Cyber Resilience Act. Il conto alla rovescia.

Il problema: la segnalazione che nessuno legge

Venerdì pomeriggio. Un cliente scrive alla casella info@: "Sulla vostra macchina abbiamo trovato un accesso remoto che qualcuno sta usando". L'email finisce tra un sollecito e una richiesta d'offerta. Nessuno la apre fino a lunedì.

Prima era un problema di immagine. Oggi, con il Cyber Resilience Act, per alcune aziende è anche un obbligo mancato: il tempo per avvisare le autorità corre da quando ne vieni a conoscenza, non da quando qualcuno trova il tempo di leggere. Ogni ora persa pesa: sul cliente, sulla tua reputazione, sul rischio di sanzione.

Cosa dice la norma, in breve

Il Regolamento (UE) 2024/2847, detto Cyber Resilience Act (CRA), è stato pubblicato nella Gazzetta ufficiale dell'Unione europea il 20 novembre 2024 ed è in vigore dal 10 dicembre 2024. Come regolamento, si applica direttamente in tutti gli Stati membri.

• Cosa riguarda: i "prodotti con elementi digitali", hardware e software, messi a disposizione sul mercato dell'Unione. Pensa a macchine connesse, dispositivi, componenti, software venduti ai clienti.
• Chi riguarda: fabbricanti, importatori e distributori, con obblighi diversi.
• Marcatura CE: dopo la valutazione di conformità, il fabbricante appone la marcatura CE, che indica il rispetto dei requisiti del CRA.
• Periodo di assistenza: il fabbricante deve gestire le vulnerabilità per tutto il periodo di assistenza, che di norma è di almeno cinque anni, salvo prodotti con un uso previsto più breve.

Le date da segnare

• 11 giugno 2026: si applicano le regole sugli organismi di valutazione della conformità.
• 11 settembre 2026: si applicano gli obblighi di segnalazione dell'articolo 14. Riguardano anche i prodotti già sul mercato.
• 11 dicembre 2027: si applicano gli obblighi principali del regolamento.

Per le vulnerabilità attivamente sfruttate e gli incidenti gravi, il fabbricante invia un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale: entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità, entro un mese per gli incidenti gravi. Le segnalazioni passano dalla piattaforma unica gestita da ENISA. Tutti i dettagli sono nella pagina della Commissione sugli obblighi di segnalazione.

Quanto ti costa arrivare impreparato

Per la violazione dei requisiti essenziali e degli obblighi di fabbricante e di segnalazione, il regolamento prevede sanzioni fino a 15 milioni di euro o fino al 2,5% del fatturato mondiale annuo, se superiore. Le autorità di vigilanza possono anche chiedere il ritiro o il richiamo dei prodotti. E c'è il costo che non si vede in bilancio: un cliente che scopre che la sua segnalazione è rimasta tre giorni senza risposta.

Cosa fare subito

1. Capisci il tuo ruolo, con il tuo consulente: fabbricante, importatore o distributore, e di quali prodotti.
2. Fai l'inventario: quali prodotti con software sono sul mercato e quali componenti contengono.
3. Crea un canale unico per le segnalazioni di sicurezza, con una persona che decide entro poche ore. Niente segnalazioni disperse tra caselle diverse.
4. Stabilisci il periodo di assistenza di ogni prodotto e come distribuirai gli aggiornamenti.
5. Metti in ordine la documentazione tecnica: deve essere facile da trovare, anche quando la persona che la conosce è in ferie.

Come ti aiuta SAITEKO, e cosa non facciamo

SAITEKO non fa valutazioni di conformità, non è un fornitore di cybersecurity e non sostituisce il tuo consulente. Ti aiuta però su due punti in cui le aziende perdono tempo prezioso.

• Nessuna email persa: il Pack Inbox classifica le email delle caselle condivise e le assegna alla persona giusta, con una bozza di risposta pronta in Outlook o Gmail. Il tuo team controlla e invia. Nella call valutiamo insieme come trattare le segnalazioni di sicurezza, perché non restino sepolte.
• Documenti a portata di mano: TEKO-AI conosce documenti e procedure della tua azienda, risponde citando le fonti e rispetta i permessi di ogni ruolo.
• Persone preparate: l'Academy forma direzione e team sull'uso sicuro dell'AI e sui dati da proteggere.
• Nel tempo: registro di ogni passaggio, dati nell'Unione Europea, accessi minimi. Con l'abbonamento aggiornamenti e consulenze sono inclusi; in alternativa c'è la licenza perpetua.

Fonti ufficiali

• Regolamento (UE) 2024/2847, EUR-Lex
• Commissione europea, Cyber Resilience Act
• Commissione europea, sintesi del testo
• Commissione europea, obblighi di segnalazione

Vuoi che nessuna segnalazione resti in fondo alla casella? Richiedi una call e guardiamo insieme il tuo flusso di email.

Contenuto informativo aggiornato a novembre 2026: non costituisce consulenza legale. Verifica gli obblighi specifici con il tuo consulente.