Il Cyber Resilience Act: da oggi diventano applicabili gli obblighi di notifica

Il quadro normativo

Il Regolamento (UE) 2024/2847 — noto come Cyber Resilience Act ("CRA") — è stato adottato dal Parlamento europeo e dal Consiglio il 23 ottobre 2024 e introduce per la prima volta requisiti orizzontali di cibersicurezza per tutti i prodotti con elementi digitali immessi sul mercato dell'Unione europea. 

L'obiettivo dichiarato del CRA è duplice: da un lato, ridurre le vulnerabilità dei prodotti hardware e software, garantendo che i fabbricanti prendano in seria considerazione la sicurezza durante l'intero ciclo di vita del prodotto; dall'altro, migliorare la trasparenza verso gli utilizzatori, ad esempio fornendo informazioni chiare sul periodo di assistenza. Il regolamento si applica a tutti i prodotti con elementi digitali la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati, logica o fisica, diretta o indiretta, a un dispositivo o a una rete. La nozione di «prodotto con elementi digitali», quale definita all'art. 3, par. 1, del CRA, è intenzionalmente ampia: essa ricomprende qualsiasi prodotto software o hardware e le relative soluzioni di elaborazione dati da remoto, ivi inclusi i componenti software o hardware immessi sul mercato separatamente. Per «tale elaborazione dati da remoto» si intende qualsiasi elaborazione dati a distanza per la quale il software sia stato progettato e sviluppato dal fabbricante o sotto la sua responsabilità e la cui assenza impedirebbe al prodotto di svolgere una delle sue funzioni — vi rientrano, a titolo esemplificativo, le funzionalità abilitate al cloud progettate dal fabbricante medesimo, ma non i servizi cloud generici la cui progettazione esuli dalla responsabilità del fabbricante del prodotto. L'ambito di applicazione abbraccia pertanto una gamma estremamente eterogenea di prodotti: dai dispositivi IoT ai sistemi operativi, dai router e firewall ai prodotti di consumo quali giocattoli connessi, serrature intelligenti, sistemi di monitoraggio dei neonati e tecnologie sanitarie indossabili. 

Il CRA si pone come norma "orizzontale", colmando un vuoto del quadro legislativo europeo: fino alla sua adozione, nessuna normativa dell'Unione stabiliva requisiti obbligatori e completi di cibersicurezza per l'intera gamma dei prodotti con elementi digitali. Il regolamento si coordina inoltre con la direttiva NIS 2 e con la disciplina sui dispositivi medici, creando un sistema normativo integrato. 

Sebbene già in vigore, la concreta applicazione del CRA è differita in due distinti momenti temporali. Il primo — che decorre dalla data odierna, 11 settembre 2026 — concerne gli obblighi di notifica di cui all'art. 14. Le restanti disposizioni troveranno applicazione a far data dall'11 dicembre 2027. 

Occorre altresì precisare che, fatte salve le previsioni dell'art. 14 — le quali si applicano anche ai prodotti con elementi digitali immessi sul mercato anteriormente all'11 dicembre 2027 — i restanti requisiti previsti dalla normativa trovano applicazione esclusivamente ai prodotti immessi sul mercato dopo tale data, con la sola eccezione dei prodotti immessi antecedentemente ma soggetti a modifiche sostanziali ai sensi dell'art. 69 del Regolamento. 

L'obbligo di notifica — Art. 14

A partire dall'11 settembre 2026, i fabbricanti di prodotti con elementi digitali sono tenuti a notificare simultaneamente al CSIRT designato come coordinatore e all'ENISA: 

• le vulnerabilità attivamente sfruttate (actively exploited vulnerabilities): ai sensi del CRA, si intende per tale una vulnerabilità per la quale sussistono prove attendibili che un soggetto malintenzionato l'abbia sfruttata in un sistema senza l'autorizzazione del proprietario del medesimo. Non rientrano nell'obbligo di notifica le vulnerabilità individuate e corrette dal fabbricante prima che siano oggetto di sfruttamento, le quali restano soggette al normale processo di gestione delle vulnerabilità. 
• gli incidenti gravi (serious incidents): un incidente è considerato grave ai sensi dell'art. 14, par. 5, del CRA qualora: (i) incida negativamente o sia in grado di incidere negativamente sulla capacità di un prodotto con elementi digitali di proteggere la disponibilità, l'autenticità, l'integrità o la riservatezza di dati o funzioni sensibili o importanti; ovvero (ii) abbia portato o sia in grado di portare all'introduzione o all'esecuzione di un codice maligno nel prodotto o nei sistemi informativi e di rete di un utilizzatore del prodotto stesso. 

Il procedimento di notifica si articola in tre fasi progressive, scandite da termini perentori decorrenti dal momento della presa di conoscenza dell'evento da parte del fabbricante: 

• Preallarme (early warning) — entro 24 ore dalla conoscenza: il fabbricante trasmette una notifica iniziale dell'evento, indicando, ove applicabile, gli Stati membri in cui il prodotto è stato messo a disposizione e, nel caso di incidenti, se si sospetti che gli stessi siano il risultato di atti illegittimi o malevoli. 
• Notifica completa (vulnerability/incident notification) — entro 72 ore dalla conoscenza: il fabbricante fornisce informazioni generali sulla natura della vulnerabilità o dell'incidente, una valutazione iniziale, le misure correttive o di attenuazione già adottate, nonché le misure che gli utilizzatori possono a loro volta adottare, unitamente al grado di sensibilità attribuito alle informazioni notificate. 
• Relazione finale (final report) — entro 14 giorni dalla disponibilità di una misura correttiva o di attenuazione per le vulnerabilità, ovvero entro 1 mese dalla notifica a 72 ore per gli incidenti gravi: il fabbricante fornisce una descrizione esaustiva della vulnerabilità o dell'incidente, comprensiva della gravità, dell'impatto, delle informazioni dettagliate relative all'aggiornamento di sicurezza e, ove disponibili, delle informazioni relative al soggetto malintenzionato. 

Va evidenziato che la notifica non ha effetto retroattivo: le vulnerabilità il cui sfruttamento attivo era già noto al fabbricante anteriormente all'11 settembre 2026 non sono soggette all'obbligo di segnalazione. 

Le notifiche sono trasmesse tramite la piattaforma unica di segnalazione istituita dall'ENISA ai sensi dell'art. 16 del CRA. Il CSIRT competente si determina in base allo stabilimento principale del fabbricante nell'UE, inteso come lo Stato membro in cui sono prevalentemente adottate le decisioni relative alla cibersicurezza dei prodotti. 

Le FAQ dell'ENISA e la piattaforma di segnalazione unica

In vista dell'entrata in applicazione degli obblighi di notifica, l'ENISA ha pubblicato una serie di materiali di orientamento — tra cui le FAQ sulla Single Reporting Platform (aggiornate al 9 settembre 2026), il Glossario SRP e diverse guide operative — che forniscono indicazioni di carattere pratico sull'utilizzo della piattaforma di segnalazione unica. 

La piattaforma, accessibile all'indirizzo portal.cra-srp.enisa.europa.eu, richiede l'autenticazione tramite account EU Login con autenticazione a più fattori (MFA), che può essere creato anticipatamente sul portale ecas.ec.europa.eu. Ciascun fabbricante è tenuto a designare un rappresentante primario (AR Primary) e può nominare fino a 20 rappresentanti secondari (AR Secondary), i quali sono parimenti abilitati all'invio e all'aggiornamento delle notifiche, pur non disponendo delle medesime autorizzazioni amministrative del rappresentante primario. L'associazione tra il rappresentante designato e il fabbricante è soggetta a convalida da parte del CSIRT competente; tale procedura si svolge tuttavia in parallelo con il processo di segnalazione e non costituisce un prerequisito per l'invio delle notifiche, fermo restando che un rappresentante non ancora convalidato può trasmettere un massimo di 20 notifiche prima che la verifica divenga obbligatoria. 

Merita infine segnalare che i contatori visualizzati sulla piattaforma hanno esclusivamente funzione informativa e non sostituiscono in alcun modo i termini legali di cui all'art. 14: nella versione iniziale della piattaforma, il contatore delle 72 ore calcola la scadenza a 48 ore dall'invio del preallarme, anziché a 72 ore dal momento della presa di conoscenza, con la conseguenza che una notifica può risultare erroneamente segnalata come tardiva. Si raccomanda pertanto ai fabbricanti di documentare autonomamente l'orario esatto della presa di conoscenza dell'evento, conservandone traccia nel proprio registro degli incidenti quale unico elemento probatorio opponibile in caso di contestazione. Si segnala, da ultimo, che al momento del lancio la piattaforma accetta esclusivamente le notifiche obbligatorie ai sensi degli artt. 14 e 24 del CRA; la funzionalità di segnalazione volontaria prevista dall'art. 15 sarà introdotta in una fase successiva, la cui tempistica non è al momento definita.