Cyber Resilience Act: dall’11 settembre 2026 incidenti e vulnerabilità si segnalano entro 24 ore

Dal software aziendale ai dispositivi connessi, la sicurezza informatica diventa un requisito da garantire lungo l’intero ciclo di vita del prodotto.
Con il Cyber Resilience Act, l’Unione Europea introduce nuove responsabilità per chi sviluppa e commercializza prodotti con elementi digitali.

La prima scadenza operativa è imminente: dall’11 settembre 2026 diventano applicabili gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi.Per le aziende coinvolte, prepararsi non significa soltanto conoscere la procedura, ma essere in grado di individuare rapidamente un evento, valutarne l’impatto e raccogliere le informazioni necessarie.

Il Cyber Resilience Act, o CRA, è il regolamento europeo che stabilisce requisiti comuni di cybersecurity per i prodotti hardware e software immessi sul mercato dell’Unione europea.

Il suo obiettivo è fare in modo che la sicurezza venga considerata fin dalla progettazione e mantenuta attraverso aggiornamenti, gestione delle vulnerabilità e supporto durante tutto il ciclo di vita del prodotto.

Il regolamento è entrato in vigore il 10 dicembre 2024. La maggior parte degli obblighi sarà applicabile dall’11 dicembre 2027, ma le disposizioni relative alla segnalazione di vulnerabilità e incidenti entreranno in vigore già dall’11 settembre 2026.

Il CRA riguarda principalmente i produttori di prodotti con elementi digitali, ma coinvolge più in generale la relativa catena di distribuzione.

Nel perimetro possono rientrare, a seconda delle caratteristiche e delle modalità di commercializzazione:

• software e applicazioni;
• dispositivi connessi e soluzioni IoT;
• apparati di rete;
• sistemi di controllo industriale;
• componenti hardware e software;
• alcune soluzioni che utilizzano servizi di elaborazione remota.

Anche le organizzazioni che integrano componenti sviluppati da terze parti devono valutare attentamente il proprio ruolo. La presenza di librerie esterne o componenti open source, infatti, non elimina automaticamente le responsabilità sul prodotto finale.

L’applicabilità del regolamento deve essere verificata caso per caso, considerando il prodotto, il modello di distribuzione e il ruolo ricoperto dall’organizzazione.

A partire dall’11 settembre, i produttori interessati dovranno segnalare:

• le vulnerabilità contenute nei propri prodotti per le quali esistano prove affidabili di uno sfruttamento da parte di soggetti malevoli;
• gli incidenti che abbiano un impatto grave sulla sicurezza del prodotto, compromettendo o rischiando di compromettere disponibilità, autenticità, integrità o riservatezza di dati e funzionalità.

Le comunicazioni dovranno essere trasmesse attraverso la Single Reporting Platform predisposta da ENISA, che rappresenterà il punto unico europeo per l’invio delle segnalazioni.

Il processo prevede tempistiche particolarmente stringenti:

• un primo avviso entro 24 ore dalla conoscenza della vulnerabilità o dell’incidente;
• una notifica più completa entro 72 ore;
• una relazione finale entro 14 giorni dalla disponibilità della misura correttiva, nel caso delle vulnerabilità, oppure entro un mese dalla notifica iniziale per gli incidenti gravi.

Maggiori informazioni sono disponibili nelle indicazioni della Commissione Europea e nelle FAQ pubblicate da ENISA.

Rispettare una scadenza di 24 ore presuppone che l’organizzazione sia già in grado di accorgersi di ciò che sta accadendo.

Un’infrastruttura priva di visibilità, con log frammentati o responsabilità non definite, può rendere difficile stabilire quando un incidente sia iniziato, quali sistemi abbia coinvolto e quale impatto abbia prodotto.

Per questo il Cyber Resilience Act non riguarda soltanto la compliance, richiede una capacità operativa basata su:

• monitoraggio continuo delle infrastrutture e delle applicazioni;
• gestione strutturata delle vulnerabilità;
• centralizzazione e conservazione dei log;
• procedure di classificazione ed escalation degli incidenti;
• ruoli e responsabilità chiaramente assegnati;
• raccolta tempestiva delle evidenze;
• coordinamento tra funzioni IT, sicurezza, sviluppo e management.

La rapidità della segnalazione dipenderà quindi dalla qualità dei processi e degli strumenti già disponibili prima che si verifichi l’evento.

Il primo passo è verificare se i prodotti sviluppati o commercializzati rientrano nel perimetro del CRA. Successivamente è necessario valutare la capacità dell’organizzazione di rilevare e gestire vulnerabilità e incidenti entro le nuove tempistiche.

Una verifica preliminare dovrebbe comprendere:

1. la mappatura dei prodotti digitali e dei componenti utilizzati;
2. l’individuazione dei soggetti responsabili delle segnalazioni;
3. la revisione dei processi di Vulnerability e Incident Management;
4. il controllo della copertura del sistema di Monitoring;
5. la definizione dei flussi di escalation;
6. la predisposizione delle informazioni necessarie per le notifiche;
7. la simulazione del processo attraverso test ed esercitazioni.

Aspettare il primo incidente per verificare il funzionamento di questi processi espone l’azienda al rischio di scoprire troppo tardi lacune nella visibilità, nelle responsabilità o nella raccolta dei dati.

Il Cyber Resilience Act rafforza un principio ormai centrale: non è sufficiente proteggere i sistemi, bisogna anche sapere riconoscere tempestivamente un evento e reagire in modo coordinato.

Monitoring, gestione delle vulnerabilità e incident response diventano così parte integrante della governance del prodotto e dell’infrastruttura Cloud.

ESG Services supporta le organizzazioni nella valutazione tecnica degli ambienti IT e Cloud, nella definizione dei sistemi di monitoraggio e nel miglioramento dei processi di gestione degli incidenti.