Segnalare in 24 ore, 72 ore e 14 giorni: la procedura del Cyber Resilience Act per i fabbricanti
Dall'11 settembre 2026 il Cyber Resilience Act (CRA), regolamento (UE) 2024/2847, obbliga i fabbricanti di prodotti con elementi digitali a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale. L'obbligo vale anche per i prodotti già sul mercato. Questa guida spiega che cosa va segnalato, a chi, entro quando e che cosa conviene preparare prima. Non serve essere tecnici per seguirla.
Che cosa va segnalato, e che cosa no
L'articolo 14 del regolamento chiede di notificare due cose:
- ogni vulnerabilità attivamente sfruttata contenuta nel tuo prodotto, di cui vieni a conoscenza;
- ogni incidente grave che ha un impatto sulla sicurezza del tuo prodotto.
Una vulnerabilità è «attivamente sfruttata» quando esistono prove attendibili che qualcuno l'ha usata per colpire un sistema senza autorizzazione (articolo 3, punto 42).
Non va notificata ogni vulnerabilità che esce. Gli orientamenti della Commissione europea del 27 luglio 2026 lo chiariscono: se la falla riguarda un componente di terzi ma nel tuo prodotto non può essere sfruttata, per esempio perché la parte di codice interessata non è raggiungibile, l'obbligo di notifica non scatta. Resta però il dovere di valutarla e, quando serve, di correggerla.
Non c'è retroattività: non devi notificare sfruttamenti di cui eri già a conoscenza prima dell'11 settembre 2026.
I tre termini
| Passo | Vulnerabilità sfruttata | Incidente grave |
|---|---|---|
| Preallarme | Entro 24 ore da quando ne vieni a conoscenza | Entro 24 ore |
| Notifica completa | Entro 72 ore | Entro 72 ore |
| Relazione finale | Entro 14 giorni da quando è disponibile una correzione o una misura di attenuazione | Entro un mese dalla notifica |
Fonte: regolamento (UE) 2024/2847, articolo 14, paragrafi 2 e 4.
Da quando partono le 24 ore
Dal momento in cui «vieni a conoscenza» del problema: secondo gli orientamenti della Commissione, quando dopo una prima valutazione hai una ragionevole certezza che la vulnerabilità sia sfruttata o che l'incidente sia avvenuto. La prima valutazione va però fatta subito. Conviene annotare con data e ora ogni passaggio: quando è arrivata l'informazione, chi l'ha valutata, che cosa ha concluso.
Chi segnala, e a chi
Segnala il fabbricante
Importatori e distributori non notificano alle autorità: informano il fabbricante, senza indebito ritardo, delle vulnerabilità di cui vengono a conoscenza (articoli 19 e 20). Chi vende un prodotto con il proprio marchio è considerato fabbricante (articolo 21).
Sulla piattaforma ENISA
La notifica si invia tramite la piattaforma unica di segnalazione gestita da ENISA, l'agenzia europea per la cibersicurezza, operativa dall'11 settembre 2026. Arriva insieme a ENISA e al centro nazionale di risposta agli incidenti: per l'Italia, CSIRT Italia presso l'Agenzia per la Cybersicurezza Nazionale. Verifica sulle istruzioni ENISA come registrare chi segnala per la tua azienda, prima di averne bisogno.
E agli utilizzatori
Il regolamento chiede anche di informare gli utilizzatori interessati e, se serve, di indicare le misure che possono adottare (articolo 14, paragrafo 8).
Vale anche per i prodotti già venduti?
Sì. L'articolo 69, paragrafo 3, estende l'obbligo di segnalazione a tutti i prodotti che rientrano nel regolamento, compresi quelli immessi sul mercato prima dell'11 dicembre 2027. Gli orientamenti della Commissione aggiungono che l'obbligo continua anche dopo la fine del periodo di assistenza. È il punto più sottovalutato: per sapere se una vulnerabilità sfruttata ti riguarda, devi sapere quali componenti software ci sono nei prodotti che hai venduto negli anni.
Che cosa preparare prima
Le 24 ore sono poche se si parte da zero. Sei cose da avere pronte:
- L'elenco dei prodotti e delle versioni in circolazione, con un responsabile per ciascuno.
- L'elenco dei componenti software di ogni prodotto: la SBOM, la distinta base del software. Anche incompleta, è meglio di nulla.
- Le fonti da tenere d'occhio: banche dati pubbliche di vulnerabilità, avvisi dei fornitori, segnalazioni dei clienti.
- Chi decide. Una persona, con un sostituto, che stabilisce se un caso va notificato.
- Chi invia. Le persone autorizzate ad accedere alla piattaforma, con le credenziali già funzionanti.
- Un registro. Dove annotare, con data e ora, informazioni ricevute, valutazioni e decisioni.
Gli errori da evitare nei primi mesi
- Pensare che il CRA «parta nel 2027». La segnalazione è già obbligatoria.
- Notificare tutto, o nulla. Va notificato ciò che è attivamente sfruttato nel proprio prodotto. Serve una valutazione, caso per caso.
- Affidare tutto all'informatica aziendale. Qui si parla del prodotto, non della rete dell'ufficio. Servono chi conosce il prodotto e chi segue la conformità.
- Non lasciare traccia. Senza un registro datato è difficile dimostrare di aver agito in tempo.
Che cosa si rischia
Il regolamento prevede sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale per la violazione degli obblighi del fabbricante, compresa la segnalazione (articolo 64). Le micro e piccole imprese non sono sanzionate per il solo mancato rispetto del termine delle 24 ore; restano gli altri termini. In Italia il decreto che fisserà autorità, importi e procedure è in corso di adozione. La sola notifica non aumenta la responsabilità di chi la fa (articolo 17, paragrafo 4).
Domande frequenti
Devo segnalare ogni vulnerabilità pubblicata che riguarda un mio componente?
No. Va segnalata quella attivamente sfruttata nel tuo prodotto. Le altre vanno valutate e gestite, senza notifica obbligatoria.
Sono un importatore: devo notificare io?
No, a meno che tu venda il prodotto con il tuo marchio. Devi però informare il fabbricante senza ritardo.
Il mio prodotto non è più in assistenza. L'obbligo vale ancora?
Sì. Secondo gli orientamenti della Commissione, la segnalazione continua anche dopo la fine del periodo di assistenza.
Uno strumento può notificare al posto mio?
No. La decisione e l'invio restano del fabbricante o di chi è formalmente delegato. Uno strumento può aiutarti ad accorgerti in tempo e a preparare contenuti ed evidenze.
Da dove cominciare
Il primo passo è capire qual è il tuo perimetro: quali prodotti, quali ruoli, a che punto sei con la SBOM. Il configuratore di Assiduo parte da qui e in pochi minuti ti dà una forchetta di prezzo, o un invito a contattarci. È gratuito, non chiede la carta di credito né di caricare file, e vedi il risultato prima di registrarti.
Configura il tuo presidioFonti: regolamento (UE) 2024/2847, articoli 3, 14, 17, 19, 20, 21, 64 e 69; orientamenti della Commissione europea C(2026) 5252 del 27 luglio 2026; pagine ENISA sulla piattaforma unica di segnalazione.