Cyber Resilience Act, 24 ore per denunciare la falla: l’Europa mette il cronometro

Dall’11 settembre 2026 entrano in applicazione gli obblighi di Cyber Resilience Act notifiche per vulnerabilità attivamente sfruttate e incidenti gravi. La prima segnalazione deve arrivare entro 24 ore, seguita da una notifica più completa entro 72 ore. È il passaggio che trasforma la sicurezza dei prodotti digitali da buona pratica a processo con scadenze regolatorie.

L’articolo 14 del regolamento europeo anticipa una parte sostanziale dell’operatività del Cyber Resilience Act: il quadro complessivo sarà pienamente applicabile dall’11 dicembre 2027, ma gli obblighi di reporting partono prima.

Cyber Resilience Act notifiche: che cosa scatta dall’11 settembre

La Commissione europea chiarisce che i produttori devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali. La comunicazione passa attraverso la piattaforma unica prevista dal regolamento e coinvolge i CSIRT e l’ENISA.

La definizione di prodotto è ampia: hardware e software immessi sul mercato europeo possono rientrare nel perimetro quando soddisfano le condizioni del regolamento. Non è quindi una norma riservata ai grandi vendor di sistemi operativi. Dispositivi connessi, componenti software e molte soluzioni digitali entrano nella stessa logica di responsabilità lungo il ciclo di vita.

24 ore, 72 ore e poi il rapporto finale

Il primo avviso deve essere trasmesso entro 24 ore dalla conoscenza dell’evento. Entro 72 ore è richiesta una notifica con informazioni più approfondite. Seguono poi i rapporti finali nelle tempistiche previste: per una vulnerabilità sfruttata, dopo l’adozione della misura correttiva; per un incidente grave, entro il termine stabilito dal regolamento.

Il cambio culturale sta nel cronometro. In molte organizzazioni la vulnerabilità passa prima dal tecnico, poi dal responsabile, poi dal legale, poi da una riunione che decide quando convocare un’altra riunione. Ventiquattro ore rendono questo modello incompatibile con la norma: ruoli, canali e criteri devono essere preparati prima dell’incidente.

La sicurezza entra nel ciclo di vita del prodotto

Il Cyber Resilience Act non si limita alla notifica. La logica più ampia è che la sicurezza vada progettata, mantenuta e documentata durante il ciclo di vita del prodotto. Per chi sviluppa software significa collegare vulnerability management, aggiornamenti, distinta dei componenti, gestione delle dipendenze e rapporti con clienti e autorità.

La parte ironica è che l’Europa non sta chiedendo ai prodotti digitali di essere invulnerabili, obiettivo che nessuno saprebbe garantire. Sta chiedendo qualcosa di più terreno: sapere che cosa è successo, reagire e comunicarlo in tempo. Dopo decenni di patch pubblicate il venerdì sera e changelog creativi, persino il calendario diventa una misura di cybersicurezza.