Dall'11 settembre 2026 il Cyber Resilience Act introduce un obbligo di segnalazione per chi produce prodotti con elementi digitali, cioè software e hardware connessi a un dispositivo o a una rete. Segnalare significa notificare l'evento alle autorità europee (ENISA e il CSIRT competente) entro tempi precisi, a partire da un primo allarme entro 24 ore. L'obbligo riguarda solo le vulnerabilità attivamente sfruttate e gli incidenti gravi, non tutte le vulnerabilità: scatta quando il produttore viene a conoscenza dell'evento, non come monitoraggio sistematico.
Perché l'11 settembre 2026 conta
Il Cyber Resilience Act (Regolamento UE 2024/2847, "CRA") sarà pienamente applicabile solo dall'11 dicembre 2027. Eppure una delle sue disposizioni più operative arriva prima: l'11 settembre 2026 entra in applicazione l'obbligo di segnalazione previsto dall'articolo 14. Per molte aziende è la prima prova concreta del nuovo quadro europeo, e non a fine 2027.
Non è un tema da leggere in chiave di emergenza. È piuttosto un passaggio di maturità del mercato digitale europeo: la segnalazione tempestiva delle vulnerabilità sfruttate diventa un obbligo di legge, con tempi definiti, anziché una buona pratica lasciata alla sensibilità del singolo produttore. Capire con precisione che cosa scatta, e che cosa no, è il modo migliore per arrivarci preparati.
Cos'è il CRA e come si applica per tappe
Il Cyber Resilience Act è il primo quadro orizzontale europeo sulla cybersicurezza dei "prodotti con elementi digitali", cioè qualsiasi prodotto software o hardware — e le relative soluzioni di elaborazione dati da remoto — la cui finalità prevista o l'uso ragionevolmente prevedibile include una connessione, diretta o indiretta, a un dispositivo o a una rete. Rientrano quindi software, firmware, dispositivi IoT e componenti immessi sul mercato separatamente.
Il Regolamento è entrato in vigore il 10 dicembre 2024 e si applica per tappe. Il Capo IV, sulla notifica degli organismi di valutazione della conformità, si applica dall'11 giugno 2026. L'obbligo di segnalazione dell'articolo 14 si applica dall'11 settembre 2026. Le disposizioni principali — requisiti essenziali di cybersicurezza, gestione delle vulnerabilità lungo il ciclo di vita, valutazione di conformità e marcatura CE — si applicano dall'11 dicembre 2027. È utile tenere distinte queste date: ciò che cambia a settembre 2026 è circoscritto e va letto per quello che è.
Cosa scatta davvero l'11 settembre
L'articolo 14 non impone di segnalare ogni vulnerabilità del prodotto. Fissa un obbligo a due binari, attivato da eventi specifici. Vediamoli, definendo ciascun termine.
Vulnerabilità attivamente sfruttata. È una vulnerabilità presente nel prodotto per la quale esistono prove attendibili che un soggetto malintenzionato la stia già utilizzando per comprometterne la sicurezza. È solo questa categoria — non la vulnerabilità in quanto tale — a far scattare l'obbligo. Un esempio chiarisce il confine: una vulnerabilità "zero-day" individuata da ricercatori e comunicata al produttore nell'ambito di un programma bug-bounty, per la quale non vi sono prove di sfruttamento doloso, non è una vulnerabilità attivamente sfruttata e non rientra nell'obbligo. Il produttore può comunque segnalarla su base volontaria.
Incidente grave. È un evento che impatta in modo serio sulla sicurezza del prodotto — per esempio compromettendone disponibilità, autenticità, integrità o riservatezza. I criteri di gravità sono definiti all'articolo 14, paragrafo 5.
Il trigger "viene a conoscenza". I termini di notifica decorrono dal momento in cui il produttore apprende dell'evento. Non è un dovere di monitoraggio o di scansione sistematica, che appartiene a una fase successiva del CRA.
Cosa NON è richiesto a settembre 2026. SBOM (la distinta dei componenti software), politiche di divulgazione coordinata e monitoraggio sistematico non sono obblighi dell'articolo 14: discendono dall'articolo 13 e dagli allegati, applicabili dall'11 dicembre 2027. È l'equivoco più diffuso, e va disinnescato: a settembre 2026 non occorre avere già operativo l'intero impianto di vulnerability management.
A chi e in quali tempi si segnala
La notifica va indirizzata, in contemporanea, all'ENISA (l'Agenzia dell'Unione europea per la cybersicurezza) e al CSIRT designato come coordinatore, cioè il team nazionale di risposta agli incidenti competente per lo Stato in cui il produttore ha lo stabilimento principale. Il canale unico è la
Single Reporting Platform (SRP), la piattaforma istituita ai sensi dell'articolo 16 e gestita da ENISA: si segnala una sola volta, e la piattaforma instrada la notifica agli altri CSIRT degli Stati membri interessati.
La sequenza prevista dal testo è a cascata: un
early warning entro 24 ore dal momento in cui il produttore viene a conoscenza dell'evento; una
notifica completa entro 72 ore, con valutazione iniziale e misure in corso; un
report finale entro 14 giorni per le vulnerabilità attivamente sfruttate (a partire dalla disponibilità di una misura correttiva) o
entro un mese per gli incidenti gravi.
A inizio settembre 2026 ENISA conferma che la Single Reporting Platform diventerà operativa l'11 settembre 2026, in coincidenza con l'entrata in vigore dell'obbligo, e che in una prima fase gestirà solo le segnalazioni obbligatorie; la registrazione richiede un account EU Login con autenticazione a più fattori e la validazione del CSIRT procede in parallelo, senza bloccare le prime notifiche. La data dell'obbligo è fissa: conviene quindi individuare per tempo il proprio CSIRT coordinatore e predisporre i processi interni, senza attendere che lo strumento compaia.
Per l'Italia, l'interlocutore tecnico-operativo è il
CSIRT Italia, articolazione dell'Agenzia per la Cybersicurezza Nazionale (ACN). La verifica puntuale del CSIRT coordinatore competente va fatta sull'elenco che ENISA pubblicherà, e presso ACN.
Chi è obbligato e i prodotti già in commercio
I destinatari dell'obbligo di reporting previsto dall'art.14 sono i produttori (fabbricanti) di prodotti con elementi digitali, inclusi i produttori extra UE che immettono i prodotti sul mercato europeo. Lungo la filiera, anche importatori e distributori hanno responsabilità di verifica della conformità dei prodotti che mettono a disposizione sul mercato.
C'è un punto spesso trascurato, fissato dall'articolo 69, paragrafo 3: l'obbligo di segnalazione si applica anche ai prodotti già immessi sul mercato prima dell'11 dicembre 2027, indipendentemente dalla data di vendita. Per questi prodotti il CRA richiede la notifica della vulnerabilità sfruttata o dell'incidente, ma non gli altri obblighi (come la gestione completa delle vulnerabilità). In sintesi: se un prodotto è ancora in uso e contiene una vulnerabilità attivamente sfruttata, va segnalata a partire da settembre 2026.
Cosa NON scatta a settembre e i rapporti con NIS2 e GDPR
Per evitare letture eccessive, conviene ribadire i limiti. A settembre 2026
non scattano i requisiti essenziali di sicurezza, la gestione completa delle vulnerabilità dell'articolo 13, la valutazione di conformità e la marcatura CE: tutto questo arriva dall'11 dicembre 2027.
La segnalazione prevista dal CRA, inoltre, non sostituisce gli obblighi di notifica di altre norme, che possono cumularsi sullo stesso evento. La Direttiva NIS2 (UE 2022/2555) prevede obblighi di notifica degli incidenti per i soggetti essenziali e importanti; il GDPR (Regolamento UE 2016/679) impone la notifica delle violazioni di dati personali al Garante. Uno stesso incidente, a seconda dei casi, può quindi attivare più canali. La logica temporale è simile a quella già nota — le finestre delle 24 e 72 ore ricorrono in più normative europee — ma gli obblighi restano distinti e vanno valutati separatamente.
Sul fronte sanzionatorio, il CRA prevede un apparato amministrativo articolato per gravità: per le violazioni più gravi, comprese quelle relative agli articoli 13 e 14, le sanzioni possono arrivare fino a 15 milioni di euro o, se l'autore è un'impresa, fino al 2,5% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. Il Regolamento prevede però alcune attenuazioni: microimprese e piccole imprese non sono sanzionabili per il solo mancato rispetto del termine delle 24 ore, e i gestori (steward) di software open source non sono soggetti alle sanzioni del CRA. Per gli importi puntuali e i singoli casi è il testo del Regolamento a fare fede.
Sicurezza dei prodotti e della filiera
Rispettare tempi così stretti non dipende dall'avere un semplice canale per le segnalazioni. Presuppone sapere quali prodotti e versioni sono coinvolti, quali componenti sono vulnerabili, se la vulnerabilità è realmente sfruttabile e come coordinare in poche ore sviluppo, sicurezza, supporto e funzioni legali. Servono cioè processi di rilevazione e triage, tracciabilità dei componenti e canali di aggiornamento affidabili: gli stessi presupposti su cui poggia un'infrastruttura ben gestita.
È il contesto in cui le aziende sviluppano ed erogano i propri prodotti. Aruba, come operatore di infrastruttura, applica ai propri servizi un approccio di sicurezza che muove dall'analisi del rischio e dalla gestione delle vulnerabilità, con data center certificati e processi di monitoraggio continuo. Resta utile ricordare il confine fissato dalla norma stessa: l'obbligo di segnalazione corre direttamente tra produttore e autorità (ENISA e CSIRT). Il ricorso a un fornitore di infrastruttura non trasferisce, di per sé, ai provider l'obbligo di notifica che il CRA attribuisce al fabbricante. La preparazione — mappare i prodotti, definire chi può autorizzare una notifica entro 24 ore anche di sabato, registrarsi alla piattaforma quando sarà disponibile — resta in capo a chi immette il prodotto sul mercato.