Un Orologio di 24 Ore Parte in Tutta l'UE l'11 Settembre
Il Cyber Resilience Act dell'UE raggiunge la sua prima scadenza di segnalazione effettiva l'11 settembre 2026. Da quella data, qualsiasi produttore che venda un prodotto con elementi digitali sul mercato dell'UE deve segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi entro una scadenza rigida, non secondo il criterio del massimo impegno possibile. La pagina ufficiale della Commissione Europea sulla segnalazione precisa che l'obbligo copre allo stesso modo hardware e software, e si estende ai prodotti più vecchi o persino non più supportati che restano disponibili sul mercato UE, non solo alle linee di prodotto attuali.
La copertura di Börse Express sull'avvio conferma sia la data sia la portata, descrivendo l'11 settembre come il momento in cui i primi obblighi concreti di notifica del Cyber Resilience Act diventano esigibili invece che teorici. Un produttore che ha trattato finora il CRA come un progetto di conformità futuro ha ora una finestra misurata in giorni per completare un vero processo di segnalazione.
Tre Scadenze Seguono il Primo Allarme
L'analisi di Freshfields descrive la sequenza esatta che un produttore deve rispettare non appena raggiunge "un ragionevole grado di certezza" che un prodotto presenti una vulnerabilità attivamente sfruttata o abbia subito un incidente grave. Un avviso iniziale è dovuto entro 24 ore, una notifica completa entro 72 ore, e un rapporto finale entro 14 giorni per una vulnerabilità o un mese per un incidente. Nessuna di queste finestre si ferma nel weekend o in un giorno festivo, quindi una vulnerabilità scoperta un venerdì sera richiede comunque un avviso iniziale entro sabato sera.
| Fase | Scadenza dal "ragionevole grado di certezza" | Cosa e richiesto |
|---|---|---|
| Avviso iniziale | 24 ore | Notifica iniziale che un prodotto è coinvolto |
| Notifica completa | 72 ore | Dettaglio tecnico più ampio su vulnerabilità o incidente |
| Rapporto finale, vulnerabilità | 14 giorni | Rapporto completo una volta compreso il problema |
| Rapporto finale, incidente | 1 mese | Rapporto completo una volta compreso il problema |
La finestra iniziale così compressa è il vero punto dolente operativo di questo impianto. Ventiquattro ore lasciano poco margine per improvvisare: senza qualcuno già designato per redigere e inviare l'avviso prima che avvenga un incidente, quella scadenza è difficile da rispettare a posteriori.
Le Segnalazioni Passano Da ENISA e Dai CSIRT Nazionali
Il meccanismo di invio è al centro del nuovo obbligo. La pagina di segnalazione della Commissione Europea descrive una nuova Single Reporting Platform a livello UE, costruita da ENISA, come punto di ingresso: il produttore invia la segnalazione lì, questa raggiunge il CSIRT nazionale del produttore, e quel CSIRT la inoltra a ENISA e ai CSIRT di qualsiasi altro Stato membro dell'UE il cui mercato sia raggiunto anche dal prodotto interessato.
Ogni passaggio di questa catena avviene all'interno delle istituzioni dell'UE, dal CSIRT nazionale che riceve per primo la segnalazione al ruolo di coordinamento di ENISA tra gli Stati membri. Un produttore che venda lo stesso prodotto in più paesi UE può aspettarsi che la sua segnalazione circoli tra vari CSIRT nazionali invece che tramite un'unica autorità centrale.
Un Sistema Parallelo Costruito Dentro l'UE
Questa scelta progettuale è la vera storia dietro la data dell'11 settembre. Da decenni, il sistema CVE e NVD gestito dal governo statunitense funziona come il registro globale di fatto di cosa è vulnerabile e quando, il registro che i team di sicurezza in tutto il mondo controllano per primo, indipendentemente da dove un prodotto venga realizzato o venduto. La Single Reporting Platform non alimenta quel sistema statunitense; è un canale separato, costruito da ENISA, che produce un proprio registro all'interno della rete di CSIRT dell'UE.
Questo rende il regime di segnalazione del Cyber Resilience Act un pezzo di infrastruttura di sovranità digitale con una scadenza di conformità allegata, che dà all'UE la capacità istituzionale di sapere, con autorità propria e dentro i propri sistemi, cosa è vulnerabile tra i prodotti venduti sul suo mercato, indipendentemente dal fatto che la stessa informazione raggiunga mai un database americano.
Ora Corrono Due Orologi Su Ogni Incidente
Ogni fornitore con hardware o software sul mercato UE o britannico porta ora due obblighi separati sulla stessa scoperta. Uno è il ritmo di segnalazione che il settore ha costruito attorno all'ecosistema CVE e NVD centrato sugli Stati Uniti nell'arco degli ultimi due decenni e mezzo. L'altro è l'orologio di preallarme di 24 ore dell'UE, più rigido della prassi tipica del settore e indifferente a fusi orari, weekend o a quale squadra sia di turno.
L'analisi di Freshfields segnala la tensione pratica che questo genera: le finestre compresse richiedono un processo di escalation costruito e provato in anticipo, e si sommano a obblighi di segnalazione che molte di quelle stesse aziende già portano sotto NIS2 e GDPR. Mancare la finestra di 24 ore dell'UE è ora una violazione di conformità nell'UE a se stante, separata e aggiuntiva rispetto a quanto rapidamente un'azienda segnali lo stesso problema altrove.
Servola Journal
Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.
Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.
Da leggere ora: L'IA Aperta Europea Dipende da un'Unica Azienda | Il Nuovo Guardiano IA di Berlino Non Morde Ancora
