Cyber Resilience Act: scatta l'obbligo di segnalare le vulnerabilità

Dall'11 settembre 2026 diventa operativo l'obbligo di notifica delle vulnerabilità previsto dall'art. 14 del Regolamento (UE) 2024/2847 (Cyber Resilience Act). Se il tuo prodotto ha un elemento digitale e viene colpito da una vulnerabilità attivamente sfruttata, hai 24 ore per avvisare le autorità. Non è un dettaglio per i soli produttori di software: riguarda anche te se fabbrichi macchine con PLC in rete, HMI collegate o firmware aggiornabile.

Cosa dice l'art. 14

L'art. 14 del Reg. (UE) 2024/2847 impone al fabbricante di notificare a ENISA e al CSIRT nazionale ogni vulnerabilità attivamente sfruttata riguardante un prodotto con elementi digitali, o ogni incidente che ne compromette la sicurezza. Il termine è di 24 ore dal momento in cui il fabbricante ne ha conoscenza.

La notifica iniziale non chiude la procedura. Segue un rapporto intermedio entro 72 ore, con più dettagli sulla natura del problema, e una relazione finale entro 14 giorni dalla risoluzione della vulnerabilità. Tre scadenze, tre livelli di dettaglio, un solo evento da gestire.

Chi rientra nel perimetro

"Prodotto con elementi digitali" è una definizione larga. Non parliamo solo di software stand-alone: una macchina con connettività di rete, un modulo di aggiornamento firmware, un'interfaccia che dialoga con un cloud o un semplice accesso remoto per assistenza fanno rientrare il prodotto nel campo di applicazione dell'art. 14.

Se il tuo prodotto ha un indirizzo IP, probabilmente ha anche un obbligo di notifica.

la scadenza del 11 settembre 2026 non è una data per "iniziare a pensarci". È il giorno in cui l'obbligo diventa vigente: se non hai un processo pronto, la prima vulnerabilità sfruttata ti trova scoperto.

Il processo che ti manca (probabilmente)

Il problema pratico non è la scadenza in sé, è quello che c'è prima: chi decide, in azienda, se un evento è "vulnerabilità attivamente sfruttata" o "incidente che compromette la sicurezza"? Con quali evidenze si documenta la decisione? Chi materialmente compila e invia la notifica a ENISA e al CSIRT entro 24 ore, anche se cade di venerdì sera?

Senza un processo scritto, la sequenza 24 ore - 72 ore - 14 giorni si trasforma in una corsa disorganizzata gestita nel panico. E le tre scadenze non aspettano che tu trovi il responsabile giusto.

il rapporto intermedio a 72 ore richiede dati tecnici più precisi della notifica iniziale. Se non hai già una procedura di raccolta log e evidenze, recuperarli in 72 ore sotto pressione è complicato.

Cosa significa per te

• Individua fin da ora chi in azienda ha l'autorità di dichiarare un evento "notificabile" ai sensi dell'art. 14.
• Scrivi una procedura interna con i tre termini (24h, 72h, 14gg) e i relativi contenuti minimi da inviare.
• Verifica quali dei tuoi prodotti hanno connettività, aggiornamenti da remoto o accesso di rete: sono questi a rientrare nel perimetro.
• Prepara un canale di monitoraggio delle vulnerabilità note sui componenti software e firmware che usi, per non scoprirle in ritardo.
• Testa la procedura con una simulazione interna prima della scadenza del 11 settembre 2026, non dopo.

Un manuale tecnico conforme non basta se il processo di gestione delle vulnerabilità non esiste: Clausify verifica la documentazione, ma la procedura di notifica la costruisci tu, e prima è meglio è.