CRA: dall'11 settembre 2026 obbligo di notifica vulnerabilità

Dall'11 settembre 2026 scatta l'obbligo di notifica delle vulnerabilità previsto dall'art. 14 del Regolamento (UE) 2024/2847, il Cyber Resilience Act. Se la tua macchina rientra tra i "prodotti con elementi digitali", da quella data hai 24 ore per segnalare un incidente o uno sfruttamento attivo. Non è una scadenza per adeguare un manuale: è un processo che deve già funzionare quel giorno.

Cosa impone l'art. 14

Se scopri una vulnerabilità attivamente sfruttata, o un incidente che compromette la sicurezza del prodotto, devi notificarlo a ENISA e al CSIRT nazionale entro 24 ore da quando ne vieni a conoscenza. È un avviso di allerta precoce, non un report completo.

Segue un rapporto intermedio entro 72 ore, con più dettagli su natura e impatto dell'evento. Poi una relazione finale entro 14 giorni dalla risoluzione, che descrive causa, correzione applicata e misure di mitigazione.

Tre scadenze, tre livelli di dettaglio crescente. Il timer parte dal momento in cui vieni a conoscenza del problema, non da quando decidi di occupartene.

Chi rientra nel perimetro

Il CRA parla di "prodotti con elementi digitali": qualunque macchina con software integrato o connessione di rete. Un PLC collegato alla rete aziendale, un'interfaccia con aggiornamenti remoti, un sensore che dialoga con un cloud: tutto questo rientra.

Non serve che il prodotto sia "smart" nel senso commerciale del termine. Basta che abbia una componente software che comunica con l'esterno. La maggior parte delle macchine industriali moderne ci rientra, anche quelle che non ti sembrano particolarmente connesse.

l'obbligo si attiva dall'11 settembre 2026. Il processo interno per riconoscere e gestire un evento notificabile va costruito prima, non il giorno in cui succede qualcosa.

Il problema non è la scadenza, è il processo

24 ore sono poche se non hai già deciso chi fa cosa. Serve un flusso chiaro: chi riceve la segnalazione di una possibile vulnerabilità, chi decide se è "attivamente sfruttata" o solo teorica, chi prepara la notifica e chi la invia.

Serve anche capire quali evidenze raccogliere: log di sistema, versione del firmware coinvolta, canale di scoperta della vulnerabilità. Senza questi dati il rapporto intermedio a 72 ore diventa un esercizio di improvvisazione.

molte aziende trattano la cybersicurezza come un tema IT separato dalla produzione. Il CRA lo rende un obbligo di prodotto, con responsabilità del fabbricante.

Cosa significa per te

• Verifica quali tuoi prodotti hanno software o connettività di rete: il perimetro del CRA è più ampio di quanto sembri.
• Definisci per iscritto chi decide se un evento è notificabile e con quale criterio.
• Prepara un modello di notifica pronto all'uso, con i campi minimi richiesti per i tre step (24 ore, 72 ore, 14 giorni).
• Individua una fonte affidabile per i contatti ENISA e del CSIRT nazionale competente.
• Fai una simulazione interna prima di settembre 2026: un'esercitazione costa meno di un ritardo reale.

Clausify verifica che i manuali tecnici riflettano correttamente gli obblighi di sicurezza e le procedure di notifica richieste dal CRA.