Segnalare una vulnerabilità in 24 ore il processo

Se un componente digitale della tua macchina ha una vulnerabilità sfruttata attivamente, hai 24 ore per avvisare le autorità. Non 24 ore lavorative, non "appena possibile": 24 ore da quando ne vieni a conoscenza. L'art. 14 del Regolamento (UE) 2024/2847 (CRA) fissa il processo, e vale la pena capirlo adesso, non quando l'incidente è già in corso.

Cosa fa scattare davvero l'obbligo

Non basta trovare un bug di sicurezza durante un audit o un penetration test. L'art. 14 CRA scatta solo per una vulnerabilità "attivamente sfruttata": qualcuno la sta usando, non è solo un rischio teorico. Questa distinzione conta perché evita di sommergere ENISA e i CSIRT nazionali di segnalazioni su ogni falla scoperta internamente prima che diventi un problema reale.

In pratica: una vulnerabilità individuata dal tuo team di sviluppo durante i test resta gestione interna. Una vulnerabilità che un attaccante sta sfruttando su un prodotto già in campo è un'altra storia, e lì parte il cronometro.

I tre passaggi e le loro scadenze

L'art. 14 CRA struttura la notifica in tre momenti, ciascuno con un termine preciso.

Notifica preliminare, entro 24 ore. Un primo avviso, essenziale: cosa è successo, quale prodotto è coinvolto, se lo sfruttamento è in corso. Non serve un'analisi completa, serve dare l'allarme.

Rapporto intermedio, entro 72 ore. Aggiorni le informazioni raccolte nelle prime ore: valutazione della gravità, impatto stimato, eventuali misure correttive già messe in campo.

Relazione finale, entro 14 giorni dalla risoluzione. Qui descrivi la vulnerabilità, la causa, e le misure correttive adottate in modo definitivo. È il documento che chiude il cerchio.

i tre termini decorrono da momenti diversi (scoperta dello sfruttamento attivo, poi risoluzione), non sono tre scadenze fisse dallo stesso evento. Tenere traccia delle date esatte è parte del processo, non un dettaglio amministrativo.

A chi si notifica

Il destinatario non è uno a scelta: il CRA prevede un canale unico verso ENISA e il CSIRT designato nel proprio Stato membro. Niente comunicati sparsi, niente email a più enti "per sicurezza": un canale, due destinatari istituzionali.

Questo significa che devi sapere, prima che serva, quale sia il CSIRT di riferimento nel tuo Paese e come funziona il canale di notifica previsto dal regolamento. Scoprirlo durante un incidente attivo è il modo peggiore di scoprirlo.

Come prepararsi oggi

Il processo a tre fasi non si improvvisa alle due di notte quando arriva la segnalazione di un cliente. Serve un piano scritto, con ruoli chiari, prima che l'obbligo scatti davvero.

Alcuni elementi da mettere a punto ora:

• un responsabile identificato per la valutazione "sfruttamento attivo sì/no", con criteri scritti e non lasciati al giudizio del momento;
• un template già pronto per la notifica preliminare, così le prime 24 ore si usano per agire, non per scrivere da zero;
• il contatto verificato del CSIRT nazionale e il canale di notifica CRA salvato, non da cercare in emergenza;
• una cronologia degli eventi tracciata fin dal primo sospetto, utile per il rapporto intermedio e la relazione finale.

il regolamento non pretende perfezione nella notifica preliminare. Pretende tempestività. Meglio un avviso incompleto in 20 ore che un rapporto perfetto in 30.

Cosa significa per te

• Definisci ora, non dopo, il criterio interno per distinguere una vulnerabilità qualsiasi da una attivamente sfruttata.
• Assegna per iscritto chi decide, chi notifica, chi documenta: tre ruoli, anche se coincidono nella stessa persona in una PMI.
• Prepara un modello di notifica preliminare compilabile in pochi minuti.
• Verifica oggi qual è il CSIRT designato nel tuo Stato membro e come si accede al canale di notifica CRA.
• Metti in calendario una revisione periodica del processo: un piano non testato da un anno è solo un documento.

Un fascicolo tecnico solido include anche la gestione della sicurezza post-market: Clausify verifica che il tuo manuale e i tuoi processi documentali siano coerenti con questi obblighi, prima che sia un ispettore a chiedertelo.