{"id":34136,"date":"2026-08-24T10:47:49","date_gmt":"2026-08-24T08:47:49","guid":{"rendered":"https:\/\/zeroedge.ch\/?p=34136"},"modified":"2026-08-24T10:47:49","modified_gmt":"2026-08-24T08:47:49","slug":"cra-obbligo-segnalazione-24-ore-settembre-2026","status":"publish","type":"post","link":"https:\/\/zeroedge.ch\/it\/cra-obbligo-segnalazione-24-ore-settembre-2026\/","title":{"rendered":"L’orologio delle 24 ore parte l’11 settembre: vale anche per i prodotti spediti anni fa"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dall’11 settembre 2026 ogni fabbricante di prodotti connessi venduti nell’UE ha 24 ore per segnalare alle autorit\u00e0 una vulnerabilit\u00e0 attivamente sfruttata, con sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale per chi manca. L’orologio corre anche per i prodotti spediti anni fa, compresi quelli il cui supporto \u00e8 finito.<\/p>\n\n

Il Cyber Resilience Act \u00e8 la legge europea che fa della cybersicurezza una condizione per vendere prodotti con elementi digitali nel mercato unico. Il suo primo obbligo duro non \u00e8 un requisito tecnico. \u00c8 una scadenza.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

Che cosa parte l'11 settembre 2026?<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’articolo 14 del regolamento. Da quella data, il fabbricante che viene a conoscenza di una vulnerabilit\u00e0 attivamente sfruttata in un suo prodotto, o di un incidente grave che ne tocca la sicurezza, deve avvisare ENISA, l’agenzia europea per la cybersicurezza, e il CSIRT nazionale.<\/p>\n\n

Il calendario lascia poco spazio ai comitati. Un’allerta entro 24 ore da quando se ne viene a conoscenza. Una notifica completa entro 72 ore. Un rapporto finale entro 14 giorni dalla disponibilit\u00e0 di una correzione per le vulnerabilit\u00e0, o entro un mese per gli incidenti gravi.<\/p>\n\n

La soglia conta: vulnerabilit\u00e0 \u00abattivamente sfruttata\u00bb significa evidenza di attacchi reali, non sfruttabilit\u00e0 teorica. Il giorno in cui quell’evidenza arriva sulla scrivania di qualcuno, le 24 ore cominciano.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

Quali prodotti e quali aziende rientrano?<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

I prodotti con elementi digitali immessi sul mercato UE. L’hardware con dentro del software, il software venduto come prodotto, i dispositivi connessi che la vostra linea di prodotto spedisce da prima che si dicesse IoT.<\/p>\n\n

Due dettagli meritano l’attenzione di un consiglio. L’obbligo segue il prodotto, quindi copre articoli spediti anni fa e ancora disponibili sul mercato UE, anche dopo la fine del periodo di supporto. E non guarda dove sta il fabbricante: un’azienda fuori dall’UE che vende nel mercato unico porta gli stessi doveri di una di Monaco.<\/p>\n\n

Il calendario complessivo d\u00e0 alla segnalazione il suo posto. Le regole per gli organismi di valutazione della conformit\u00e0 valgono dall’11 giugno 2026. La segnalazione parte l’11 settembre 2026. L’insieme pieno degli obblighi, requisiti di sicurezza e marcatura CE compresi, si applica dall’11 dicembre 2027.<\/p>\n\n\n\n
Data<\/th>Che cosa si applica<\/th><\/tr><\/thead>\n
11 giugno 2026<\/td>Regole per la notifica degli organismi di valutazione della conformit\u00e0<\/td><\/tr>\n
11 settembre 2026<\/strong><\/td>Segnalazione: allerta in 24 ore, notifica in 72, rapporto finale in 14 giorni<\/strong><\/td><\/tr>\n
11 dicembre 2027<\/td>Applicazione piena: requisiti essenziali, marcatura CE<\/td><\/tr>\n<\/tbody>\n<\/table>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

E se la piattaforma per segnalare non \u00e8 pronta?<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le segnalazioni passano da una Single Reporting Platform gestita da ENISA, che avvisa allo stesso tempo il CSIRT nazionale. A fine giugno 2026 quella piattaforma non era ancora operativa. ENISA aveva promesso istruzioni di registrazione, materiale di formazione e dry-run \u00abdurante giugno\u00bb.<\/p>\n\n

L’obbligo non aspetta lo strumento. L’articolo 14 si applica dall’11 settembre qualunque sia lo stato della piattaforma. L’azienda che conta di capire la meccanica il giorno in cui scopre una vulnerabilit\u00e0 sfruttata lo far\u00e0 dentro le stesse 24 ore che deve al regolatore.<\/p>\n\n

A luglio abbiamo scritto della finestra fra divulgazione e sfruttamento che si \u00e8 ridotta a giorni<\/a>. Da settembre, dentro quella finestra corre un orologio legale.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

E in Svizzera?<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La Svizzera non \u00e8 nell’UE, e il CRA si applica lo stesso ai fabbricanti svizzeri, nel momento in cui i loro prodotti sono offerti, forniti o distribuiti nell’UE o nel SEE. Chi produce in Svizzera e vende in quel mercato porta gli stessi doveri di un fabbricante europeo, orologio di settembre compreso. L’importatore UE, dal canto suo, deve verificare la conformit\u00e0 del fabbricante prima di immettere il prodotto.<\/p>\n\n

Un prodotto venduto solo in Svizzera resta fuori dal CRA. Per un esportatore svizzero di prodotti connessi la distinzione vale una riga nel registro dei rischi: la domanda non \u00e8 se la vostra azienda sia svizzera, \u00e8 dove finiscono i vostri prodotti.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

Che cosa fare adesso<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
    \n
  1. Decidete per iscritto se rientrate.<\/strong> Elencate che cosa vendete che contiene software e dove lo vendete. Se qualcosa raggiunge il mercato UE o SEE, in via diretta o attraverso un importatore o distributore, l’orologio di settembre \u00e8 vostro.<\/li>\n
  2. Scrivete il runbook delle 24 ore.<\/strong> Nominate chi dichiara che l’azienda \u00abne \u00e8 venuta a conoscenza\u00bb, chi trasmette la segnalazione, e i loro sostituti per notti e fine settimana. Una regola che nessuno ha scritto salta alle 2 di notte di un sabato.<\/li>\n
  3. Fate l’inventario dei prodotti a cui non pensate pi\u00f9.<\/strong> Il dovere copre gli articoli ancora sul mercato UE il cui supporto \u00e8 finito. La lista dei prodotti per quest’obbligo \u00e8 pi\u00f9 lunga del vostro catalogo attuale.<\/li>\n
  4. Date un responsabile alla piattaforma ENISA.<\/strong> Qualcuno in azienda deve registrarsi, provare il materiale di dry-run quando arriva, e conoscere la schermata di invio prima del primo incidente vero, non durante.<\/li>\n<\/ol>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\n\n\n \n \n
    \n

    Domande frequenti<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Vale per la mia azienda se vendiamo solo software?<\/strong>
    \nIl software immesso sul mercato UE come prodotto con elementi digitali rientra. I confini fini, per i servizi puri o le componenti open source fra gli altri, meritano la lettura di un legale sul vostro catalogo specifico.<\/p>\n\n

    Che cosa dobbiamo segnalare, e a chi?<\/strong>
    \nDue cose: le vulnerabilit\u00e0 dei vostri prodotti che qualcuno sta sfruttando davvero, e gli incidenti gravi che toccano la sicurezza di un prodotto. Le segnalazioni vanno a ENISA e al CSIRT nazionale attraverso la Single Reporting Platform, con l’allerta dovuta 24 ore dopo che ne siete venuti a conoscenza.<\/p>\n\n

    Quali sono le sanzioni?<\/strong>
    \nMulte fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se maggiore, per le violazioni degli obblighi principali.<\/p>\n\n

    Siamo un’azienda svizzera. Il CRA ci raggiunge?<\/strong>
    \nS\u00ec, appena i vostri prodotti sono offerti o forniti nell’UE o nel SEE. Gli obblighi sono gli stessi di un fabbricante europeo, orologio della segnalazione compreso. I prodotti venduti solo in Svizzera restano fuori.<\/p>\n\n

    Una segnalazione di vulnerabilit\u00e0 \u00e8 pubblica?<\/strong>
    \nVa a ENISA e al CSIRT nazionale, ed esiste come atto. Decidere che cosa dire ai clienti, e quando, resta una vostra scelta dentro le pi\u00f9 ampie regole di divulgazione che vi si applicano.<\/p>\n\n

    Se l’evidenza di una vulnerabilit\u00e0 sfruttata in un vostro prodotto arrivasse questo pomeriggio, chi in azienda sarebbe il padrone delle prossime 24 ore?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\n\n\n \n \n
    \n

    Fonti<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t