L’obbligo di segnalazione previsto dall’Articolo 14 del Cyber Resilience Act entra in vigore l’11 settembre 2026

A partire dall'11 settembre 2026, i produttori soggetti al Cyber Resilience Act dell'UE devono iniziare a segnalare determinate vulnerabilità attivamente sfruttate e gravi incidenti di sicurezza che interessano prodotti con elementi digitali.

Mentre molte organizzazioni si stanno concentrando sui più ampi requisiti di cybersecurity dei prodotti previsti dal CRA e applicabili da dicembre 2027, gli obblighi di segnalazione entreranno in vigore molto prima. I produttori hanno tempo solamente fino all'11 settembre 2026 per assicurarsi di poter identificare e analizzare un evento soggetto a segnalazione e trasmettere le informazioni richieste entro le rigorose tempistiche normative.

Per le organizzazioni che non dispongono ancora di un processo di segnalazione allineato al CRA, questo è il momento di implementarlo.

Immaginate di ricevere prove credibili alle 15:00 di un venerdì che indicano un cyber-attacco che sfrutta attivamente una vulnerabilità in uno dei vostri prodotti connessi utilizzati in tutta Europa.

La vostra organizzazione sarebbe in grado di determinare se la segnalazione sia necessaria, di identificare i prodotti interessati, di raccogliere le evidenze di supporto ed inviare un avviso preliminare prima del termine previsto?

Cosa cambia dall'11 settembre 2026?

L'Articolo 14 del CRA introduce l'obbligo di segnalazione per due tipologie di eventi di cybersecurity:

Vulnerabilità attivamente sfruttate

Si tratta di vulnerabilità per le quali esistono prove tangibili del fatto che un soggetto malevolo ne abbia effettivamente sfruttato la presenza nel prodotto.

Incidenti gravi che compromettono la sicurezza di un prodotto con elementi digitali

Si tratta di incidenti che compromettono, o potrebbero compromettere, la capacità del prodotto di proteggere dati sensibili o importanti, oppure funzioni correlate al prodotto. Un incidente può, inoltre, rientrare in questa categoria se ha causato, o potrebbe causare, l'introduzione o l'esecuzione di codice malevolo sul prodotto oppure all'interno della rete o dei sistemi dell'utente.

I produttori dovranno segnalare tali eventi attraverso la Single Reporting Platform del CRA, istituita e gestita dall'Agenzia dell'Unione Europea per la Cybersecurity (ENISA).

Il processo di segnalazione inizia nel momento in cui il produttore viene a conoscenza della vulnerabilità attivamente sfruttata o dell'incidente grave.

Una volta che scatta l'obbligo di segnalazione, il tempo a disposizione è limitato.

• Un avviso preliminare (early warning) deve essere inviato entro 24 ore dal momento in cui il produttore viene a conoscenza della vulnerabilità o dell'incidente.
• Segue una notifica dettagliata entro 72 ore, contenente le informazioni disponibili e una valutazione iniziale.

Sono inoltre richieste ulteriori comunicazioni:

• Per una vulnerabilità attivamente sfruttata, il rapporto finale deve essere trasmesso entro e non oltre 14 giorni dalla disponibilità di una misura correttiva o mitigativa.
• Per un grave incidente di sicurezza, il rapporto finale deve essere inviato entro un mese dalla notifica dell'incidente effettuata entro le 72 ore.

La Single Reporting Platform fornisce un punto unico di accesso per le segnalazioni CRA e distribuisce automaticamente le notifiche al CSIRT nazionale competente e all'ENISA.

Considerate queste tempistiche estremamente ristrette, rispettare gli obblighi di segnalazione del CRA senza un processo formalizzato è poco pratico e genera inutili rischi operativi e di conformità per l'organizzazione.

Gli obblighi di segnalazione possono applicarsi anche a prodotti già presenti sul mercato UE

Un altro aspetto importante riguarda il campo di applicazione dei requisiti in vigore da settembre.

I requisiti generali di cybersecurity dei prodotti previsti dal CRA si applicano generalmente dall'11 dicembre 2027. Tuttavia, gli obblighi di segnalazione entreranno in vigore prima, l'11 settembre 2026, e possono riguardare anche prodotti già immessi sul mercato europeo.

Ciò significa che i produttori non dovrebbero limitare le proprie attività di preparazione ai nuovi prodotti sviluppati in vista della futura conformità al CRA. Anche i portafogli di prodotti esistenti potrebbero dover essere inclusi nella definizione dei processi di gestione e segnalazione di vulnerabilità e incidenti.

Perché rispettare gli obblighi di segnalazione potrebbe essere più complesso di quanto sembri

Una scadenza di notifica entro 24 ore può apparire semplice: si identifica un evento e lo si segnala.

Nella pratica, tuttavia, prima che un produttore possa stabilire se la segnalazione sia necessaria, potrebbero essere richieste numerose valutazioni.

Ad esempio:

• Una vulnerabilità potrebbe essere identificata inizialmente da uno sciluppatore, un cliente, un fornitore o dal team di sicurezza interno.
• Il produttore deve stabilire se la vulnerabilità interessa uno o più dei propri prodotti e verificare se esistono evidenze di sfruttamento attivo.
• Potrebbe essere necessario avviare un'indagine approfondita per determinare l'impatto dell'incidente e verificare se soddisfa i criteri del CRA per essere classificato come incidente grave.
• Team di prodotto, ingegneria, cybersecurity, legale, compliance e management potrebbero dover contribuire con informazioni o prendere decisioni.
• L'organizzazione deve inoltre essere in grado di dimostrare quando è venuta a conoscenza dell'evento, poiché è da quel momento che decorre il termine normativo di segnalazione.

Tutto questo potrebbe dover avvenire mentre le attività tecniche di investigazione e risposta all'incidente sono ancora in corso.

In assenza di responsabilità chiaramente definite, percorsi di escalation e processi decisionali formalizzati, 24 ore possono trascorrere molto rapidamente.

Cosa dovrebbero fare i produttori adesso?

I produttori non devono attendere il 2027 e l'entrata in vigore dei requisiti più ampi del CRA per iniziare a prepararsi.

Come minimo, le organizzazioni dovrebbero:

• Identificare i prodotti che potrebbero essere soggetti agli obblighi di segnalazione previsti dal CRA.
• Definire chiaramente la responsabilità della gestione delle segnalazioni di vulnerabilità e incidenti ai sensi del CRA.
• Verificare l'esistenza di canali adeguati per ricevere informazioni su vulnerabilità provenienti sia dall'interno sia dall'esterno dell'organizzazione.
• Stabilire le modalità con cui i potenziali eventi soggetti a segnalazione saranno identificati, investigati ed eventualmente sottoposti ad escalation.
• Definire come registrare la data di conoscenza dell'evento e le evidenze a supporto.
• Confermare chi sia responsabile della preparazione, approvazione e trasmissione delle notifiche CRA.
• Verificare che il processo sia effettivamente in grado di operare entro le scadenze richieste di 24 e 72 ore.

Quali sono i rischi di non essere pronti?

I requisiti di segnalazione rappresentano obblighi normativi vincolanti.

Il CRA prevede significative sanzioni amministrative per determinate violazioni, comprese multe fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale, nei casi applicabili.

Oltre alle sanzioni finanziarie, le organizzazioni che attendono il verificarsi di una vulnerabilità attivamente sfruttata o di un incidente di sicurezza prima di definire il proprio processo di segnalazione potrebbero trovarsi ad affrontare ritardi, confusione e inutili escalation interne proprio quando è necessario prendere decisioni rapide.

Una preparazione adeguata può ridurre significativamente questi rischi.

Come può aiutare Intertek