Dall'11 settembre 2026 è diventata applicabile una delle prime componenti operative del Cyber Resilience Act: gli obblighi di segnalazione previsti dall'articolo 14 del Regolamento (UE) 2024/2847.
ENISA ha contestualmente reso operativa la Single Reporting Platform (SRP), attraverso la quale vengono effettuate le notifiche previste dal Regolamento.
Non siamo ancora alla piena applicazione del CRA, prevista dall'11 dicembre 2027.
Per i fabbricanti interessati dal Regolamento, però, il reporting è già una realtà.
E le tempistiche previste fanno emergere una questione che va oltre l'adempimento formale: essere in grado di capire rapidamente che cosa sta accadendo e attivare le persone giuste.
Cosa deve essere segnalato
L'articolo 14 individua due situazioni principali.
La prima riguarda le vulnerabilità attivamente sfruttate contenute nei prodotti con elementi digitali delle quali il fabbricante venga a conoscenza.
La seconda riguarda gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto con elementi digitali.
In entrambi i casi il CRA stabilisce un processo di reporting articolato in più momenti.
Le prime 24 ore
Per una vulnerabilità attivamente sfruttata il fabbricante deve presentare una notifica di preallarme senza indebito ritardo e, in ogni caso, entro 24 ore dal momento in cui ne è venuto a conoscenza.
Entro 72 ore deve seguire la successiva notifica contenente le ulteriori informazioni previste dal Regolamento, salvo quelle eventualmente già comunicate.
Successivamente è prevista una relazione finale entro 14 giorni dalla messa a disposizione di una misura correttiva o di attenuazione.
Una scansione temporale analoga riguarda gli incidenti gravi che incidono sulla sicurezza del prodotto: preallarme entro 24 ore e notifica dell'incidente entro 72 ore. Per questi eventi è inoltre prevista una relazione finale entro un mese dalla notifica delle 72 ore.
La Single Reporting Platform
Le notifiche vengono trasmesse attraverso la Single Reporting Platform istituita dal CRA e gestita da ENISA.
La piattaforma è diventata operativa l'11 settembre 2026.
Il sistema consente di effettuare il reporting attraverso un unico punto di accesso: la notifica viene indirizzata al CSIRT designato come coordinatore secondo le regole previste dal Regolamento ed è resa accessibile anche a ENISA, secondo il meccanismo disciplinato dal CRA.
ENISA ha inoltre predisposto FAQ, manuali e materiali di supporto per l'utilizzo della piattaforma.
Il problema non inizia quando si apre la piattaforma
È qui che, dal nostro punto di vista, emerge la parte più interessante.
Avere una piattaforma sulla quale effettuare la segnalazione non significa necessariamente essere pronti a rispettare il CRA.
Prima della notifica deve infatti verificarsi una sequenza di attività interne.
- Qualcuno deve rilevare l'evento.
- Deve essere compreso che cosa è accaduto.
- Deve essere valutato se l'evento rientra nelle fattispecie rilevanti ai fini del CRA.
- Devono essere coinvolte le funzioni competenti.
- Devono essere raccolte le informazioni disponibili.
- Infine, qualcuno deve assumersi la responsabilità di effettuare la segnalazione.
Con una prima scadenza che può arrivare entro 24 ore dalla conoscenza dell'evento, improvvisare questo processo dopo l'incidente rappresenta un evidente elemento di criticità organizzativa.
Questa non è una prescrizione ulteriore del CRA: è una conseguenza operativa delle tempistiche stabilite dal Regolamento.
Dal reporting alla governance
Per questo motivo l'entrata in applicazione dell'articolo 14 può essere utilizzata anche come occasione per verificare la maturità dei processi di vulnerability e incident management.
Il tema non riguarda soltanto la funzione IT.
A seconda dell'organizzazione possono essere coinvolti cybersecurity, product security, sviluppo, compliance, legal, management e soggetti esterni.
Diventa quindi utile stabilire preventivamente almeno:
- chi riceve e qualifica le segnalazioni;
- chi valuta la rilevanza dell'evento ai fini CRA;
- quali sono i criteri di escalation;
- quali funzioni devono essere coinvolte;
- chi è responsabile della notifica;
- quali informazioni devono essere raccolte;
- come vengono documentate le decisioni assunte.
In altre parole, la scadenza normativa dovrebbe essere tradotta in un processo organizzativo.
Il CRA non è ancora pienamente applicabile
È importante evitare un equivoco.
L'11 settembre 2026 non rappresenta la data di piena applicazione del Cyber Resilience Act.
Il CRA diventerà pienamente applicabile dall'11 dicembre 2027, fatte salve le disposizioni per le quali il Regolamento stabilisce date differenti.
Gli obblighi di reporting dell'articolo 14 costituiscono una di queste anticipazioni.
Questo significa che le organizzazioni interessate hanno contemporaneamente due attività da gestire: rispettare gli obblighi di reporting già applicabili e proseguire il percorso verso la piena applicazione del Regolamento.
Verifica operativa
Per capire se l'organizzazione è pronta, si può partire da cinque domande.
1. Abbiamo identificato i prodotti con elementi digitali che rientrano nel perimetro CRA?
2. Chi stabilisce se una vulnerabilità o un incidente deve essere sottoposto a valutazione ai fini dell'articolo 14?
3. Esiste un processo di escalation con responsabilità chiaramente assegnate?
4. In caso di evento rilevante, riusciremmo concretamente ad attivare il processo di reporting entro le prime 24 ore?
5. Le persone coinvolte conoscono la Single Reporting Platform e le informazioni necessarie nelle diverse fasi della notifica?
Se una o più risposte non sono chiare, il problema probabilmente non è la compilazione della segnalazione.
È il processo che viene prima.
E-Digit supporta le organizzazioni nell'analisi dei requisiti di cybersecurity governance e nella definizione di processi, responsabilità e controlli coerenti con il quadro normativo applicabile.Inizia a scrivere qui...