Da oggi il Cyber Resilience Act comincia ad avere effetti concreti sul mercato europeo. I produttori di prodotti con elementi digitali devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi, con un primo avviso entro 24 ore. Le regole coinvolgono una parte enorme della tecnologia che utilizziamo ogni giorno.

Il Cyber Resilience Act non è più soltanto una normativa destinata al futuro.

Da oggi, 11 settembre 2026, nell’Unione Europea entrano in applicazione alcuni dei suoi primi obblighi operativi. E riguardano direttamente i produttori di moltissimi dispositivi hardware e software disponibili sul mercato europeo.

La Commissione europea parla tecnicamente di “prodotti con elementi digitali”. Una definizione molto ampia che comprende prodotti hardware e software, insieme alle relative soluzioni di elaborazione remota e ai componenti commercializzati separatamente.

Per il nostro mondo significa parlare potenzialmente di smartphone, router, dispositivi smart home, wearable, prodotti IoT e numerose categorie di software.

La novità più importante riguarda la sicurezza: quando emerge una vulnerabilità che viene realmente sfruttata oppure si verifica un grave incidente, il produttore non può semplicemente gestire internamente il problema e comunicarlo quando preferisce.

Da oggi partono tempi precisi.

Cyber Resilience Act: cosa cambia dall’11 settembre

Il nuovo obbligo riguarda due situazioni specifiche.

La prima è rappresentata dalle vulnerabilità attivamente sfruttate. Non basta quindi l’esistenza teorica di una falla: deve esserci una prova affidabile che qualcuno la stia realmente utilizzando in modo malevolo.

La seconda riguarda gli incidenti che hanno un impatto grave sulla sicurezza del prodotto.

In questi casi il produttore deve inviare un primo avviso entro 24 ore dal momento in cui viene a conoscenza del problema.

Entro 72 ore deve poi arrivare una notifica più completa, contenente maggiori informazioni sull’incidente o sulla vulnerabilità.

Non finisce qui.

Per una vulnerabilità attivamente sfruttata, il rapporto finale deve essere trasmesso entro 14 giorni dalla disponibilità della misura correttiva o di mitigazione.

Nel caso di un incidente grave, invece, il rapporto finale deve arrivare entro un mese dalla notifica delle 72 ore.

Tutto passa dalla piattaforma di ENISA

Le aziende non dovranno effettuare segnalazioni separate a ogni singolo Paese europeo.

Nasce infatti la CRA Single Reporting Platform, realizzata e gestita da ENISA, l’Agenzia dell’Unione Europea per la cybersicurezza.

Il produttore presenta una sola notifica attraverso la piattaforma.

Questa viene indirizzata al CSIRT competente per il luogo in cui l’azienda ha il proprio stabilimento principale e, salvo circostanze particolari, le informazioni vengono contemporaneamente rese disponibili a ENISA. Il sistema permette poi la condivisione con gli altri CSIRT dei Paesi nei quali il prodotto è disponibile.

È un passaggio importante perché cerca di creare una procedura unica invece di costringere un produttore a gestire contemporaneamente numerose autorità nazionali.

Cosa significa per smartphone, router e dispositivi smart

Ed è qui che il Cyber Resilience Act diventa interessante anche per chi non lavora in un reparto legale.

Immaginiamo un router venduto in diversi Paesi europei.

Se viene scoperta una vulnerabilità e ci sono prove che criminali informatici la stiano già sfruttando, il produttore entra nel sistema di segnalazione previsto dal CRA.

Lo stesso principio può riguardare un dispositivo IoT, uno smartphone, un prodotto smart home oppure un software che rientra nell’ambito del regolamento.

La normativa vuole quindi aumentare la responsabilità dei produttori durante la vita dei prodotti digitali.

Non si tratta soltanto di progettare un dispositivo sicuro nel momento in cui arriva sul mercato. Il Cyber Resilience Act richiede anche una gestione efficace delle vulnerabilità durante il periodo di supporto.

Per gli utenti significa, almeno nelle intenzioni del legislatore europeo, maggiore trasparenza e tempi più prevedibili nella gestione delle falle importanti.

Le regole valgono anche per prodotti già venduti

C’è un dettaglio particolarmente interessante.

Gli obblighi di segnalazione che entrano in vigore oggi non riguardano soltanto i prodotti lanciati dall’11 settembre in avanti.

ENISA e Commissione chiariscono che si applicano ai prodotti con elementi digitali che rientrano nel CRA e che sono stati messi a disposizione sul mercato dell’Unione, compresi quelli commercializzati prima dell’11 dicembre 2027.

Questo rende l’impatto della norma molto più immediato.

Non dobbiamo quindi aspettare una nuova generazione di smartphone, router o dispositivi connessi per iniziare a vedere gli effetti delle nuove procedure di segnalazione.

Il Cyber Resilience Act non entra completamente in vigore oggi

Attenzione però a non interpretare la data dell’11 settembre nel modo sbagliato.

Il Cyber Resilience Act non diventa pienamente applicabile oggi.

Il regolamento è entrato formalmente in vigore il 10 dicembre 2024, mentre le sue disposizioni principali saranno applicabili dall’11 dicembre 2027.

L’Europa ha previsto infatti un’introduzione progressiva.

Le norme relative alla notifica degli organismi di valutazione della conformità sono già entrate in applicazione l’11 giugno 2026. Oggi tocca agli obblighi di segnalazione delle vulnerabilità e degli incidenti. L’applicazione generale arriverà invece nel dicembre 2027.

Anche gli open-source software stewards seguono una tempistica diversa: i loro specifici obblighi di reporting previsti dal CRA scatteranno dall’11 dicembre 2027.

Perché il Cyber Resilience Act riguarda tutti noi

Da oggi il CRA smette quindi di essere soltanto una sigla da seguire nei comunicati dell’Unione Europea.

Comincia una fase nella quale le aziende devono mettere in piedi procedure reali per comunicare problemi di sicurezza importanti in tempi molto stretti.

E 24 ore sono poche.

Per un grande produttore significa avere sistemi capaci di individuare il problema, valutarne la gravità e attivare rapidamente le persone responsabili della segnalazione.

Per chi acquista tecnologia, invece, il cambiamento sarà meno visibile nell’immediato.

Gli smartphone non mostreranno una nuova icona e i router non cambieranno improvvisamente aspetto. Il cambiamento avviene dietro le quinte, ma riguarda direttamente il modo in cui i produttori dovranno affrontare alcune delle vulnerabilità più pericolose.

La seconda fase sarà ancora più importante.

Dall’11 dicembre 2027 entreranno pienamente in applicazione i requisiti generali del Cyber Resilience Act, con obblighi che riguarderanno progettazione, sviluppo, gestione delle vulnerabilità, informazioni agli utenti e conformità dei prodotti.

Per il mercato tecnologico europeo sarà un cambiamento molto più ampio.

Ma il primo passo concreto è già arrivato.

Da oggi una vulnerabilità sfruttata attivamente non è più soltanto un problema tecnico da risolvere: per i produttori diventa anche un evento da comunicare all’Europa entro tempi stabiliti dalla legge.