Tre mesi alla prima scadenza del CRA che pesa davvero
Gran parte del Cyber Resilience Act (CRA) sembra ancora lontana. Il regolamento, il regolamento (UE) 2024/2847, si applica integralmente dall’11 dicembre 2027, ed è la data che la maggior parte dei team di prodotto ha nei propri piani per i requisiti di sicurezza fin dalla progettazione, la valutazione della conformità e la marcatura CE.
Ma un obbligo arriva molto prima. Dall’11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono segnalare alle autorità le vulnerabilità attivamente sfruttate e gli incidenti gravi. Tale obbligo non riguarda soltanto i nuovi prodotti: copre anche i prodotti connessi già presenti sul mercato. Per un’impresa che vende dispositivi per la casa intelligente, giocattoli connessi, dispositivi indossabili o qualsiasi altro prodotto con software o connessione di rete, restano ormai tre mesi per mettere a punto un processo che funzioni entro 24 ore.
Le tre date del CRA
L’art. 71, paragrafo 2, del CRA fissa tre date di applicazione:
- 11 giugno 2026: si applica il capo IV (artt. da 35 a 51), sulla notifica degli organismi di valutazione della conformità. È il lavoro preparatorio per gli organismi che in seguito valuteranno le classi di prodotti più critiche.
- 11 settembre 2026: si applica l’art. 14, gli obblighi di segnalazione dei fabbricanti.
- 11 dicembre 2027: si applica il resto del regolamento, compresi i requisiti essenziali di cibersicurezza dell’allegato I.
Il CRA definisce un prodotto con elementi digitali come «un prodotto software o hardware e le relative soluzioni di trattamento dei dati da remoto», compresi i componenti immessi sul mercato separatamente. In pratica rientra la maggior parte dei prodotti di consumo che si collegano a un telefono, a una rete o al cloud.
Che cosa va segnalato
L’art. 14 crea due obblighi di segnalazione.
Vulnerabilità attivamente sfruttate (art. 14, paragrafo 1). Un fabbricante deve notificare qualsiasi vulnerabilità attivamente sfruttata del proprio prodotto di cui venga a conoscenza. Il CRA definisce una vulnerabilità attivamente sfruttata come una vulnerabilità «per la quale esistono prove affidabili che un attore malevolo l’ha sfruttata in un sistema senza il permesso del proprietario del sistema». Una vulnerabilità scoperta nei propri test e che nessuno ha sfruttato non rientra in questo obbligo, benché l’art. 15 consenta la segnalazione volontaria.
Incidenti gravi (art. 14, paragrafo 3). Un fabbricante deve inoltre notificare qualsiasi incidente grave che abbia un impatto sulla sicurezza del prodotto. L’art. 14, paragrafo 5, considera grave un incidente quando incide, o può incidere, sulla capacità del prodotto di proteggere la disponibilità, l’autenticità, l’integrità o la riservatezza di dati o funzioni sensibili o importanti, oppure quando ha portato, o può portare, all’introduzione o all’esecuzione di codice malevolo nel prodotto o nelle reti e nei sistemi informativi di un utente.
24 ore, 72 ore, 14 giorni e un mese
Entrambi gli obblighi seguono una tempistica a fasi, stabilita dall’art. 14, paragrafi 2 e 4:
| Fase | Vulnerabilità attivamente sfruttata | Incidente grave |
|---|---|---|
| Preallarme | Entro 24 ore dalla presa di conoscenza | Entro 24 ore dalla presa di conoscenza |
| Notifica | Entro 72 ore, con informazioni generali sul prodotto, sull’exploit e su eventuali misure correttive o di attenuazione | Entro 72 ore, con una valutazione iniziale e le misure adottate |
| Relazione finale | Non oltre 14 giorni dopo la disponibilità di una misura correttiva o di attenuazione | Entro un mese dalla notifica dell’incidente |
Il preallarme deve indicare, ove applicabile, gli Stati membri in cui il fabbricante sa che il prodotto è stato messo a disposizione. Per gli incidenti deve inoltre precisare se si sospetta che l’incidente sia stato causato da atti illeciti o malevoli. Il CSIRT che riceve la segnalazione può chiedere una relazione intermedia sullo stato (art. 14, paragrafo 6).
La segnalazione alle autorità è solo metà del lavoro. Ai sensi dell’art. 14, paragrafo 8, il fabbricante deve anche informare gli utenti interessati e, se del caso, tutti gli utenti in merito alla vulnerabilità o all’incidente e alle misure che possono adottare per ridurne l’impatto.
Dove vanno le segnalazioni
Le notifiche sono presentate tramite la piattaforma di segnalazione unica che l’art. 16 incarica l’ENISA, l’agenzia dell’UE per la cibersicurezza, di istituire e gestire. Il fabbricante utilizza il punto di accesso elettronico per le notifiche del CSIRT designato come coordinatore nello Stato membro del suo stabilimento principale nell’Unione, e la notifica è accessibile contemporaneamente all’ENISA (art. 14, paragrafo 7).
Lo stabilimento principale di un fabbricante è il luogo in cui sono prevalentemente adottate le decisioni sulla cibersicurezza dei suoi prodotti. Un fabbricante privo di stabilimento principale nell’UE segue l’ordine stabilito dall’art. 14, paragrafo 7: lo Stato membro del rappresentante autorizzato che agisce per il maggior numero dei suoi prodotti, poi quello dell’importatore che ne immette sul mercato il maggior numero, poi quello del distributore che ne mette a disposizione il maggior numero e, infine, lo Stato membro con il maggior numero di utenti. Per un marchio extra UE che vende tramite un importatore dell’UE, ciò significa che il paese dell’importatore può determinare quale CSIRT riceve la segnalazione.
I prodotti già sul mercato
Il dettaglio che coglie di sorpresa molte imprese si trova nelle disposizioni transitorie. Di regola, i prodotti immessi sul mercato prima dell’11 dicembre 2027 rientrano nel CRA solo se sono modificati in modo sostanziale dopo tale data (art. 69, paragrafo 2). L’art. 69, paragrafo 3, prevede un’eccezione: gli obblighi di segnalazione dell’art. 14 si applicano a tutti i prodotti rientranti nell’ambito di applicazione immessi sul mercato prima dell’11 dicembre 2027.
Un prodotto connesso lanciato nel 2024 e ancora supportato è quindi coperto dall’obbligo di segnalazione dall’11 settembre 2026, anche se non richiede una valutazione della conformità al CRA, a meno che non sia modificato in modo sostanziale a partire dall’11 dicembre 2027.
Il CRA collega all’obbligo anche sanzioni concrete. Ai sensi dell’art. 64, paragrafo 2, il mancato rispetto degli obblighi dell’art. 14 può comportare sanzioni amministrative pecuniarie fino a 15 milioni di euro oppure, per un’impresa, fino al 2,5 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Un piano di preparazione per l’estate
A tre mesi dalla scadenza, il lavoro è soprattutto organizzativo:
- Elencare tutti i prodotti connessi immessi sul mercato, compresi i modelli fuori produzione ancora in uso, e le versioni del software sul campo.
- Individuare chi è responsabile di decidere, nell’arco di poche ore, se una segnalazione riguarda una vulnerabilità «attivamente sfruttata» o un «incidente grave» e chi invia il preallarme.
- Predisporre un canale di raccolta delle informazioni sulle vulnerabilità da fornitori, ricercatori, clienti e dal proprio monitoraggio, così da sapere quando parte il conto alla rovescia delle 24 ore.
- Stabilire dove si trova lo stabilimento principale, oppure quale Stato membro si applica secondo l’ordine dell’art. 14, paragrafo 7, se l’impresa ha sede fuori dall’UE.
- Preparare modelli di comunicazione agli utenti per l’art. 14, paragrafo 8, nelle lingue dei mercati in cui il prodotto è venduto.
- Concordare i ruoli con l’importatore o con il rappresentante autorizzato, affinché le informazioni raggiungano rapidamente il fabbricante.
Se il Suo prodotto è anche un’apparecchiatura radio, consulti la nostra guida alla direttiva sulle apparecchiature radio e le pagine dedicate ai problemi sulle nuove regole di cibersicurezza per i dispositivi connessi e sull’aggiunta di Bluetooth o Wi-Fi a un prodotto esistente.
Come La aiuta Conphora
L’obbligo di segnalazione del CRA è un problema di scadenze: le informazioni che servono nelle prime 24 ore devono essere pronte prima che accada qualcosa. Con Conphora può:
- Tenere un registro dei prodotti connessi, con modelli, versioni del software, mercati e operatori economici coinvolti.
- Collegare ogni prodotto alle persone responsabili e ai documenti, così chi deve decidere su una segnalazione trova tutto in un unico luogo.
- Seguire le date del CRA per ciascun prodotto, dall’obbligo di segnalazione di settembre 2026 alla piena applicazione di dicembre 2027.
- Archiviare segnalazioni e avvisi agli utenti accanto al prodotto a cui si riferiscono, pronti per una richiesta dell’autorità di vigilanza del mercato.
Scopra come funziona Conphora e come mantiene pronti per le autorità i registri di prodotto.
Vuole avere pronti i Suoi prodotti connessi per l’11 settembre? Scopra i piani e i prezzi →