Obblighi di segnalazione — Regolamento (UE) 2024/2847
Dall’11 settembre hai 24 ore per segnalare. Chi le usa?
L’11 settembre 2026 si applica l’articolo 14 del Cyber Resilience Act. Da quel giorno, il fabbricante di un prodotto con elementi digitali ha ventiquattro ore per lanciare l’allarme quando viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave. Non ventiquattro ore per risolvere: ventiquattro ore per segnalare.
La domanda vera non è se il prodotto rientra. È chi, dentro l’organizzazione, ha il potere di far partire quella segnalazione, e in quanto tempo si accorge che è il momento di usarlo. Sono due cose che si scoprono in mezz’ora, e quasi nessuno le ha messe per iscritto.
Il test in tre domande
1. Chi è la persona che può sospendere il sistema?
Serve un nome e un sostituto, non una funzione. «Il responsabile IT» non è una risposta: quando l’orologio parte, una funzione non decide e non firma.
2. Può farlo senza chiedere autorizzazione?
Se no, quel potere non esiste. Esiste il potere di chi lo autorizza, ed è quella la persona da nominare — insieme al suo sostituto, e con la stessa reperibilità.
3. Entro quanto se ne accorge?
Da settembre la finestra è di ventiquattro ore dalla presa di conoscenza. Se la conoscenza arriva per caso — un cliente che scrive, un post che qualcuno nota — buona parte della finestra è già stata consumata prima che qualcuno la apra.
Quattro date, da non confondere
- 10 dicembre 2024
- Il regolamento è entrato in vigore.
- 11 giugno 2026
- Si applica il Capo IV (artt. 35-51): la notifica degli organismi di valutazione della conformità.
- 11 settembre 2026
- Si applica l’articolo 14: gli obblighi di segnalazione. È la data di questa pagina.
- 11 dicembre 2027
- Si applicano le disposizioni principali. Da qui la distinta base del software (SBOM) è obbligatoria nella documentazione tecnica.
La distinta base del software non è un adempimento di settembre. L’obbligo di inserirla nella documentazione tecnica arriva l’11 dicembre 2027, quindici mesi dopo. Le due scadenze vanno tenute separate: a settembre scatta l’obbligo di segnalare, a dicembre 2027 quello di documentare. Chi le sovrappone arriva a settembre con il lavoro sbagliato in mano.
Gli obblighi di segnalazione riguardano anche i prodotti già immessi sul mercato prima del dicembre 2027. Che un prodotto sia stato venduto anni fa non lo mette al riparo.
I tempi, e la soglia che li fa partire
- Entro 24 ore dalla presa di conoscenza: l’allarme.
- Entro 72 ore: la notifica completa.
- Entro 14 giorni dalla disponibilità di una misura correttiva, per le vulnerabilità attivamente sfruttate: il rapporto finale. Entro un mese per gli incidenti gravi.
Le segnalazioni vanno a ENISA e al CSIRT nazionale competente. In Italia il CSIRT è presso l’Agenzia per la Cybersicurezza Nazionale.
La soglia è la vulnerabilità attivamente sfruttata, non la semplice esistenza di una CVE. Che nel prodotto ci sia un componente con una vulnerabilità nota non fa partire nulla. Lo sfruttamento in corso sì. La distanza fra le due condizioni è esattamente il punto in cui la maggior parte delle organizzazioni non ha un criterio scritto, e quindi decide sul momento — che è il momento peggiore.
Chi è toccato e chi no
Rientrano i prodotti con elementi digitali immessi sul mercato nell’ambito di un’attività commerciale. Chi distribuisce un’applicazione con il proprio nome è fabbricante anche quando lo sviluppo è affidato a terzi: l’etichetta segue il nome, non il codice. È il punto su cui più spesso ci si sbaglia, perché la percezione interna è di essere committenti, non produttori.
Restano fuori, in linea di principio:
- il software realizzato e usato solo all’interno dell’organizzazione;
- i settori già coperti da normative verticali equivalenti;
- l’open source distribuito senza intento commerciale;
- i servizi cloud puri.
Nessuna di queste righe è un esito automatico. La qualificazione si istruisce caso per caso, sui contratti effettivi e sul modo in cui il prodotto arriva davvero sul mercato — non sulla categoria in cui l’organizzazione si colloca da sé. Le quattro esclusioni qui sopra sono il punto di partenza di un’istruttoria, non la sua conclusione.
Cosa serve avere pronto
Un trigger scritto.
Con la decorrenza della conoscenza definita: da quale evento parte l’orologio, e chi lo dichiara partito. Senza questa riga, il termine di 24 ore non ha un inizio verificabile.
Una persona nominata, più un sostituto.
Nome e cognome, non una funzione. Un ruolo scoperto per ferie o per turno è un termine non presidiato.
Un canale di ricezione delle segnalazioni.
Pubblicato e presidiato. Le vulnerabilità attivamente sfruttate arrivano più spesso da fuori che da dentro.
Il monitoraggio dei componenti, incrociato con le fonti di vulnerabilità.
Sapere cosa contiene il prodotto serve a poco se nessuno confronta quell’elenco con quello che viene pubblicato ogni giorno.
L’accesso operativo alla piattaforma di segnalazione.
Verificato prima di doverlo usare. Le credenziali si recuperano in ore, e le ore sono contate.
I tre modelli precompilati.
Allarme, notifica, rapporto finale. Scrivere un modello mentre il termine corre è il modo più affidabile per mancarlo.
Un registro delle decisioni, incluse quelle negative.
Anche non segnalare è una decisione, e va motivata per iscritto quanto l’altra. È la sola prova che la valutazione è stata fatta.
L’assessment di esposizione
4.500 € fissi, tre giornate di lavoro. Non è un pacchetto costruito attorno all’11 settembre: è il modo in cui lavoro su questa materia, prima e dopo quella data. L’11 settembre 2026 è semplicemente il giorno da cui si applica l’articolo 14.
Quello che consegno è una qualificazione documentata e firmata: se il prodotto rientra, a quale titolo, con quali obblighi e con quali scadenze effettive; il trigger scritto con la decorrenza della conoscenza; i nomi, con i sostituti; i tre modelli di segnalazione precompilati; il registro delle decisioni impostato.
Quello che non consegno è una certificazione di conformità — e non esiste nessun consulente che possa consegnartela. La conformità la stabilisce la valutazione prevista dal regolamento, non un parere. Un documento firmato che dice cosa hai e cosa ti manca vale in un’ispezione; un’autodichiarazione di conformità no.
Se entro novanta giorni l’assessment prosegue in un’implementazione, l’importo viene scomputato.
Rispondo personalmente entro due giorni lavorativi. Se dalla prima conversazione risulta che il tuo prodotto non rientra, o che l’assessment non è lo strumento adatto, te lo dico prima di iniziare.
L’istruttoria si appoggia al Compliance-Epistemic Project Framework (CEPF) e a Calibra, il software che lo implementa.
Le ventiquattro ore non cominciano quando arriva la contestazione. Cominciano quando qualcuno, dentro l’organizzazione, viene a sapere. Vale la pena decidere adesso chi è quel qualcuno.