Dall’11 settembre 2026 il Cyber Resilience Act (CRA) entra in una fase decisiva della propria applicazione. I produttori di prodotti con elementi digitali, indicati come PDE, devono infatti iniziare a rispettare specifici obblighi di segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi che compromettono la sicurezza dei loro prodotti. Si tratta di un passaggio anticipato rispetto alla piena applicazione della maggior parte degli obblighi del CRA, prevista per dicembre 2027.

Un aspetto particolarmente importante riguarda l’ambito temporale. Gli obblighi di reporting interessano infatti anche i prodotti con elementi digitali immessi sul mercato dell’Unione Europea prima della piena entrata in applicazione del regolamento. Per i produttori diventa quindi fondamentale avere già oggi procedure interne capaci di intercettare, classificare e gestire rapidamente gli eventi rilevanti.

L’articolo 14 del CRA identifica due categorie principali di eventi da notificare. La prima riguarda le vulnerabilità effettivamente sfruttate da un attaccante. Non è sufficiente, quindi, che una falla sia semplicemente scoperta o considerata potenzialmente pericolosa, ma devono esserci elementi attendibili che dimostrino il suo sfruttamento senza autorizzazione.

La seconda categoria comprende gli incidenti gravi che interessano la sicurezza di un prodotto. Rientrano in questo perimetro gli eventi capaci di compromettere la protezione di dati o funzionalità importanti, oppure quelli che hanno provocato, o possono provocare, l’introduzione o l’esecuzione di codice malevolo nel prodotto o nei sistemi degli utenti.

Cyber Resilience Act

Il fattore più delicato è rappresentato dalle tempistiche. La prima comunicazione deve essere effettuata entro 24 ore dal momento in cui il produttore acquisisce consapevolezza dell’evento, mentre entro 72 ore deve arrivare una notifica più dettagliata. Per una vulnerabilità sfruttata attivamente è prevista successivamente una relazione finale entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Nel caso di un incidente grave, invece, il rapporto conclusivo deve essere presentato entro un mese dalla notifica iniziale.

Le comunicazioni passeranno attraverso la Single Reporting Platform (SRP) predisposta a livello europeo e destinata a diventare operativa proprio l’11 settembre. L’ENISA ha già pubblicato indicazioni e FAQ dedicate al funzionamento della piattaforma e alle modalità di segnalazione.

Un elemento che può creare difficoltà operative riguarda l’avvio del conteggio. Secondo le indicazioni pubblicate dalla Commissione Europea il 27 luglio 2026, il termine decorre quando una prima valutazione permette di raggiungere un ragionevole grado di certezza sull’esistenza di una vulnerabilità sfruttata attivamente o di un incidente grave che abbia compromesso la sicurezza del prodotto. Il tempo, inoltre, continua a scorrere durante weekend e festività. Per questo un processo di gestione degli incidenti basato su approvazioni lente o responsabilità poco definite rischia di diventare rapidamente incompatibile con il CRA.

Le aziende dovrebbero quindi avere già predisposto canali specifici per ricevere segnalazioni, effettuare il triage tecnico, determinare la gravità dell’evento e coinvolgere rapidamente le funzioni responsabili. Serve soprattutto qualcuno che decida rapidamente se un episodio supera la soglia prevista dal regolamento, effettui la notifica e coordini le comunicazioni agli utenti interessati.

La complessità aumenta quando lo stesso incidente attiva contemporaneamente altri obblighi normativi. Le procedure CRA devono quindi essere coordinate con gli adempimenti previsti dalla NIS2 e dal GDPR, evitando duplicazioni e soprattutto ritardi dovuti alla gestione separata dei diversi flussi di segnalazione.

(Immagine in apertura: Shutterstock)