L'orologio delle 24 ore parte l'11 settembre: vale anche per i prodotti spediti anni fa

Glowing amber clock a few minutes before midnight inside a faint ring of gold EU stars

Cyber Security

L’orologio delle 24 ore parte l’11 settembre: vale anche per i prodotti spediti anni fa

By, zero-adm

24 Ago, 2026
8 Views

Dall’11 settembre 2026 ogni fabbricante di prodotti connessi venduti nell’UE ha 24 ore per segnalare alle autorità una vulnerabilità attivamente sfruttata, con sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale per chi manca. L’orologio corre anche per i prodotti spediti anni fa, compresi quelli il cui supporto è finito.

Il Cyber Resilience Act è la legge europea che fa della cybersicurezza una condizione per vendere prodotti con elementi digitali nel mercato unico. Il suo primo obbligo duro non è un requisito tecnico. È una scadenza.

Che cosa parte l'11 settembre 2026?

L’articolo 14 del regolamento. Da quella data, il fabbricante che viene a conoscenza di una vulnerabilità attivamente sfruttata in un suo prodotto, o di un incidente grave che ne tocca la sicurezza, deve avvisare ENISA, l’agenzia europea per la cybersicurezza, e il CSIRT nazionale.

Il calendario lascia poco spazio ai comitati. Un’allerta entro 24 ore da quando se ne viene a conoscenza. Una notifica completa entro 72 ore. Un rapporto finale entro 14 giorni dalla disponibilità di una correzione per le vulnerabilità, o entro un mese per gli incidenti gravi.

La soglia conta: vulnerabilità «attivamente sfruttata» significa evidenza di attacchi reali, non sfruttabilità teorica. Il giorno in cui quell’evidenza arriva sulla scrivania di qualcuno, le 24 ore cominciano.

Quali prodotti e quali aziende rientrano?

I prodotti con elementi digitali immessi sul mercato UE. L’hardware con dentro del software, il software venduto come prodotto, i dispositivi connessi che la vostra linea di prodotto spedisce da prima che si dicesse IoT.

Due dettagli meritano l’attenzione di un consiglio. L’obbligo segue il prodotto, quindi copre articoli spediti anni fa e ancora disponibili sul mercato UE, anche dopo la fine del periodo di supporto. E non guarda dove sta il fabbricante: un’azienda fuori dall’UE che vende nel mercato unico porta gli stessi doveri di una di Monaco.

Il calendario complessivo dà alla segnalazione il suo posto. Le regole per gli organismi di valutazione della conformità valgono dall’11 giugno 2026. La segnalazione parte l’11 settembre 2026. L’insieme pieno degli obblighi, requisiti di sicurezza e marcatura CE compresi, si applica dall’11 dicembre 2027.

Data	Che cosa si applica
11 giugno 2026	Regole per la notifica degli organismi di valutazione della conformità
11 settembre 2026	Segnalazione: allerta in 24 ore, notifica in 72, rapporto finale in 14 giorni
11 dicembre 2027	Applicazione piena: requisiti essenziali, marcatura CE

E se la piattaforma per segnalare non è pronta?

Le segnalazioni passano da una Single Reporting Platform gestita da ENISA, che avvisa allo stesso tempo il CSIRT nazionale. A fine giugno 2026 quella piattaforma non era ancora operativa. ENISA aveva promesso istruzioni di registrazione, materiale di formazione e dry-run «durante giugno».

L’obbligo non aspetta lo strumento. L’articolo 14 si applica dall’11 settembre qualunque sia lo stato della piattaforma. L’azienda che conta di capire la meccanica il giorno in cui scopre una vulnerabilità sfruttata lo farà dentro le stesse 24 ore che deve al regolatore.

A luglio abbiamo scritto della finestra fra divulgazione e sfruttamento che si è ridotta a giorni. Da settembre, dentro quella finestra corre un orologio legale.

E in Svizzera?

La Svizzera non è nell’UE, e il CRA si applica lo stesso ai fabbricanti svizzeri, nel momento in cui i loro prodotti sono offerti, forniti o distribuiti nell’UE o nel SEE. Chi produce in Svizzera e vende in quel mercato porta gli stessi doveri di un fabbricante europeo, orologio di settembre compreso. L’importatore UE, dal canto suo, deve verificare la conformità del fabbricante prima di immettere il prodotto.

Un prodotto venduto solo in Svizzera resta fuori dal CRA. Per un esportatore svizzero di prodotti connessi la distinzione vale una riga nel registro dei rischi: la domanda non è se la vostra azienda sia svizzera, è dove finiscono i vostri prodotti.

Che cosa fare adesso

Decidete per iscritto se rientrate. Elencate che cosa vendete che contiene software e dove lo vendete. Se qualcosa raggiunge il mercato UE o SEE, in via diretta o attraverso un importatore o distributore, l’orologio di settembre è vostro.
Scrivete il runbook delle 24 ore. Nominate chi dichiara che l’azienda «ne è venuta a conoscenza», chi trasmette la segnalazione, e i loro sostituti per notti e fine settimana. Una regola che nessuno ha scritto salta alle 2 di notte di un sabato.
Fate l’inventario dei prodotti a cui non pensate più. Il dovere copre gli articoli ancora sul mercato UE il cui supporto è finito. La lista dei prodotti per quest’obbligo è più lunga del vostro catalogo attuale.
Date un responsabile alla piattaforma ENISA. Qualcuno in azienda deve registrarsi, provare il materiale di dry-run quando arriva, e conoscere la schermata di invio prima del primo incidente vero, non durante.

Domande frequenti

Vale per la mia azienda se vendiamo solo software?
Il software immesso sul mercato UE come prodotto con elementi digitali rientra. I confini fini, per i servizi puri o le componenti open source fra gli altri, meritano la lettura di un legale sul vostro catalogo specifico.

Che cosa dobbiamo segnalare, e a chi?
Due cose: le vulnerabilità dei vostri prodotti che qualcuno sta sfruttando davvero, e gli incidenti gravi che toccano la sicurezza di un prodotto. Le segnalazioni vanno a ENISA e al CSIRT nazionale attraverso la Single Reporting Platform, con l’allerta dovuta 24 ore dopo che ne siete venuti a conoscenza.

Quali sono le sanzioni?
Multe fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se maggiore, per le violazioni degli obblighi principali.

Siamo un’azienda svizzera. Il CRA ci raggiunge?
Sì, appena i vostri prodotti sono offerti o forniti nell’UE o nel SEE. Gli obblighi sono gli stessi di un fabbricante europeo, orologio della segnalazione compreso. I prodotti venduti solo in Svizzera restano fuori.

Una segnalazione di vulnerabilità è pubblica?
Va a ENISA e al CSIRT nazionale, ed esiste come atto. Decidere che cosa dire ai clienti, e quando, resta una vostra scelta dentro le più ampie regole di divulgazione che vi si applicano.

Se l’evidenza di una vulnerabilità sfruttata in un vostro prodotto arrivasse questo pomeriggio, chi in azienda sarebbe il padrone delle prossime 24 ore?