 dicembre 2027.
Devo segnalare ogni vulnerabilità che scopro nel mio prodotto?
No. L’obbligo riguarda solo le vulnerabilità per cui esiste prova affidabile di sfruttamento attivo da parte di un attore malevolo, e gli incidenti gravi che compromettono disponibilità, autenticità, integrità o riservatezza del prodotto. Una vulnerabilità che scopri e correggi prima che venga sfruttata segue il normale processo di gestione, non questo canale.
Cosa succede se la piattaforma ENISA non è pronta quando scopro una vulnerabilità sfruttata?
I termini di 24 ore, 72 ore e 14 giorni partono comunque dal momento in cui vieni a conoscenza dell’evento, indipendentemente dallo stato della piattaforma. ENISA ha dichiarato che la Single Reporting Platform sarà operativa entro l’11 settembre 2026, ma il consiglio delle guide ufficiali è di costruire fin da ora il processo interno e non aspettare lo strumento.
A chi va inviata la segnalazione prevista dall’articolo 14?
Alla Single Reporting Platform gestita da ENISA, che instrada automaticamente la notifica al CSIRT designato come coordinatore nello Stato membro del tuo stabilimento principale e, simultaneamente, a ENISA. Non è prevista una modalità di invio diretto equivalente alle singole autorità nazionali.
Conclusioni
L’11 settembre 2026 non è la scadenza “importante” del Cyber Resilience Act — quella arriva nel dicembre 2027 — ma è la prima che produce un obbligo legale concreto, con un orologio che parte dal momento della scoperta e non aspetta nessuno, nemmeno la piattaforma che dovrebbe raccoglierlo. Nella mia esperienza, le normative che sembrano “ancora lontane” sono proprio quelle che finiscono per cogliere impreparate le aziende medie e piccole, perché la comunicazione pubblica si concentra sulla scadenza più grande e trascura quella intermedia. Chi produce, importa o distribuisce prodotti con elementi digitali in Europa ha poche settimane per avere un processo interno di rilevamento e notifica pronto — non perfetto, ma pronto — prima che un evento reale lo metta alla prova sotto pressione.
Riferimenti
Fonti verificate al 12 agosto 2026.
- [A] ENISA (2026). Single Reporting Platform (SRP). enisa.europa.eu/topics/product-security/single-reporting-platform-srp. Guide per rappresentanti designati aggiornate al 31 luglio 2026.
- [A] ENISA (2026, 3 agosto). Frequently Asked Questions — CRA Single Reporting Platform. enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions.
- [A] Commissione Europea (2026). Cyber Resilience Act — Reporting obligations. digital-strategy.ec.europa.eu/en/policies/cra-reporting.
- [B] Oddini, M. (2026, 4 agosto). Cyber Resilience Act, primi obblighi dall’11 settembre 2026. 01net.it.
- [B] Redazione (2026, 17 giugno). Cyber Resilience Act: il rischio di sicurezza nascosto nell’obbligo di segnalazione che scatta a settembre. ICT Security Magazine.
- [B] Redazione (2026, 6 maggio). Cyber Resilience Act obblighi 2026: tutti gli adempimenti in vigore. ICT Security Magazine.
- [B] cyberresilienceact.eu (2026, 29 giugno). With Reporting Due on 11 September 2026, ENISA’s Single Reporting Platform Is Still Not Live. CRA Insights.
- [C] Borio, L. / Argos New Dreams (2026, 28 luglio). NIS2, le nuove FAQ ACN: cosa deve approvare il CdA (fonte autobiografica, continuità sul tema adempimenti di cybersicurezza).
- [C] Borio, L. / Argos New Dreams (2026, 27 luglio). Breaking news: dal 23 luglio 2026 Azure va giù per 5 ore mentre Entra ID passa ai passkey di default (fonte autobiografica, continuità sul tema incidenti e resilienza).
Contenuto a scopo divulgativo, generato con l’assistenza di AI. Richiede revisione umana prima della pubblicazione. Contatto: luca@borio.me.
Rispondi