Cyber Resilience Act: obblighi di segnalazione dall'11 settembre

Venerdì 11 settembre 2026 entra in applicazione l'articolo 14 del Cyber Resilience Act. È la prima scadenza del regolamento che produce obblighi concreti e sanzionabili, e arriva con oltre un anno di anticipo rispetto all'applicazione piena prevista per l'11 dicembre 2027.

Da quella data i fabbricanti di prodotti con elementi digitali devono segnalare alle autorità le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i propri prodotti. Non è un adempimento documentale da preparare con calma: è un processo che deve essere già in piedi quando serve, perché i tempi si contano in ore.

Cosa scatta esattamente

L'obbligo si attiva quando il fabbricante viene a conoscenza di una vulnerabilità del proprio prodotto che risulta attivamente sfruttata, oppure di un incidente grave che comprometta riservatezza, integrità o disponibilità del prodotto. La segnalazione passa dalla piattaforma unica gestita da ENISA e arriva al CSIRT nazionale competente, che in Italia risponde ad ACN.

I tempi previsti sono tre, e sono stretti:

• 24 ore per l'allarme rapido
• 72 ore per la notifica completa, con la descrizione della vulnerabilità e delle misure correttive adottate
• 14 giorni per il rapporto finale sulle vulnerabilità sfruttate (un mese nel caso degli incidenti gravi)

Ventiquattro ore significa che il presidio deve funzionare anche di venerdì sera e ad agosto. Servono un canale di ricezione delle segnalazioni, qualcuno che valuti se una vulnerabilità è effettivamente sfruttata, e una procedura già scritta su chi notifica e con quali credenziali. Micro e piccole imprese non sono sanzionabili per il solo ritardo sull'allarme rapido, ma tutti gli altri obblighi di notifica restano pieni.

Un punto spesso trascurato: questi obblighi si applicano anche ai prodotti già in commercio. Il resto del regolamento riguarda i prodotti immessi sul mercato dall'11 dicembre 2027, ma le segnalazioni valgono da subito sul parco installato.

E se non sei un fabbricante ma un rivenditore?

L'articolo 14 si rivolge ai fabbricanti, quindi un distributore non ha l'obbligo di notifica in prima persona. Ha però un problema pratico immediato: se un prodotto che ha venduto presenta una vulnerabilità sfruttata, il primo a saperlo è quasi sempre il cliente finale, e la prima telefonata arriva a chi ha fatto la fornitura.

La domanda diventa quindi molto concreta: a chi giri quella segnalazione, e in quanto tempo ti risponde? Un fornitore che non sa dirti chi presidia le notifiche, o che deve a sua volta risalire una catena di intermediari fino a un produttore in un altro fuso orario, non regge un vincolo di 24 ore. E il tuo cliente, nel frattempo, aspetta.

C'è poi il caso di chi rivende con il proprio marchio o modifica in modo sostanziale il software di un sistema: in quelle situazioni si assumono gli obblighi del fabbricante, articolo 14 compreso.

Gli obblighi partono, l'infrastruttura arranca

La scadenza arriva in un quadro attuativo ancora in costruzione. Al 9 agosto 2026 la banca dati NANDO della Commissione non riportava alcun organismo notificato designato ai sensi del CRA, e nessuna norma armonizzata per il regolamento risultava pubblicata nella Gazzetta Ufficiale dell'Unione Europea. Il capo IV, che disciplina proprio la notifica degli organismi di valutazione della conformità, si applica dall'11 giugno 2026, ma l'articolo 35 fissa all'11 dicembre 2026 il traguardo entro cui gli Stati membri dovrebbero garantire un numero sufficiente di organismi, per evitare colli di bottiglia. La stessa piattaforma unica di segnalazione di ENISA è attesa operativa proprio l'11 settembre.

Le linee guida della Commissione, e cosa chiariscono sull'articolo 14

Un tassello è arrivato a fine luglio. Il 27 luglio 2026 la Commissione ha pubblicato la prima serie di linee guida applicative previste dall'articolo 26 del regolamento: circa 80 pagine costruite sulle domande più ricorrenti degli operatori, nate dalla consultazione pubblica aperta il 3 marzo e chiusa il 31 marzo. Non sono vincolanti e non modificano la legge, ma autorità di vigilanza e organismi notificati le useranno come riferimento per una lettura uniforme.

Tre precisazioni riguardano direttamente la scadenza dell'11 settembre:

• L'obbligo di segnalazione continua ad applicarsi anche dopo la fine del supporto del prodotto, a differenza degli obblighi di gestione delle vulnerabilità, che valgono solo durante il periodo di supporto dichiarato
• Non vanno segnalate le vulnerabilità del cui sfruttamento attivo il fabbricante era già a conoscenza prima dell'11 settembre 2026
• Vanno invece segnalate le vulnerabilità già note prima di quella data, se lo sfruttamento attivo emerge dopo

Le linee guida si affiancano al documento di FAQ della Commissione, aggiornato periodicamente, e all'attività di normazione affidata a CEN, CENELEC ed ETSI con il mandato M/606, che copre una quarantina di standard. I primi risultati sono attesi tra fine 2026 e il 2027.

Il ritardo degli strumenti attuativi, però, non sospende gli obblighi né le sanzioni. Ed è qui che il quadro si fa scomodo. A giugno 2026 ENISA ha pubblicato i risultati della sua prima indagine sulle PMI europee, condotta tra febbraio e marzo su 194 organizzazioni in 31 Paesi. Il 66% aveva sentito parlare del CRA, ma la preparazione concreta è molto più indietro della consapevolezza: valutando la maturità su cinque domini, l'area risultata più debole in assoluto è proprio quella di gestione degli incidenti e del ciclo di vita del prodotto, con un punteggio medio di 2,6 su 5.

È esattamente la capacità che l'articolo 14 mette sotto orologio dall'11 settembre. Nella stessa indagine solo il 35% delle PMI dichiara di mantenere un inventario dei componenti software dei propri prodotti.

Il nesso con la scadenza è diretto. Il termine delle ventiquattro ore decorre da quando si viene a conoscenza dello sfruttamento attivo, e quel momento coincide quasi sempre con la scoperta di una falla in un componente di terze parti, non nel proprio codice. È andata così con Log4Shell nel dicembre 2021: la vulnerabilità stava in una libreria di logging usata praticamente ovunque, e per settimane il problema non è stato applicare la correzione, ma capire quali prodotti la contenessero. Chi tiene una distinta dei componenti (SBOM) risponde a quella domanda in un pomeriggio. Chi non ce l'ha inizia a cercare la risposta mentre il termine corre.

Tre domande da fare al tuo fornitore questa settimana

1. Chi presidia le segnalazioni e con quali tempi di risposta? Deve esserci un riferimento nominato, non un indirizzo generico di assistenza
2. Esiste un inventario dei componenti software dei prodotti che mi vendi? È la condizione minima per sapere, a fronte di una vulnerabilità nota, quali macchine installate sono coinvolte
3. Come arrivano le patch sulle macchine già installate? Se la risposta è un intervento on-site per ogni dispositivo, il costo della conformità ricade sulla tua struttura tecnica

Su quest'ultimo punto FEC Italia lavora da tempo con strumenti pensati per il parco installato: Windows IoT Enterprise LTSC per la continuità degli aggiornamenti di sicurezza nel tempo e la FEC Remote Management Platform per distribuirli da remoto senza uscite tecniche.

È lo scenario per cui portiamo a catalogo POS PC e Panel PC con sistemi operativi a supporto esteso, ciclo di vita lungo e strumenti per gestire gli aggiornamenti da remoto. Se stai definendo le forniture per i prossimi progetti, contattaci per informazioni e disponibilità.

L'11 settembre non cambia da solo il modo di vendere hardware. Segna però il momento in cui il Cyber Resilience Act smette di essere una scadenza sul calendario e comincia a chiedere processi funzionanti. Da qui al dicembre 2027 la direzione è tracciata.

Fonti: Regolamento (UE) 2024/2847 · Commissione Europea, linee guida CRA del 27 luglio 2026 · Commissione Europea, stato di attuazione del CRA · ENISA, SME CRA Survey Report, giugno 2026

Vuoi il quadro completo? Nella nostra guida al Cyber Resilience Act per distributori e rivenditori trovi tutte le scadenze, gli obblighi per ciascun ruolo della filiera, le classi di rischio e le sanzioni previste.

LEGGI LA GUIDA COMPLETA AL CRAPARLA CON UN COMMERCIALE