Cyber Resilience Act: le segnalazioni sono attive, il resto nel 2027

Pubblicato 19 ottobre 2026 · Di Dazr

Dall'11 settembre 2026 i fabbricanti segnalano vulnerabilità sfruttate e incidenti gravi all'ENISA. Il CRA si applica in pieno da dicembre 2027.

Il Cyber Resilience Act (regolamento (UE) 2024/2847) fissa requisiti di sicurezza per hardware e software venduti nell'UE. Il suo primo obbligo con un peso reale è ora in vigore, e i requisiti principali arrivano tra poco più di un anno.

Cosa si applica dall'11 settembre 2026

I fabbricanti di prodotti con elementi digitali devono segnalare due tipi di eventi tramite la piattaforma unica di segnalazione dell'ENISA, lanciata l'11 settembre 2026:

Vulnerabilità attivamente sfruttate nei loro prodotti: un preallarme entro 24 ore da quando ne vengono a conoscenza, una notifica entro 72 ore e una relazione finale entro 14 giorni da quando è disponibile una misura correttiva o di mitigazione.
Incidenti gravi che incidono sulla sicurezza dei loro prodotti: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica.

La segnalazione va al CSIRT dello Stato membro del fabbricante, che coordina, e contemporaneamente all'ENISA. Il fabbricante deve anche informare gli utilizzatori del prodotto, se necessario indicando le misure che possono adottare.

Gli obblighi valgono anche per i prodotti già sul mercato, non solo per quelli nuovi (articolo 69, paragrafo 3). Sono coinvolti anche i micro e piccoli fabbricanti, che però non possono essere sanzionati se mancano soltanto il preallarme entro 24 ore.

Le prossime tappe

11 dicembre 2027: il CRA si applica integralmente: sicurezza fin dalla progettazione, gestione delle vulnerabilità per tutto il periodo di assistenza, documentazione tecnica, valutazione della conformità e marcatura CE. Dalla stessa data partono anche gli obblighi di segnalazione per gli steward del software open source.
Dall'11 giugno 2026 si applicano le norme sulla notifica degli organismi di valutazione della conformità, perché gli organismi notificati siano pronti prima del 2027.

Cosa fare ora

Decidete chi nella vostra organizzazione può inviare una segnalazione entro 24 ore, anche nel fine settimana, e verificate l'accesso alla piattaforma.
Tenete un'unica registrazione per evento con il momento in cui ne siete venuti a conoscenza, perché ogni scadenza decorre da lì.
Preparate un breve testo tipo per informare gli utilizzatori.
Usate il tempo fino a dicembre 2027 per i requisiti di progettazione e documentazione: un inventario dei prodotti interessati, una distinta dei componenti software (SBOM) e un processo di gestione delle vulnerabilità.

L'articolo 14 nel dettaglio nella nostra guida: segnalazioni nel Cyber Resilience Act.

Fonti

A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 19 ottobre 2026.

Argomenti: Cyber Resilience Act, ENISA, UE

Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål