Dal Fronte · 2026-09-28
Cyber Resilience Act: gli obblighi di segnalazione da settembre 2026
di La redazione
Per chi produce dispositivi e programmi informatici destinati al mercato europeo, settembre segna una scadenza importante. Il regolamento UE 2024/2847, noto come Cyber Resilience Act, fissa all’11 settembre 2026 l’applicazione degli obblighi di segnalazione previsti dall’articolo 14. È una tappa distinta dall’applicazione generale della normativa, prevista per l’11 dicembre 2027.
Il punto centrale riguarda i prodotti con elementi digitali: non soltanto apparecchi connessi, ma anche software che rientra nel campo di applicazione del regolamento. Quando un produttore viene a conoscenza di una vulnerabilità attivamente sfruttata, deve comunicarla al gruppo di risposta agli incidenti informatici designato come coordinatore e all’Agenzia dell’Unione europea per la cybersicurezza, ENISA, attraverso il meccanismo previsto dalla normativa.
La scansione è precisa: un primo avviso senza indebito ritardo e comunque entro 24 ore dalla conoscenza della vulnerabilità; una successiva notifica entro 72 ore, con le informazioni disponibili. Obblighi di segnalazione riguardano anche gli incidenti gravi che incidono sulla sicurezza del prodotto. Non si tratta, dunque, di denunciare indistintamente ogni difetto informatico: la norma individua condizioni specifiche che fanno scattare la comunicazione.
Per le imprese italiane la conseguenza organizzativa è concreta. Non basta affidare la sicurezza al momento della progettazione: occorre poter raccogliere le segnalazioni, valutarle e attivare rapidamente i responsabili tecnici e aziendali. Chi acquista componenti o integra software di altri fornitori deve inoltre conoscere la propria posizione nella filiera, senza confondere gli obblighi del produttore con quelli degli altri operatori.
Va chiarito anche un limite: questa scadenza non anticipa automaticamente tutti i requisiti del Cyber Resilience Act. Il legislatore ha previsto un’applicazione progressiva, con tempi differenti per disposizioni differenti.
Per l’Italia, economia manifatturiera che incorpora sempre più software nei propri prodotti, la sicurezza digitale è parte dell’affidabilità industriale. La priorità è proteggere competenze, clienti e continuità produttiva, accompagnando soprattutto le imprese più piccole con indicazioni operative chiare. Regole comprensibili e responsabilità definite servono più di nuovi adempimenti lasciati sulla carta.