Un cliente ti avvisa che qualcuno sta sfruttando una vulnerabilità nel software che gli hai venduto. La segnalazione arriva sabato mattina nella casella dell’assistenza. Chi la legge? Chi valuta il caso? Chi può inviare il preallarme entro 24 ore?
Per i fabbricanti di prodotti coperti dal Cyber Resilience Act, questa è già una questione operativa. Gli obblighi di segnalazione si applicano dall’11 settembre 2026. I principali requisiti di sicurezza e conformità dei prodotti si applicheranno dall’11 dicembre 2027. Commissione europea – Obblighi di segnalazione
Che cos’è il Cyber Resilience Act
Il Cyber Resilience Act (CRA) è il Regolamento (UE) 2024/2847. Stabilisce requisiti di cybersicurezza per i prodotti con elementi digitali messi a disposizione sul mercato europeo, quando il loro uso previsto o ragionevolmente prevedibile comporta una connessione diretta o indiretta a un dispositivo o a una rete.
Per chi sviluppa e vende questi prodotti, la sicurezza diventa un requisito da gestire durante tutto il ciclo di vita. Occorre valutare i rischi in fase di progettazione, documentare le misure adottate e organizzarsi per ricevere segnalazioni, correggere le vulnerabilità e distribuire gli aggiornamenti di sicurezza dopo la vendita. EUR-Lex – Regolamento (UE) 2024/2847
A quali aziende e prodotti si applica
Il CRA può riguardare una software house che distribuisce un’applicazione installabile, un produttore di macchinari connessi o un’impresa che commercializza dispositivi IoT con il proprio marchio. Si applica anche ai prodotti destinati ad altre aziende. Chi li vende con il proprio nome o marchio può assumere gli obblighi del fabbricante anche quando affida lo sviluppo o la produzione a terzi. Importatori e distributori hanno obblighi specifici legati al loro ruolo.
Per il cloud conta come funziona il prodotto. Un SaaS autonomo erogato come puro servizio è in genere fuori dal perimetro del CRA. Un servizio remoto progettato dal fabbricante, o sotto la sua responsabilità, può invece rientrarvi se serve a svolgere una funzione del prodotto. È il caso, per esempio, del servizio cloud che consente di controllare a distanza un dispositivo connesso. Commissione europea – Guida all’applicazione del CRA
Cosa va segnalato entro 24 ore
L’articolo 14 impone ai fabbricanti di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto. L’obbligo riguarda anche i prodotti già immessi sul mercato che rientrano nel regolamento. La scoperta di una vulnerabilità, da sola, è diversa dall’accertamento che qualcuno la stia sfruttando. EUR-Lex – Articoli 14 e 69
Il fabbricante invia il preallarme entro 24 ore da quando viene a conoscenza del caso e, se le informazioni richieste non sono già state fornite, una notifica entro 72 ore dallo stesso momento. Segue una relazione finale, con termini diversi per vulnerabilità e incidenti. Le segnalazioni passano dalla Single Reporting Platform gestita da ENISA. Commissione europea – Tempi e modalità di notifica
Prendiamo il caso di un gateway industriale. Se un cliente segnala che qualcuno sta sfruttando una falla nel firmware, il fabbricante deve poter individuare rapidamente le versioni coinvolte, valutare le informazioni ricevute e attivare chi può inviare la segnalazione. Il primo test è semplice. Segui il percorso di un ticket urgente, dalla casella dell’assistenza fino alla persona che può decidere, anche fuori orario.
Cosa cambia dall’11 dicembre 2027
Per i prodotti immessi sul mercato da quella data, il fabbricante dovrà documentare i rischi informatici, rispettare i requisiti essenziali applicabili e seguire la procedura di valutazione della conformità prevista per il prodotto. A seconda della categoria, il percorso può richiedere l’intervento di un organismo notificato. Completata la valutazione, il fabbricante redige la dichiarazione UE di conformità e appone la marcatura CE.
L’azienda dovrà anche predisporre una SBOM, cioè una distinta dei componenti software, e gestire le vulnerabilità durante il periodo di assistenza. Questo periodo deve riflettere la durata d’uso prevista ed è in generale di almeno cinque anni, salvo quando l’uso atteso è più breve. Per i prodotti già immessi sul mercato, una modifica sostanziale dall’11 dicembre 2027 può far scattare l’applicazione dei requisiti generali. EUR-Lex – Articoli 13, 28–32 e 69 e allegato I
Qual è la differenza tra CRA e NIS2
Il CRA disciplina la sicurezza dei prodotti con elementi digitali. La NIS2 disciplina la gestione dei rischi informatici e degli incidenti nelle organizzazioni che rientrano nel suo perimetro. Un’impresa può essere soggetta a entrambi e dover valutare separatamente gli obblighi applicabili. EUR-Lex – Direttiva NIS2
Da dove partire in azienda
- Scegli un prodotto. Annota come lo distribuisci, con quale marchio e da quali componenti software e servizi remoti dipende.
- Prova la gestione di una segnalazione urgente. Verifica chi riceve l’avviso, chi decide se scatta la notifica e chi può inviarla. Individua anche un sostituto.
- Raccogli la documentazione esistente. Parti dall’inventario delle dipendenze, dalle modalità di rilascio degli aggiornamenti e dalla durata del supporto. Confrontali con i requisiti applicabili per capire dove intervenire.
Richiedi una valutazione preliminare a DFStudio
Se sviluppi software, produci dispositivi connessi o vendi prodotti digitali con il tuo marchio, possiamo partire da un solo prodotto. La valutazione preliminare serve a capire se rientra nel CRA, quale ruolo ha la tua azienda e quali attività affrontare per prime.
Nel messaggio descrivi che cosa fa il prodotto, come arriva al cliente e con quale marchio viene venduto o distribuito.