Cyber Resilience Act: come organizzarsi già ora

L’obbligo di segnalazione previsto dall’articolo 14 del Cyber Resilience Act è in vigore dall’11 settembre 2026 e richiede una prima notifica entro 24 ore dal momento in cui si viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave. Rispettare questa scadenza richiede che la struttura interna necessaria sia già operativa ben prima che si verifichi il primo incidente. Ciò che conta non è lo stato della piattaforma di segnalazione esterna, ma la catena interna che va dal rilevamento alla decisione su chi deve segnalare.

Cosa richiede l’obbligo di segnalazione dall’11 settembre 2026

I produttori devono segnalare una vulnerabilità attivamente sfruttata o un incidente di sicurezza grave in tre fasi: una preallerta entro 24 ore, una notifica completa entro 72 ore e un rapporto finale entro e non oltre 14 giorni dalla disponibilità di una misura correttiva.

L’articolo 14 del Cyber Resilience Act richiede la prima notifica senza ritardo ingiustificato e comunque entro 24 ore dal momento in cui se ne viene a conoscenza.

Il rapporto finale deve descrivere la vulnerabilità, indicare eventuali attori malevoli coinvolti se applicabile, ed esporre le misure di rimedio e le eventuali misure di mitigazione. Per gli incidenti gravi non correlati a una vulnerabilità, il termine per il rapporto finale è di un mese anziché 14 giorni.

Perché la scadenza si applica prima della capacità di rispettarla

Gli obblighi generali dei produttori previsti dall’articolo 13, tra cui la documentazione tecnica e la valutazione di conformità, si applicano formalmente solo dall’11 dicembre 2027, mentre l’obbligo di segnalazione previsto dall’articolo 14 è già entrato in vigore 15 mesi prima.

Questo scarto temporale implica che il processo di rilevamento dello sfruttamento attivo, che di fatto rientra negli obblighi dell’articolo 13, deve già funzionare, anche se non è formalmente richiesto fino a più tardi. Le aziende che fanno affidamento sulla scadenza successiva rischiano una lacuna nella segnalazione che non deriva dall’assenza di un obbligo legale, bensì dall’assenza di capacità di rilevamento.

Il lavoro di recupero relativo agli obblighi di segnalazione e alla distinta base del software riguarda esattamente questo scarto tra l’obbligo di segnalazione e l’obbligo di documentazione.

La Single Reporting Platform era pronta in tempo?

Dieci giorni prima della scadenza, il 1° settembre 2026, la Single Reporting Platform realizzata dall’ENISA non disponeva ancora di un URL pubblicato pubblicamente su internet, sebbene dovesse entrare in funzione insieme all’obbligo di segnalazione l’11 settembre 2026.

Secondo l’ENISA, la piattaforma non offre nemmeno un’interfaccia di programmazione al momento del lancio, il che significa che ogni notifica obbligatoria deve avvenire tramite il portale web. Inoltre, l’elenco dei CSIRT nazionali designati come coordinatori è rimasto a lungo indefinito, il che è entrato in conflitto con il processo di registrazione che richiede la scelta di un CSIRT competente da tale elenco.

Ai sensi del regolamento di esecuzione (UE) 2026/881, emanato l’11 dicembre 2025, la decisione se omettere contenuti della segnalazione al momento dell’inoltro all’ENISA spetta al CSIRT ricevente.

Quali responsabilità interne devono essere definite prima della prima notifica

Indipendentemente dallo stato della piattaforma esterna, le aziende devono già conoscere il CSIRT competente per la propria sede principale e disporre di un processo interno di triage che raccolga i contenuti per la preallerta, la notifica e il rapporto finale secondo le tempistiche richieste.

La decisione se attivare o meno una segnalazione raramente spetta a una sola persona. Richiede una ripartizione predefinita dei ruoli tra il team di sicurezza, il reparto legale e la direzione aziendale. Questa catena di escalation per una notifica entro 24 ore deve essere definita prima che un incidente faccia scattare il termine, altrimenti il tempo disponibile viene consumato dal coordinamento interno.

• Rilevamento: chi accerta tecnicamente lo sfruttamento attivo
• Decisione: chi valuta entro poche ore se è scattato un obbligo di segnalazione
• Contenuto: chi fornisce le informazioni per le fasi delle 24 ore, delle 72 ore e dei 14 giorni
• Invio: chi gestisce il portale web della piattaforma di segnalazione in assenza di un’interfaccia automatizzata

Cosa significa questo per i produttori svizzeri con esposizione al mercato UE

Le aziende svizzere che vendono prodotti con elementi digitali nell’UE o nello SEE rientrano nel Cyber Resilience Act indipendentemente dalla loro sede, mentre la Svizzera stessa non dispone di una legge orizzontale sulla cibersicurezza equivalente.

Ciò significa che il processo interno per rispettare la scadenza non può attendere una futura regolamentazione svizzera, ma deve seguire il requisito UE non appena un prodotto entra in quel mercato. Gli ulteriori requisiti del Cyber Resilience Act riguardano non solo il termine di segnalazione, ma anche la valutazione di conformità e la marcatura CE.

Un primo passo concreto e verificabile consiste nel determinare il CSIRT competente per ciascun prodotto interessato in base alla sede principale nell’UE, e nel testare la catena di segnalazione interna prima che un incidente reale faccia scattare il termine.