Regolamento europeo che introduce requisiti obbligatori di cybersicurezza per i prodotti hardware e software con elementi digitali.
Cosa cambia da oggi
L'11 settembre 2026 segna il primo vero passaggio operativo del Cyber Resilience Act (Regolamento UE 2024/2847), il regolamento europeo che introduce requisiti obbligatori di cybersicurezza per i prodotti hardware e software con elementi digitali. In vigore dal dicembre 2024, il CRA vede da oggi l'attivazione dell' Articolo 14 , che impone ai fabbricanti severi obblighi di comunicazione.
Da questa data, i produttori di prodotti con elementi digitali devono segnalare due categorie di eventi:
- le vulnerabilità attivamente sfruttate ;
- gli incidenti gravi con impatto sulla sicurezza del prodotto.
Le tempistiche sono strette: un primo preallarme va trasmesso entro 24 ore dal momento in cui l'azienda viene a conoscenza del problema, seguito da una notifica più completa entro 72 ore . Le segnalazioni passano attraverso la Single Reporting Platform di ENISA, che le inoltra ai CSIRT nazionali competenti.
Un cambiamento organizzativo, non solo procedurale
Rispettare questi tempi richiede più di un modulo da compilare a incidente avvenuto. Le imprese devono definire in anticipo:
- chi individua la vulnerabilità
- chi ne valuta la gravità ;
- chi raccoglie le informazioni necessarie;
- chi ha la responsabilità della segnalazione.
Le funzioni tecnologiche, legali e di compliance devono condividere la stessa mappa del rischio prima che si verifichi un incidente: con una finestra di 24 ore,
Non è ancora la piena applicazione
L'11 settembre non esaurisce gli obblighi del CRA. La piena applicazione del regolamento è fissata all' 11 dicembre 2027 , quando entreranno in vigore i requisiti generali sulla sicurezza dei prodotti: security by design, gestione delle vulnerabilità lungo tutto il periodo di supporto, documentazione tecnica e, per le categorie interessate, le procedure di valutazione della conformità.
Nel frattempo, sono state pubblicate linee guida europee a supporto di imprese e produttori nell'applicazione delle nuove disposizioni, un aiuto concreto per chi deve strutturare processi di incident response, vulnerability management e coordinated vulnerability disclosure (CVD) senza attendere il 2027.
Un tassello di un quadro normativo più ampio
Il CRA non è¨ un caso isolato. Si inserisce in un 2026 in cui le imprese tecnologiche europee si trovano a gestire obblighi di compliance crescenti e paralleli, dagli obblighi già avviati con l' AI Act ai nuovi requisiti di cybersicurezza dei prodotti. Conoscere per tempo le scadenze e strutturare i processi interni di conseguenza è oggi parte integrante della competitività, non solo della compliance.
