Dal Fronte · 2026-09-28
Cyber Resilience Act: gli obblighi dall’11 settembre 2026
di La redazione
La sicurezza informatica entra nelle responsabilità dei fabbricanti con una scadenza precisa. Dall’11 settembre 2026, secondo il calendario del Cyber Resilience Act, si applicano gli obblighi europei di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali. Non è ancora l’applicazione integrale del regolamento, prevista per l’11 dicembre 2027, ma un passaggio distinto che le imprese interessate devono considerare.
La fonte è il regolamento UE 2024/2847, che stabilisce requisiti di cybersicurezza per prodotti hardware e software messi a disposizione sul mercato europeo. Il perimetro comprende, alle condizioni indicate nel testo e con specifiche esclusioni, prodotti il cui impiego previsto o ragionevolmente prevedibile comporta una connessione diretta o indiretta a un dispositivo o a una rete.
L’obbligo non riguarda indistintamente qualsiasi difetto informatico. L’articolo 14 distingue le vulnerabilità delle quali il fabbricante viene a conoscenza e che risultano attivamente sfruttate dagli incidenti gravi con un impatto sulla sicurezza del prodotto. Per entrambe le fattispecie è prevista una prima allerta senza indebito ritardo e comunque entro 24 ore dalla conoscenza del fatto, seguita da ulteriori comunicazioni secondo le modalità stabilite dal regolamento.
I destinatari istituzionali sono il CSIRT designato come coordinatore, cioè il gruppo competente per la risposta agli incidenti informatici, e l’ENISA, l’Agenzia dell’Unione europea per la cybersicurezza. Il regolamento disciplina inoltre l’informazione agli utenti interessati, affinché possano conoscere il problema e le misure di mitigazione necessarie.
Per le aziende italiane, il punto operativo è organizzativo prima ancora che tecnico: individuare i prodotti coinvolti, assegnare responsabilità interne e predisporre procedure capaci di raccogliere rapidamente le segnalazioni. Le 24 ore lasciano poco spazio all’improvvisazione.
Proteggere il made in Italy significa anche difendere software, dispositivi e continuità produttiva. Il nuovo quadro non elimina il rischio degli attacchi, ma rende più stringente la responsabilità di chi immette sul mercato prodotti connessi. Per le nostre filiere, la sicurezza digitale deve essere una competenza industriale, non un adempimento lasciato all’ultimo momento.