24 Ore Per Segnalare, Senza Prove Prima

Una Scadenza Che Non Aspetta Il Proprio Strumento

Dall'11 settembre 2026, ogni produttore che vende nell'UE un prodotto con elementi digitali deve segnalare una vulnerabilità sfruttata attivamente entro 24 ore dal momento in cui ne viene a conoscenza, secondo l'articolo 14 del Cyber Resilience Act. Le linee guida della Commissione Europea, pubblicate a marzo 2026, fissano la soglia della conoscenza a un ragionevole grado di certezza che lo sfruttamento sia in corso, non a un'indagine forense conclusa. Un'indagine ancora aperta non è, nelle parole stesse della Commissione, in linea di principio una scusa valida per aver mancato la scadenza di 24 ore.

L'unico canale per quella segnalazione, la Single Reporting Platform dell'ENISA, diventa pienamente operativo solo lo stesso giorno in cui l'obbligo entra in vigore. Al 29 giugno 2026 la piattaforma non era ancora attiva, secondo il tracker di conformità cyberresilienceact.eu, e le FAQ ufficiali dell'ENISA sullo strumento descrivono test utente e di sicurezza svolti prima del lancio, con ulteriori verifiche e nuovi test previsti in futuro se necessario. Una scadenza legale senza alcun margine incontra, lo stesso identico giorno, uno strumento di segnalazione senza alcuna storia di traffico reale di incidenti.

La Copertura Va Oltre Il Lancio Di Un Nuovo Prodotto

L'obbligo va ben oltre l'hardware appena certificato nell'UE. L'analisi legale di Crowell and Moring conferma che il Cyber Resilience Act si applica ai produttori dentro e fuori dall'UE che commercializzano prodotti connessi sul mercato europeo, e che i produttori extra-UE sono ugualmente e pienamente soggetti al regolamento, inclusa la segnalazione dell'articolo 14. Questo include i produttori britannici che esportano verso l'UE: le regole britanniche sulla sicurezza dei prodotti seguono un binario separato, ma non esentano da questa scadenza un router o una fotocamera fabbricati nel Regno Unito e venduti a un cliente dell'UE. L'obbligo non guarda nemmeno all'età del prodotto, solo al fatto che venga ancora venduto oggi a un acquirente dell'UE.

La categoria coperta è volutamente ampia: dispositivi per la smart home, sistemi di controllo industriale, sistemi operativi, router, firewall, gestori di password, software VPN, dispositivi indossabili con monitoraggio della salute e gateway per contatori intelligenti rientrano tutti tra i prodotti con elementi digitali. I prodotti regolati da normative settoriali, come dispositivi medici, equipaggiamenti aeronautici e veicoli a motore, restano esclusi perchè rispondono già a propri regimi di segnalazione, così come il software open source non fornito in ambito commerciale, il SaaS autonomo e i prodotti costruiti esclusivamente per la difesa nazionale. Tutto il resto che si collega a una rete e raggiunge un cliente dell'UE rientra nell'ambito, che il produttore abbia sede a Monaco o nel Michigan.

L'Orologio, In Ore E In Euro

Si applica la cifra più alta tra le due, e le autorità dispongono di una seconda leva oltre alla multa: possono ordinare misure correttive, limitare o vietare la vendita di un prodotto non conforme, oppure imporre direttamente il ritiro dal mercato UE. Per un produttore con ricavi UE nell'ordine dei miliardi, è la clausola percentuale sul fatturato, non la cifra fissa in euro, il numero che fa davvero male.

Cosa Riduce Il Rischio Prima Dell'11 Settembre

Le indicazioni di preparazione di Crowell and Moring riducono la lista pre-scadenza a pochi passi concreti: identificare il CSIRT nazionale che riceverà le segnalazioni del produttore, mettere in atto un monitoraggio continuo su feed di threat intelligence e database delle vulnerabilità, imporre per contratto ai fornitori di componenti a monte di segnalare debolezze note e attivamente sfruttate, e integrare la tempistica del CRA nei piani di risposta agli incidenti già esistenti per NIS2 e GDPR, così che i team di sicurezza informatica, legale, prodotto e comunicazione sappiano già chi ha l'autorità per presentare la segnalazione. Mantenere un elenco aggiornato dei componenti software fa parte della stessa lista, perchè un produttore che non sa quale prodotto usi quale componente non può valutare l'esposizione entro 24 ore. In Italia, il CSIRT nazionale di riferimento è il CSIRT Italia, gestito dall'Agenzia per la Cybersicurezza Nazionale.

Un dettaglio sta sotto tutti questi consigli e premia chi agisce presto invece che il giorno stesso della scadenza. Le linee guida dell'ENISA, pubblicate il 14 agosto 2026, limitano gli account non verificati sulla Single Reporting Platform a 10 notifiche, e la verifica dell'account non è immediata. Un produttore che rimanda la registrazione al primo incidente reale trasforma un portale web nuovo, non verificato e privo di API nell'unico canale per una scadenza di 24 ore giuridicamente vincolante. Registrare e verificare l'account adesso, quando non c'è ancora nulla da segnalare, è l'unico passo che non costa nulla ed elimina un rischio del tutto evitabile.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.

Da leggere ora: Il Prossimo Zero-Day di Chrome Finisce a Bruxelles  |  L'UE valuterà da sé l'IA di frontiera