# 24 ore per segnalare: chi deve far parte della decisione interna > L'articolo spiega l'obbligo di allerta precoce entro 24 ore ai sensi dell'articolo 14 del Cyber Resilience Act, valido dall'11 settembre 2026. Si rivolge ai fabbricanti e indica cosa chiarire in anticipo. Autore: SwissGRC®. - URL: https://swissgrc.com/it/24-ore-per-segnalare-decisori-interni/ - Editore: SwissGRC® - Pubblicato: 2026-09-01 - Ultimo aggiornamento: 2026-09-01 ## Punti chiave - Dall'11 settembre 2026 i fabbricanti segnalano le vulnerabilità attivamente sfruttate entro 24 ore dalla presa di conoscenza al CSIRT competente e contemporaneamente all'ENISA. - Il termine di 24 ore decorre dalla presa di conoscenza e non da una decisione interna sull'opportunità di segnalare. - Il CSIRT competente è quello dello Stato membro dello stabilimento principale; senza stabilimento nell'UE vale la cascata: rappresentante autorizzato, importatore, distributore, Stato con il maggior numero di utenti. - Entro 72 ore segue una segnalazione di follow-up; la relazione finale è dovuta entro 14 giorni dalla disponibilità di una misura correttiva, oppure entro un mese in caso di grave incidente di sicurezza. - Le microimprese e le piccole imprese restano soggette all'obbligo di segnalazione, ma non incorrono in sanzioni se non rispettano il termine di 24 ore. - Prima dell'11 settembre 2026 vanno stabiliti per iscritto l'attribuzione del CSIRT, i referenti primari e secondari con regola di sostituzione e l'approvazione interna della segnalazione. Dall’11 settembre 2026, i fabbricanti dovranno segnalare le vulnerabilità attivamente sfruttate a un CSIRT competente e contemporaneamente all’ENISA entro 24 ore dal momento in cui ne vengono a conoscenza. Questo termine decorre dal momento della presa di conoscenza, non da quello di una decisione interna sull’opportunità di segnalare. Le organizzazioni che chiariscono responsabilità, referenti e criteri di triage solo al verificarsi di un incidente perdono ore preziose. L’obbligo di segnalazione previsto dall’articolo 14 del Cyber Resilience Act funziona solo se la catena decisionale è già stata predisposta in anticipo. In breve Dall’11 settembre 2026, l’articolo 14 del Cyber Resilience Act impone un’allerta precoce entro 24 ore dalla presa di conoscenza di una vulnerabilità attivamente sfruttata, da trasmettere contemporaneamente al CSIRT competente e all’ENISA. Per rispettare questo termine, l’attribuzione del CSIRT, i referenti primari e secondari nominativi con una regola di sostituzione e il triage interno devono essere già stabiliti prima del verificarsi di un incidente. 24ore Termine per l’allerta precoce dopo la presa di conoscenza cyber-resilience-act.de, articolo 14, obblighi di segnalazione dei fabbricanti 72ore Termine per la segnalazione di follow-up con informazioni dettagliate mogwailabs, obblighi di segnalazione e divulgazione ai sensi del Cyber Resilience Act 14giorni Termine per la relazione finale dopo la disponibilità di una misura correttiva itmr-legal, Cyber Resilience Act: obblighi di segnalazione ai sensi del CRA dall’11 settembre 2026 ## Cosa deve essere esattamente segnalato entro 24 ore? Il fabbricante trasmette un’allerta precoce relativa alla vulnerabilità attivamente sfruttata, indicando almeno gli Stati membri interessati, contemporaneamente al CSIRT competente e all’ENISA. Il termine decorre dal momento della presa di conoscenza e richiede un’azione senza indebito ritardo, comunque entro 24 ore al massimo. La disposizione di riferimento è l’[articolo 14 del Cyber Resilience Act](https://cyber-resilience-act.de/cra/kapitel-2/artikel-14/), che prevede la segnalazione tramite la piattaforma di segnalazione unica, in modo che il CSIRT e l’ENISA ricevano l’accesso contemporaneamente. Questa prima segnalazione rimane volutamente sintetica: identifica la vulnerabilità e gli Stati interessati, nient’altro. Le organizzazioni che chiariscono solo in questa fase chi è autorizzato a segnalare e quali informazioni siano ammissibili hanno già mancato il termine. ## Quale CSIRT è competente, e come interviene l’ENISA? Il CSIRT competente è quello dello Stato membro in cui si trova lo stabilimento principale del fabbricante, in Germania ad esempio il BSI; l’ENISA riceve la stessa segnalazione in parallelo tramite la piattaforma condivisa. Se un fabbricante non ha uno stabilimento principale nell’UE, si applica un ordine di precedenza stabilito per legge: prima lo Stato membro del rappresentante autorizzato, poi quello dell’importatore, poi quello del distributore e infine lo Stato con il maggior numero di utenti. Questa cascata prevista dall’articolo 14, paragrafo 7, non può essere improvvisata al verificarsi di un incidente; deve essere definita e documentata in anticipo. Un’analoga incertezza sulla propria classificazione emerge già nella lacuna di registrazione NIS2, dove le aziende chiariscono il proprio ambito di applicazione solo in fase tardiva. Nel Cyber Resilience Act, il termine ridotto rende questo problema ancora più pressante. ## Perché la catena decisionale deve essere stabilita prima del verificarsi di un incidente? Poiché il termine di 24 ore decorre dal momento della presa di conoscenza e non lascia tempo per successivi chiarimenti organizzativi, l’attribuzione del CSIRT, i referenti e il processo di approvazione devono essere stabiliti in anticipo. Prima dell’11 settembre 2026, occorre determinare un CSIRT competente in base all’ubicazione dello stabilimento principale e nominare un [referente primario e secondario](https://www.advisori.de/blog/cra-meldeplattform-enisa-srp-registrierung), con una regola di sostituzione per festivi e fine settimana. Questo lavoro preparatorio riguarda non solo il reparto legale, ma anche l’unità che per prima rileva una vulnerabilità attivamente sfruttata, come un security operations center. L’accumulo di ritardi visibile in altri obblighi del CRA, ad esempio riguardo alla distinta base del software, mostra che questo tipo di lavoro preparatorio inizia spesso tardi nel settore. Le organizzazioni che chiariscono l’approvazione di una segnalazione solo al verificarsi di un incidente perdono tempo che il termine non consente. L’attribuzione del CSIRT e i referenti nominativi non dovrebbero essere testati per la prima volta al verificarsi di un incidente. ## Cosa segue l’allerta precoce? Entro 72 ore, il fabbricante fornisce una segnalazione di follow-up con le versioni di prodotto interessate, il tipo di vulnerabilità e le misure disponibili; segue in seguito una relazione finale. La relazione finale è dovuta entro 14 giorni dalla disponibilità di una misura correttiva per una vulnerabilità attivamente sfruttata, oppure entro un mese in caso di grave incidente di sicurezza. Il CSIRT coordinatore richiede una relazione intermedia solo su richiesta; non si tratta di un obbligo standard. L’articolo 14, paragrafo 8, obbliga inoltre il fabbricante a informare gli utenti interessati sulla vulnerabilità; se il fabbricante non lo fa, i CSIRT possono effettuare essi stessi questa notifica. Anche questa notifica agli utenti richiede una propria approvazione, che deve essere pianificata all’interno della catena decisionale. ## Chi è esonerato dall’obbligo di segnalazione? Le microimprese e le piccole imprese restano soggette all’obbligo di segnalazione, ma non incorrono in sanzioni se non rispettano il termine di 24 ore; la ricerca in buona fede sulla sicurezza, senza intenti malevoli, non rientra affatto nell’obbligo di segnalazione. Queste esenzioni non modificano il compito organizzativo: anche una piccola impresa deve sapere a quale CSIRT rivolgersi e chi approva internamente la segnalazione. La sanzione viene meno, il termine no. Un articolo accademico descrive la governance delle vulnerabilità come la leva centrale di questa regolamentazione ibrida, in cui requisiti giuridicamente vincolanti vengono attuati tramite co-regolamentazione e autoregolamentazione interna delle imprese, coordinate a livello europeo dall’ENISA e dai CSIRT. ## Cosa deve essere chiarito concretamente entro l’11 settembre 2026? Le aziende soggette al Cyber Resilience Act dovrebbero stabilire per iscritto, prima di questa data, l’attribuzione del CSIRT, i referenti e l’approvazione interna per la segnalazione entro 24 ore. Un primo passo verificabile: l’unità responsabile della sicurezza dei prodotti determina il CSIRT competente entro l’11 settembre 2026, in base allo stabilimento principale o, in assenza di uno stabilimento nell’UE, in base alla cascata rappresentante autorizzato, importatore, distributore e numero di utenti, e ne prende nota per iscritto. In parallelo, vengono nominati referenti primari e secondari con una regola di sostituzione e integrati nell’organizzazione esistente di segnalazione degli incidenti di sicurezza. Che termini di segnalazione brevi non siano un caso isolato lo dimostrano anche i termini di segnalazione UFCS in Svizzera. Le organizzazioni che documentano in modo pulito la propria catena decisionale una sola volta sono preparate per entrambi i regimi. Correlato ### Mappare i flussi di segnalazione delle vulnerabilità Information Security mappa i canali e i termini di segnalazione delle vulnerabilità e documenta responsabilità e approvazioni in modo tracciabile. [Information Security](https://swissgrc.com/it/information-security-management-isms-software/) Per la pratica ## Punti chiave - Determinare il CSIRT competente in base allo stabilimento principale o alla cascata prevista dalla legge prima del verificarsi di un incidente. - Nominare referenti primari e secondari con una regola di sostituzione per festivi e fine settimana. - Stabilire per iscritto chi può approvare un’allerta precoce senza una preventiva verifica legale caso per caso. - Pianificare la segnalazione di follow-up, la relazione finale e la notifica agli utenti ai sensi dell’articolo 14, paragrafo 8, all’interno dello stesso processo. - Le microimprese restano soggette all’obbligo di segnalazione; la stessa preparazione conviene anche senza il rischio di una sanzione. FAQ ## Domande frequenti Da quando si applica l’obbligo di segnalazione entro 24 ore del Cyber Resilience Act? Dall’11 settembre 2026, l’articolo 14 del Cyber Resilience Act impone un’allerta precoce entro 24 ore dalla presa di conoscenza di una vulnerabilità attivamente sfruttata. La segnalazione viene trasmessa contemporaneamente al CSIRT competente e all’ENISA tramite la piattaforma di segnalazione unica. Quale CSIRT è competente se un fabbricante non ha uno stabilimento nell’UE? In assenza di uno stabilimento principale nell’UE, si applica una cascata prevista dalla legge: prima lo Stato membro del rappresentante autorizzato, poi quello dell’importatore, poi quello del distributore e infine lo Stato con il maggior numero di utenti. Questo ordine, previsto dall’articolo 14, paragrafo 7, deve essere chiarito e documentato in anticipo. Cosa succede se una microimpresa non rispetta il termine di segnalazione? Le microimprese e le piccole imprese restano soggette all’obbligo di segnalazione, ma non incorrono in sanzioni se non rispettano il termine di 24 ore. Ciò non elimina il compito organizzativo: anche queste imprese devono sapere a quale CSIRT rivolgersi e chi approva internamente la segnalazione. Quali informazioni deve contenere la prima segnalazione ai sensi dell’articolo 14? L’allerta precoce rimane volutamente sintetica e indica la vulnerabilità attivamente sfruttata insieme ad almeno gli Stati membri interessati. Ulteriori dettagli, come le versioni di prodotto interessate, seguono solo nella segnalazione di follow-up entro 72 ore. Cosa segue l’allerta precoce ai sensi del Cyber Resilience Act? Entro 72 ore, il fabbricante fornisce una segnalazione di follow-up con le versioni di prodotto, il tipo di vulnerabilità e le misure adottate. La relazione finale segue entro 14 giorni o un mese a seconda dei casi, e l’articolo 14, paragrafo 8, richiede inoltre di informare gli utenti interessati. Fonti 1. [Articolo 14, obblighi di segnalazione dei fabbricanti](https://cyber-resilience-act.de/cra/kapitel-2/artikel-14/)cyber-resilience-act.de 2. [Piattaforma di segnalazione CRA: cosa deve essere pronto entro l’11 settembre 2026](https://www.advisori.de/blog/cra-meldeplattform-enisa-srp-registrierung)advisori ## Domande frequenti ### Da quando vale l'obbligo di segnalazione entro 24 ore del Cyber Resilience Act? Dall'11 settembre 2026 l'articolo 14 impone un'allerta precoce entro 24 ore dalla presa di conoscenza di una vulnerabilità attivamente sfruttata. La segnalazione va al CSIRT competente e all'ENISA tramite la piattaforma di segnalazione unica. ### Quale CSIRT è competente se il fabbricante non ha uno stabilimento nell'UE? Si applica una cascata prevista dalla legge: prima lo Stato membro del rappresentante autorizzato, poi quello dell'importatore, poi quello del distributore e infine lo Stato con il maggior numero di utenti. L'ordine deriva dall'articolo 14, paragrafo 7, e va documentato in anticipo. ### Cosa succede se una microimpresa non rispetta il termine di 24 ore? Le microimprese e le piccole imprese restano soggette all'obbligo, ma non incorrono in sanzioni per il mancato rispetto del termine. Devono comunque sapere a quale CSIRT rivolgersi e chi approva la segnalazione internamente. ### Cosa contiene la prima segnalazione ai sensi dell'articolo 14? L'allerta precoce è volutamente sintetica e identifica la vulnerabilità attivamente sfruttata indicando almeno gli Stati membri interessati. Ulteriori dettagli seguono nella segnalazione di follow-up entro 72 ore. ### Cosa segue l'allerta precoce? Entro 72 ore segue la segnalazione di follow-up, poi la relazione finale entro 14 giorni dalla disponibilità di una misura correttiva o entro un mese in caso di grave incidente. L'articolo 14, paragrafo 8, richiede inoltre di informare gli utenti interessati.