24 ore per segnalare: chi deve far parte della decisione interna

Dall’11 settembre 2026, i fabbricanti dovranno segnalare le vulnerabilità attivamente sfruttate a un CSIRT competente e contemporaneamente all’ENISA entro 24 ore dal momento in cui ne vengono a conoscenza. Questo termine decorre dal momento della presa di conoscenza, non da quello di una decisione interna sull’opportunità di segnalare. Le organizzazioni che chiariscono responsabilità, referenti e criteri di triage solo al verificarsi di un incidente perdono ore preziose. L’obbligo di segnalazione previsto dall’articolo 14 del Cyber Resilience Act funziona solo se la catena decisionale è già stata predisposta in anticipo.

Cosa deve essere esattamente segnalato entro 24 ore?

Il fabbricante trasmette un’allerta precoce relativa alla vulnerabilità attivamente sfruttata, indicando almeno gli Stati membri interessati, contemporaneamente al CSIRT competente e all’ENISA.

Il termine decorre dal momento della presa di conoscenza e richiede un’azione senza indebito ritardo, comunque entro 24 ore al massimo. La disposizione di riferimento è l’articolo 14 del Cyber Resilience Act, che prevede la segnalazione tramite la piattaforma di segnalazione unica, in modo che il CSIRT e l’ENISA ricevano l’accesso contemporaneamente.

Questa prima segnalazione rimane volutamente sintetica: identifica la vulnerabilità e gli Stati interessati, nient’altro. Le organizzazioni che chiariscono solo in questa fase chi è autorizzato a segnalare e quali informazioni siano ammissibili hanno già mancato il termine.

Quale CSIRT è competente, e come interviene l’ENISA?

Il CSIRT competente è quello dello Stato membro in cui si trova lo stabilimento principale del fabbricante, in Germania ad esempio il BSI; l’ENISA riceve la stessa segnalazione in parallelo tramite la piattaforma condivisa.

Se un fabbricante non ha uno stabilimento principale nell’UE, si applica un ordine di precedenza stabilito per legge: prima lo Stato membro del rappresentante autorizzato, poi quello dell’importatore, poi quello del distributore e infine lo Stato con il maggior numero di utenti. Questa cascata prevista dall’articolo 14, paragrafo 7, non può essere improvvisata al verificarsi di un incidente; deve essere definita e documentata in anticipo.

Un’analoga incertezza sulla propria classificazione emerge già nella lacuna di registrazione NIS2, dove le aziende chiariscono il proprio ambito di applicazione solo in fase tardiva. Nel Cyber Resilience Act, il termine ridotto rende questo problema ancora più pressante.

Perché la catena decisionale deve essere stabilita prima del verificarsi di un incidente?

Poiché il termine di 24 ore decorre dal momento della presa di conoscenza e non lascia tempo per successivi chiarimenti organizzativi, l’attribuzione del CSIRT, i referenti e il processo di approvazione devono essere stabiliti in anticipo.

Prima dell’11 settembre 2026, occorre determinare un CSIRT competente in base all’ubicazione dello stabilimento principale e nominare un referente primario e secondario, con una regola di sostituzione per festivi e fine settimana. Questo lavoro preparatorio riguarda non solo il reparto legale, ma anche l’unità che per prima rileva una vulnerabilità attivamente sfruttata, come un security operations center.

L’accumulo di ritardi visibile in altri obblighi del CRA, ad esempio riguardo alla distinta base del software, mostra che questo tipo di lavoro preparatorio inizia spesso tardi nel settore. Le organizzazioni che chiariscono l’approvazione di una segnalazione solo al verificarsi di un incidente perdono tempo che il termine non consente.

Cosa segue l’allerta precoce?

Entro 72 ore, il fabbricante fornisce una segnalazione di follow-up con le versioni di prodotto interessate, il tipo di vulnerabilità e le misure disponibili; segue in seguito una relazione finale.

La relazione finale è dovuta entro 14 giorni dalla disponibilità di una misura correttiva per una vulnerabilità attivamente sfruttata, oppure entro un mese in caso di grave incidente di sicurezza. Il CSIRT coordinatore richiede una relazione intermedia solo su richiesta; non si tratta di un obbligo standard.

L’articolo 14, paragrafo 8, obbliga inoltre il fabbricante a informare gli utenti interessati sulla vulnerabilità; se il fabbricante non lo fa, i CSIRT possono effettuare essi stessi questa notifica. Anche questa notifica agli utenti richiede una propria approvazione, che deve essere pianificata all’interno della catena decisionale.

Chi è esonerato dall’obbligo di segnalazione?

Le microimprese e le piccole imprese restano soggette all’obbligo di segnalazione, ma non incorrono in sanzioni se non rispettano il termine di 24 ore; la ricerca in buona fede sulla sicurezza, senza intenti malevoli, non rientra affatto nell’obbligo di segnalazione.

Queste esenzioni non modificano il compito organizzativo: anche una piccola impresa deve sapere a quale CSIRT rivolgersi e chi approva internamente la segnalazione. La sanzione viene meno, il termine no.

Un articolo accademico descrive la governance delle vulnerabilità come la leva centrale di questa regolamentazione ibrida, in cui requisiti giuridicamente vincolanti vengono attuati tramite co-regolamentazione e autoregolamentazione interna delle imprese, coordinate a livello europeo dall’ENISA e dai CSIRT.

Cosa deve essere chiarito concretamente entro l’11 settembre 2026?

Le aziende soggette al Cyber Resilience Act dovrebbero stabilire per iscritto, prima di questa data, l’attribuzione del CSIRT, i referenti e l’approvazione interna per la segnalazione entro 24 ore.

Un primo passo verificabile: l’unità responsabile della sicurezza dei prodotti determina il CSIRT competente entro l’11 settembre 2026, in base allo stabilimento principale o, in assenza di uno stabilimento nell’UE, in base alla cascata rappresentante autorizzato, importatore, distributore e numero di utenti, e ne prende nota per iscritto. In parallelo, vengono nominati referenti primari e secondari con una regola di sostituzione e integrati nell’organizzazione esistente di segnalazione degli incidenti di sicurezza.

Che termini di segnalazione brevi non siano un caso isolato lo dimostrano anche i termini di segnalazione UFCS in Svizzera. Le organizzazioni che documentano in modo pulito la propria catena decisionale una sola volta sono preparate per entrambi i regimi.