Cyber Resilience Act: dall'11 settembre 2026 si applicano gli obblighi di segnalazione
I fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite la piattaforma unica di segnalazione dell'ENISA, attiva dalla stessa data.
Dall'11 settembre 2026 si applicano gli obblighi di segnalazione dell'art. 14 del Regolamento (UE) 2024/2847 (Cyber Resilience Act). Le altre disposizioni del regolamento si applicano dall'11 dicembre 2027.
Cosa va segnalato
- Le vulnerabilità attivamente sfruttate presenti nei prodotti con elementi digitali.
- Gli incidenti gravi che incidono sulla sicurezza di quei prodotti.
Termini
- Preallarme entro 24 ore da quando il fabbricante ne è venuto a conoscenza.
- Notifica entro 72 ore.
- Relazione finale entro 14 giorni dalla disponibilità di una misura correttiva, per le vulnerabilità, ed entro un mese dalla notifica, per gli incidenti gravi.
Come
La segnalazione si invia tramite la piattaforma unica di segnalazione (Single Reporting Platform) dell'ENISA, prevista dall'art. 16 e attiva dall'11 settembre 2026. È indirizzata al CSIRT dello Stato membro dello stabilimento principale e, contemporaneamente, all'ENISA.
Gli obblighi riguardano anche i prodotti già immessi sul mercato prima dell'applicazione piena del regolamento. Per gli amministratori di software open source (art. 24(3)) gli obblighi si applicano dall'11 dicembre 2027.
Fonti ufficiali
Notizia a scopo informativo, aggiornata alla data indicata. Non costituisce consulenza legale: obblighi e scadenze vanno verificati sui testi ufficiali.