# Cyber Resilience Act: come organizzarsi già ora > SwissGRC spiega ai produttori come prepararsi all'obbligo di segnalazione del Cyber Resilience Act, in vigore dall'11 settembre 2026, con prima notifica entro 24 ore. L'articolo descrive la catena di escalation interna e i primi passi concreti. - URL: https://swissgrc.com/it/cyber-resilience-act-organizzarsi-scadenza-24-ore/ - Editore: SwissGRC® - Pubblicato: 2026-09-10 - Ultimo aggiornamento: 2026-09-10 ## Punti chiave - L'obbligo di segnalazione dell'articolo 14 del Cyber Resilience Act è in vigore dall'11 settembre 2026 e richiede una prima notifica entro 24 ore da quando si viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave. - La segnalazione si articola in tre fasi: preallerta entro 24 ore, notifica completa entro 72 ore e rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva. - Per gli incidenti gravi non correlati a una vulnerabilità, il termine per il rapporto finale è di un mese anziché 14 giorni. - Gli obblighi generali dei produttori dell'articolo 13, come documentazione tecnica e valutazione di conformità, si applicano solo dall'11 dicembre 2027, cioè 15 mesi dopo l'obbligo di segnalazione. - Al lancio la Single Reporting Platform dell'ENISA non offre un'interfaccia di programmazione, quindi ogni notifica obbligatoria avviene tramite il portale web. - Le aziende svizzere che vendono prodotti con elementi digitali nell'UE o nello SEE rientrano nel Cyber Resilience Act indipendentemente dalla loro sede. L’obbligo di segnalazione previsto dall’articolo 14 del Cyber Resilience Act è in vigore dall’11 settembre 2026 e richiede una prima notifica entro 24 ore dal momento in cui si viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave. Rispettare questa scadenza richiede che la struttura interna necessaria sia già operativa ben prima che si verifichi il primo incidente. Ciò che conta non è lo stato della piattaforma di segnalazione esterna, ma la catena interna che va dal rilevamento alla decisione su chi deve segnalare. In breve L’obbligo di segnalazione del Cyber Resilience Act è in vigore dall’11 settembre 2026 e richiede una prima notifica entro 24 ore dal momento in cui si viene a conoscenza di un incidente. Per rispettare questa scadenza, le aziende devono conoscere in anticipo il CSIRT competente e disporre di una catena di escalation interna dal rilevamento alla decisione di segnalazione, indipendentemente dallo stato della piattaforma di segnalazione dell’ENISA. 24ore Termine per la notifica di preallerta dal momento in cui si viene a conoscenza di un incidente Cyber Resilience Act, articolo 14 72ore Termine per la notifica completa Commissione europea, CRA Reporting, 31 luglio 2026 14giorni Termine per il rapporto finale dopo la disponibilità di una misura correttiva Element, CRA Article 14 Reporting Obligations Guide, 1 luglio 2026 ## Cosa richiede l’obbligo di segnalazione dall’11 settembre 2026 I produttori devono segnalare una vulnerabilità attivamente sfruttata o un incidente di sicurezza grave in tre fasi: una preallerta entro 24 ore, una notifica completa entro 72 ore e un rapporto finale entro e non oltre 14 giorni dalla disponibilità di una misura correttiva. L’articolo 14 del Cyber Resilience Act richiede la prima notifica senza ritardo ingiustificato e comunque entro 24 ore dal momento in cui se ne viene a conoscenza. Il rapporto finale deve descrivere la vulnerabilità, indicare eventuali attori malevoli coinvolti se applicabile, ed esporre le misure di rimedio e le eventuali misure di mitigazione. Per gli incidenti gravi non correlati a una vulnerabilità, il termine per il rapporto finale è di un mese anziché 14 giorni. ## Perché la scadenza si applica prima della capacità di rispettarla Gli obblighi generali dei produttori previsti dall’articolo 13, tra cui la documentazione tecnica e la valutazione di conformità, si applicano formalmente solo dall’11 dicembre 2027, mentre l’obbligo di segnalazione previsto dall’articolo 14 è già entrato in vigore 15 mesi prima. Questo scarto temporale implica che il processo di rilevamento dello sfruttamento attivo, che di fatto rientra negli obblighi dell’articolo 13, deve già funzionare, anche se non è formalmente richiesto fino a più tardi. Le aziende che fanno affidamento sulla scadenza successiva rischiano una lacuna nella segnalazione che non deriva dall’assenza di un obbligo legale, bensì dall’assenza di capacità di rilevamento. Il lavoro di recupero relativo agli obblighi di segnalazione e alla distinta base del software riguarda esattamente questo scarto tra l’obbligo di segnalazione e l’obbligo di documentazione. ## La Single Reporting Platform era pronta in tempo? Dieci giorni prima della scadenza, il 1° settembre 2026, la Single Reporting Platform realizzata dall’ENISA non disponeva ancora di un URL pubblicato pubblicamente su internet, sebbene dovesse entrare in funzione insieme all’obbligo di segnalazione l’11 settembre 2026. Secondo l’ENISA, la piattaforma non offre nemmeno un’interfaccia di programmazione al momento del lancio, il che significa che ogni notifica obbligatoria deve avvenire tramite il portale web. Inoltre, l’elenco dei CSIRT nazionali designati come coordinatori è rimasto a lungo indefinito, il che è entrato in conflitto con il processo di registrazione che richiede la scelta di un CSIRT competente da tale elenco. Ai sensi del regolamento di esecuzione (UE) 2026/881, emanato l’11 dicembre 2025, la decisione se omettere contenuti della segnalazione al momento dell’inoltro all’ENISA spetta al CSIRT ricevente. ## Quali responsabilità interne devono essere definite prima della prima notifica Indipendentemente dallo stato della piattaforma esterna, le aziende devono già conoscere il CSIRT competente per la propria sede principale e disporre di un processo interno di triage che raccolga i contenuti per la preallerta, la notifica e il rapporto finale secondo le tempistiche richieste. La decisione se attivare o meno una segnalazione raramente spetta a una sola persona. Richiede una ripartizione predefinita dei ruoli tra il team di sicurezza, il reparto legale e la direzione aziendale. Questa catena di escalation per una notifica entro 24 ore deve essere definita prima che un incidente faccia scattare il termine, altrimenti il tempo disponibile viene consumato dal coordinamento interno. - Rilevamento: chi accerta tecnicamente lo sfruttamento attivo - Decisione: chi valuta entro poche ore se è scattato un obbligo di segnalazione - Contenuto: chi fornisce le informazioni per le fasi delle 24 ore, delle 72 ore e dei 14 giorni - Invio: chi gestisce il portale web della piattaforma di segnalazione in assenza di un’interfaccia automatizzata ## Cosa significa questo per i produttori svizzeri con esposizione al mercato UE Le aziende svizzere che vendono prodotti con elementi digitali nell’UE o nello SEE rientrano nel Cyber Resilience Act indipendentemente dalla loro sede, mentre la Svizzera stessa non dispone di una legge orizzontale sulla cibersicurezza equivalente. Ciò significa che il processo interno per rispettare la scadenza non può attendere una futura regolamentazione svizzera, ma deve seguire il requisito UE non appena un prodotto entra in quel mercato. Gli ulteriori requisiti del Cyber Resilience Act riguardano non solo il termine di segnalazione, ma anche la valutazione di conformità e la marcatura CE. Un primo passo concreto e verificabile consiste nel determinare il CSIRT competente per ciascun prodotto interessato in base alla sede principale nell’UE, e nel testare la catena di segnalazione interna prima che un incidente reale faccia scattare il termine. Correlato ### Documentare in modo strutturato i percorsi di segnalazione delle vulnerabilità La soluzione Information Security registra incidenti e vulnerabilità insieme ai relativi termini. Tiene traccia di chi ha deciso e segnalato, e quando. [Information Security](https://swissgrc.com/it/information-security-management-isms-software/) Per la pratica ## Punti chiave - Il termine di 24 ore decorre dal momento in cui si viene a conoscenza, non dalla conferma, pertanto la catena di escalation interna deve essere già operativa. - L’obbligo di segnalazione è in vigore dall’11 settembre 2026, mentre i relativi obblighi di documentazione previsti dall’articolo 13 si applicano solo dall’11 dicembre 2027. - Poco prima dell’entrata in vigore dell’obbligo, la Single Reporting Platform non era ancora pubblicamente accessibile e al lancio non offre alcuna interfaccia per notifiche automatizzate. - Le aziende dovrebbero già ora determinare il CSIRT competente in base alla propria sede principale nell’UE, indipendentemente dallo stato tecnico della piattaforma di segnalazione. - I produttori svizzeri che vendono nell’UE o nello SEE sono soggetti al Cyber Resilience Act indipendentemente dalla sede dell’azienda. FAQ ## Domande frequenti Da quando si applica l’obbligo di segnalazione previsto dall’articolo 14 del Cyber Resilience Act? L’obbligo di segnalazione previsto dall’articolo 14 è in vigore dall’11 settembre 2026. Richiede una prima notifica entro 24 ore dal momento in cui si viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave, indipendentemente dalla scadenza successiva prevista per gli obblighi generali dei produttori dall’articolo 13. Quali termini seguono dopo la prima notifica entro 24 ore? Dopo la preallerta entro 24 ore, il Cyber Resilience Act richiede una notifica completa entro 72 ore e un rapporto finale entro e non oltre 14 giorni dalla disponibilità di una misura correttiva. Per gli incidenti gravi non correlati a una vulnerabilità, il termine per il rapporto finale è invece di un mese. La piattaforma di segnalazione dell’ENISA era pronta al momento dell’entrata in vigore dell’obbligo? Dieci giorni prima della scadenza, la Single Reporting Platform non disponeva ancora di un URL pubblicato. Al lancio non offriva inoltre alcuna interfaccia di programmazione, il che significa che le notifiche devono essere inviate tramite il portale web. Anche l’elenco dei CSIRT nazionali designati come coordinatori è rimasto a lungo indefinito. Il Cyber Resilience Act riguarda anche i produttori con sede in Svizzera? Sì. Le aziende svizzere che vendono prodotti con elementi digitali nell’UE o nello SEE rientrano nel Cyber Resilience Act indipendentemente dalla sede dell’azienda. La Svizzera stessa non dispone di una legge orizzontale sulla cibersicurezza equivalente che possa sostituire il processo interno. Chi decide se i contenuti della segnalazione vengono omessi al momento dell’inoltro all’ENISA? Ai sensi del regolamento di esecuzione (UE) 2026/881, emanato l’11 dicembre 2025, spetta al CSIRT ricevente decidere se omettere contenuti della segnalazione al momento dell’inoltro all’ENISA, ad esempio per motivi di sicurezza pubblica o di indagini in corso. Fonti 1. [CRA Reporting](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting)Commissione europea 2. [EU Cyber Resilience Act Reporting Deadline](https://www.techtimes.com/articles/326249/20260901/eu-cyber-resilience-act-reporting-deadline-filing-portal-launches-same-day-it-becomes-mandatory.htm)Techtimes ## Domande frequenti ### Da quando vale l'obbligo di segnalazione del Cyber Resilience Act? L'obbligo di segnalazione dell'articolo 14 è in vigore dall'11 settembre 2026. Richiede una prima notifica entro 24 ore da quando si viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave. ### Quali termini seguono dopo la prima notifica entro 24 ore? Segue una notifica completa entro 72 ore e un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva. Per gli incidenti gravi non correlati a una vulnerabilità il rapporto finale è dovuto entro un mese. ### Quali responsabilità interne vanno definite prima della prima notifica? Vanno definiti chi accerta tecnicamente lo sfruttamento attivo, chi decide se scatta l'obbligo, chi fornisce i contenuti per le fasi di 24 ore, 72 ore e 14 giorni e chi invia la notifica tramite il portale web. La decisione richiede una ripartizione dei ruoli tra team di sicurezza, reparto legale e direzione. ### La Single Reporting Platform dell'ENISA era pronta in tempo? Il 1° settembre 2026, dieci giorni prima della scadenza, la piattaforma non aveva ancora un URL pubblicato. Al lancio non offre un'interfaccia di programmazione e l'elenco dei CSIRT nazionali coordinatori è rimasto a lungo indefinito. ### Il Cyber Resilience Act vale anche per i produttori svizzeri? Sì, se vendono prodotti con elementi digitali nell'UE o nello SEE. La Svizzera non dispone di una legge orizzontale equivalente sulla cibersicurezza, quindi il processo interno deve seguire il requisito UE.