La notizia
Dall'11 settembre 2026 i fabbricanti di prodotti con elementi digitali venduti nell'UE devono segnalare i problemi di sicurezza ai sensi del regolamento sulla ciberresilienza (Cyber Resilience Act, CRA). Il gruppo comprende software, app e dispositivi connessi. Secondo la Commissione europea vanno segnalati due tipi di eventi: le vulnerabilità che gli aggressori stanno sfruttando attivamente e gli incidenti gravi che colpiscono la sicurezza di un prodotto.
I tempi sono stretti. Un preallarme va inviato entro 24 ore da quando il fabbricante viene a conoscenza del problema, e una notifica più completa entro 72 ore. La relazione finale arriva al più tardi 14 giorni dopo che è disponibile una correzione o una misura di mitigazione per la vulnerabilità, oppure entro un mese per un incidente grave. Il fabbricante deve anche informare gli utenti coinvolti.
Le segnalazioni passano dalla piattaforma unica di segnalazione che ENISA, l'agenzia dell'UE per la cibersicurezza, ha aperto l'11 settembre. Il fabbricante segnala una sola volta al gruppo nazionale di intervento per la sicurezza informatica (CSIRT) del paese in cui ha lo stabilimento principale, ed ENISA riceve la segnalazione nello stesso momento.
Lo studio legale Hogan Lovells Cadwalader osserva che l'obbligo riguarda anche i prodotti immessi sul mercato dell'UE prima che si applichi il resto del regolamento. I principali requisiti di sicurezza del CRA si applicano dall'11 dicembre 2027, la stessa data in cui iniziano a segnalare anche gli steward del software open source.
Cosa significa per te
- Se vendi nell'UE un'app, un software o un dispositivo connesso con il tuo marchio, ti serve un modo per accorgerti di un attacco e segnalarlo entro 24 ore.
- L'obbligo riguarda anche i prodotti che vendi già, non solo quelli nuovi.
- Qualcuno nel tuo team dovrebbe sapere come inviare una segnalazione sulla piattaforma di ENISA prima che succeda un incidente.
- Le regole di sicurezza più ampie arrivano l'11 dicembre 2027, quindi la segnalazione è la prima parte di un cambiamento più grande.
Cosa fare ora
- Fai un elenco dei software e dei dispositivi che vendi nell'UE e di chi è responsabile di ciascuno.
- Nomina una persona che tenga d'occhio i problemi di sicurezza e possa segnalare entro 24 ore, anche nel fine settimana.
- Leggi la guida di ENISA sulla piattaforma e prova un caso di esercitazione con il tuo team.
- Prepara un breve messaggio per avvisare gli utenti di un problema e di come risolverlo.
Come può aiutarti Didset
Possiamo aggiungere registri di sicurezza e avvisi alle app e ai sistemi che costruiamo, così il tuo team si accorge di un attacco in tempo per segnalarlo.
Parliamone
