Cyber Resilience Act, dall’11 settembre scatta l’obbligo di segnalare gli attacchi
Dall’11 settembre 2026 i produttori devono segnalare le vulnerabilità informatiche già sfruttate e gli incidenti gravi che colpiscono la sicurezza dei prodotti con elementi digitali. È il primo obbligo operativo rivolto ai produttori previsto dal Cyber Resilience Act, il regolamento europeo destinato a rafforzare la sicurezza di hardware e software immessi sul mercato dell’Unione. La maggior parte delle disposizioni entrerà pienamente in applicazione l’11 dicembre 2027, ma Bruxelles ha anticipato di quindici mesi gli obblighi di comunicazione previsti dall’articolo 14.
Le nuove regole interessano una categoria molto ampia. Non riguardano soltanto computer, telefoni e programmi informatici, ma tutti i prodotti con elementi digitali collegati direttamente o indirettamente a una rete o a un dispositivo. Possono quindi comprendere televisori intelligenti, giocattoli connessi, elettrodomestici controllabili tramite internet e numerosi apparecchi utilizzati nelle case e nelle aziende.
🛡️ Il primo avviso deve partire entro 24 ore
L’obbligo non scatta per ogni vulnerabilità individuata. La segnalazione è richiesta quando esistono prove attendibili che una falla sia stata effettivamente sfruttata da un soggetto malevolo senza l’autorizzazione del proprietario del sistema. Devono essere comunicati anche gli incidenti gravi che hanno conseguenze sulla sicurezza del prodotto. Il produttore deve trasmettere un primo avviso entro 24 ore dal momento in cui viene a conoscenza dell’accaduto. Entro 72 ore deve seguire una comunicazione più completa, con le informazioni disponibili sul prodotto coinvolto, sulla natura della vulnerabilità o dell’incidente e sulle misure adottate o consigliate agli utenti.
Nel caso di una vulnerabilità attivamente sfruttata, la relazione finale deve essere presentata entro 14 giorni dalla disponibilità di un aggiornamento o di un’altra misura correttiva. Per gli incidenti gravi, il rapporto conclusivo deve arrivare entro un mese dalla comunicazione trasmessa nelle prime 72 ore. Le segnalazioni vengono inviate attraverso la piattaforma unica predisposta da ENISA, l’Agenzia dell’Unione europea per la cibersicurezza. Il sistema permette di effettuare una sola comunicazione, destinata al gruppo nazionale di risposta agli incidenti informatici competente e, salvo circostanze eccezionali, resa contemporaneamente disponibile a ENISA.
💻 I produttori devono informare anche gli utenti
Il regolamento impone ai produttori di avvisare gli utilizzatori interessati quando vengono a conoscenza di una vulnerabilità già sfruttata o di un incidente grave. Se necessario, devono spiegare quali aggiornamenti, correzioni o comportamenti possono ridurre il rischio. Finora non esisteva per questa vasta categoria di prodotti un obbligo europeo uniforme con le modalità e le scadenze introdotte dal Cyber Resilience Act. L’obiettivo è consentire alle autorità di conoscere rapidamente le minacce già concrete e agli utenti di adottare le contromisure disponibili. La sicurezza informatica diventa così una responsabilità che accompagna il prodotto anche dopo la vendita. Le ulteriori disposizioni del regolamento, applicabili dalla fine del 2027, introdurranno requisiti comuni per progettazione, aggiornamenti, assistenza e gestione delle vulnerabilità durante il ciclo di vita dei dispositivi e dei programmi.
