Piattaforma unica ENISA: come segnala un fabbricante
Dall'11 settembre 2026 le segnalazioni previste dal Cyber Resilience Act (CRA) si inviano da un solo posto: la piattaforma unica di segnalazione gestita da ENISA, l'agenzia europea per la cibersicurezza. Questo articolo spiega chi si registra e quando, a quale CSIRT va la notifica e che cosa si compila nei tre passaggi. Con un caso concreto.
In sintesi
- la piattaforma è in esercizio dall'11 settembre 2026, solo in inglese, e le notifiche si compilano a mano;
- si registra una persona, non l'azienda: il «rappresentante assegnato» entra con un account EU Login a due fattori e associa il fabbricante;
- ENISA consiglia di registrarsi solo quando serve inviare una notifica; con l'account già pronto sono sufficienti pochi minuti;
- si segnala una volta sola, al CSIRT dello Stato membro in cui si decidono le questioni di sicurezza dei prodotti: per un fabbricante italiano è il CSIRT Italia dell'ACN.
Funzione e limiti della piattaforma
L'articolo 16 del regolamento (UE) 2024/2847 affida a ENISA una piattaforma unica attraverso cui i fabbricanti adempiono all'obbligo dell'articolo 14: segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti con elementi digitali. È in esercizio dall'11 settembre 2026, il giorno in cui l'obbligo è diventato applicabile.
Non è un portale di conformità, non registra i prodotti e non sostituisce la valutazione del fabbricante. Riceve il preallarme, la notifica e la relazione finale, oggi solo quelli obbligatori: la segnalazione volontaria dell'articolo 15 arriverà in una fase successiva.
La registrazione del rappresentante assegnato
La piattaforma conosce persone, non aziende. Chi accede è il «rappresentante assegnato» (Assigned Representative) e lo fa con un account personale EU Login, il sistema di accesso ai servizi della Commissione, con autenticazione a due fattori obbligatoria.
- Il rappresentante primario è uno per fabbricante: al primo accesso sceglie il CSIRT coordinatore, inserisce i dati dell'azienda e crea l'associazione.
- I rappresentanti secondari, fino a 20, entrano su invito del primario. Tutti vedono e aggiornano le notifiche del fabbricante; le bozze restano a chi le ha create.
- La verifica dell'associazione la fa il CSIRT coordinatore, con una procedura che varia da Stato a Stato. Non blocca il lavoro: un rappresentante non ancora verificato può inviare fino a 20 notifiche.
Sul momento della registrazione ENISA è esplicita: conviene farla quando serve inviare una notifica, per non caricare i CSIRT di verifiche inutili. Quello che si prepara prima è l'account EU Login con il secondo fattore attivo, per le persone che potrebbero dover segnalare. Senza quell'account, le prime ore delle 24 se ne vanno in una procedura amministrativa.
A quale CSIRT va la notifica
Il fabbricante sceglie il CSIRT designato come coordinatore nello Stato membro del suo stabilimento principale, cioè dove si prendono le decisioni di cibersicurezza sui prodotti. Se non è determinabile, vale lo stabilimento con più addetti nell'Unione. Per chi non ha sede nell'Unione contano, nell'ordine, rappresentante autorizzato, importatore, distributore e utilizzatori.
Per un'azienda italiana il coordinatore è il CSIRT Italia, dentro l'Agenzia per la Cybersicurezza Nazionale (ACN). La scelta conta: una notifica inviata al CSIRT sbagliato può essere invalidata e va ripresentata. Il coordinatore la inoltra ai CSIRT degli Stati in cui il prodotto è disponibile e, se necessario, alle autorità di vigilanza del mercato; ENISA la riceve nello stesso momento.
I tre passaggi e il loro contenuto
| Passaggio | Termine | Che cosa contiene |
|---|---|---|
| Preallarme | Entro 24 ore da quando ne vieni a conoscenza | Il fatto essenziale: vulnerabilità sfruttata o incidente grave, prodotto interessato, Stati membri in cui è disponibile, eventuali circostanze eccezionali |
| Notifica | Entro 72 ore | Prima valutazione: natura della vulnerabilità, identificativo CVE o EUVD, prodotti e versioni, gravità, misure correttive o di attenuazione disponibili |
| Relazione finale | Entro 14 giorni dalla disponibilità della correzione (un mese dopo la notifica per gli incidenti gravi) | Descrizione completa, causa probabile, misure adottate, impatto |
Il glossario di ENISA elenca i campi uno per uno, con l'indicazione se sono obbligatori o facoltativi. Un dettaglio delle prime settimane: il contatore delle 72 ore della piattaforma parte 48 ore dopo il preallarme, non dalla conoscenza del fatto. ENISA ha annunciato la correzione; fa fede il termine del regolamento.
Un caso concreto
I dati sono di fantasia. Un fabbricante ligure di gateway per impianti riceve giovedì alle 9 l'avviso del fornitore del modulo di accesso remoto: una vulnerabilità del firmware è usata in attacchi contro impianti di clienti. Entro le 10 il responsabile tecnico ha confrontato l'avviso con la SBOM (Software Bill of Materials), la distinta base del software, dei tre modelli in catalogo: il modulo è in due, esposto in rete in entrambi. La vulnerabilità è attivamente sfruttata nel prodotto: scatta l'articolo 14.
- Giovedì, ore 11. La responsabile qualità, che ha già l'account EU Login con il secondo fattore, entra come rappresentante primario, sceglie il CSIRT Italia e inserisce i dati dell'azienda. Venti minuti.
- Giovedì, ore 12. Preallarme: vulnerabilità sfruttata, i due modelli, Italia, Germania e Francia come mercati, nessuna circostanza eccezionale. Il registro interno annota chi ha deciso e quando.
- Venerdì. Il fornitore pubblica il firmware corretto; il fabbricante lo verifica e prepara la nota per i clienti.
- Sabato, ore 10. Notifica delle 72 ore: identificativo CVE, versioni interessate, gravità, correzione disponibile con le istruzioni di aggiornamento. Avviso ai clienti lo stesso giorno.
- Entro 14 giorni dalla correzione. Relazione finale, nuova SBOM per la versione corretta, evidenze archiviate.
Senza la SBOM il passaggio delle 10 sarebbe stato una ricerca a mano tra distinte e firmware; senza l'account pronto, la registrazione avrebbe aspettato l'attivazione del secondo fattore.
Quattro punti da conoscere in anticipo
- Lingua e interfaccia. La piattaforma è solo in inglese e non ha un'interfaccia automatica: le notifiche si inseriscono a mano. La scheda informativa di ENISA è tradotta in italiano, le guide no.
- Nessun effetto retroattivo. Uno sfruttamento di cui eri a conoscenza prima dell'11 settembre 2026 non va segnalato; uno scoperto dopo sì, anche se la vulnerabilità era già nota.
- Circostanze eccezionali. Per ragioni di cibersicurezza giustificate il CSIRT può ritardare la diffusione della notifica, anche su richiesta del fabbricante, nei casi dell'articolo 16, paragrafo 2. La richiesta si fa entro le 72 ore.
- Piattaforma non raggiungibile. Si attende il ripristino e si invia appena possibile. Se serve una comunicazione immediata si contatta il CSIRT, ma la notifica va comunque inserita nella piattaforma.
Il ruolo di Assiduo e quello del fabbricante
La notifica la invia il fabbricante: è una sua decisione e una sua responsabilità, e Assiduo non entra nella piattaforma al posto tuo. Quello che fa è portarti a quel momento con le risposte pronte: l'avviso confrontato con le SBOM dei prodotti seguiti, il caso aperto con prodotti e versioni, la valutazione di chi conosce il prodotto, le evidenze in ordine. I campi della notifica delle 72 ore sono gli stessi che il caso contiene.
Domande frequenti
Devo registrarmi subito, anche se non ho nulla da segnalare?
No. ENISA consiglia di registrarsi quando serve inviare una notifica. Quello che conviene preparare adesso è l'account EU Login con il secondo fattore per due o tre persone, e la decisione su chi sarà il rappresentante primario.
Sono un importatore o un distributore: posso usare la piattaforma?
No. Oggi possono inviare notifiche solo i fabbricanti; una segnalazione da altri soggetti può essere marcata come non valida. Importatori e distributori informano il fabbricante e, se necessario, il CSIRT nazionale per le vie ordinarie.
Chi mi aiuta se ho un dubbio sulla piattaforma?
ENISA ha un servizio di assistenza per posta elettronica, pensato anche per le piccole e medie imprese, un manuale, un glossario dei campi e un video. Per i dubbi sul merito valgono gli orientamenti della Commissione.
Da dove cominciare
Per usare la piattaforma servono due cose che non si improvvisano in 24 ore: sapere che cosa c'è nei prodotti venduti e un processo che porti l'avviso alla persona giusta. Il configuratore di Assiduo parte da qui: quanti prodotti, quante SBOM, a che punto sei. È gratuito, non chiede di caricare file e mostra il risultato prima della registrazione.
Fonti: regolamento (UE) 2024/2847, articoli 14, 15, 16, 24 e 71; ENISA, pagina della piattaforma unica di segnalazione (CRA Single Reporting Platform), domande frequenti, guida alla registrazione del rappresentante assegnato (10 settembre 2026), glossario ed elenco dei CSIRT designati come coordinatori (10 settembre 2026); Commissione europea, pagina sugli obblighi di segnalazione del CRA (11 settembre 2026) e orientamenti C(2026) 5252 del 27 luglio 2026, sezione 9.1; regolamento delegato della Commissione dell'11 dicembre 2025 sulle circostanze eccezionali. Consultate il 30 ottobre 2026. Leggi anche: la procedura di segnalazione passo per passo, vulnerabilità attivamente sfruttata, PSIRT in una PMI.