Si torna a parlare di cybersecurity e degli obblighi in materia. E con un appuntamento ben preciso: quello dell’11 settembre. Da oggi, infatti, scattano i primi oneri a carico dei produttori, previsti dal Cyber Resilience Act (CRA), il Regolamento europeo che introduce nuovi requisiti di sicurezza informatica per i prodotti con elementi digitali.
Per le imprese cosa cambia? Nuovi adempimenti, responsabilità e requisiti di sicurezza. Sarà necessario adeguarsi, per l’intero ciclo di vita del prodotto. Diversamente, potrebbero essere applicate sanzioni e conseguenze sulla commercializzazione dei prodotti.
L’articolo 14 del Cyber Resilience Act (CRA) e i nuovi obblighi
L’11 settembre 2026 è un punto fermo nella roadmap di attuazione del Cyber Resilience Act. Si tratta del penultimo appuntamento: quello che precede la piena applicabilità del Regolamento, fissata per l’11 dicembre 2027.
E rappresenta l’inizio del vincolo di segnalazione delle vulnerabilità. Una data, quella di oggi, che funge da vero banco di prova per produttori e sviluppatori di prodotti con elementi digitali. Con l’entrata in vigore, l’articolo 14 del CRA fa scattare stringenti obblighi. Rendendo da subito operativa la notifica delle falle di sicurezza.
Basta “nascondere” al mondo la propria vulnerabilità. Si accantoni la modalità “confidential”. Dall’11 settembre 2026 i fabbricanti saranno obbligati ad interagire tempestivamente con l’ENISA e i CSIRT nazionali competenti – ovvero ACN per l’Italia. Attraverso regole ben precise e tempistiche stabilite, rapide e dirette.
Un obbligo di reporting molto strutturato, conseguente alla scoperta di un problema di sicurezza che riguarda il prodotto con elementi digitali.
Vulnerabilità e incidente grave nel CRA
La norma fa una distinzione tra vulnerabilità attivamente sfruttata e incidente grave. Nel primo caso, individuata la falla effettivamente utilizzata per l’attacco al prodotto, bisognerà inviare un preallarme entro 24 ore dalla scoperta. Entro 72, invece, andrà fornita una notifica più completa, con informazioni sul prodotto, sullo sfruttamento e sulle eventuali misure adottate. Non oltre i successivi 14 giorni, invece, il produttore sarà tenuto a inviare una relazione finale. Nella quale descriverà vulnerabilità, gravità, impatto, eventuali soggetti malevoli e l’aggiornamento correttivo.
L’incidente grave, invece, è diverso. E non presuppone, per forza, una vulnerabilità nota sfruttata da terzi. Si verifica quando l’evento è in grado di compromettere la sicurezza del prodotto, o quando l’ha già compromessa. Parliamo, quindi, di un attacco che incide negativamente (o è in grado di incidere negativamente) sulla capacità del prodotto di proteggere dati e funzioni importanti da accessi, modifiche, perdita o blocchi non autorizzati.
Anche per l’incidente le tempistiche sono molto serrate. Le solite 24 ore per il preallarme, e le 72 per la notifica dell’incidente. Sale invece a 1 mese (dall’avvenuto evento) la deadline per la notifica della relazione. Con la descrizione dell’incidente, la sua gravità e il suo impatto.
Andranno indicati anche la possibile causa o il tipo di minaccia, con l’esposizione delle misure adottate (o ancora in corso) per il contenimento degli effetti. E, soprattutto, andranno informati anche gli utilizzatori interessati.
Le sanzioni del CRA (Cyber Resilience Act)
Le sanzioni pecuniarie, previste dall’articolo 64 del CRA arrivano anche a 15 milioni di euro o fino al 2,5% del fatturato globale annuo dell’esercizio precedente. Nel caso di ritardo, omissione o insabbiamento della comunicazione delle vulnerabilità note. Nel caso, quindi, di violazione dei requisiti essenziali di cybersicurezza dell’Allegato I o degli obblighi ex articoli 13 e 14.
Entrano però in gioco anche altre figure, oltre al produttore: rappresentanti autorizzati, importatori e distributori. E altri obblighi, relativi a dichiarazione di conformità, marcatura CE, documentazione tecnica e valutazione di conformità. In questo caso, le violazioni della conformità possono comportare una sanzione amministrativa fino a 10 milioni di euro o fino al 2% del fatturato mondiale totale annuo. Per le informazioni inesatte o fuorvianti, fornite alle autorità, si scende invece a 5 milioni o all’1% del fatturato. Il quantum finale andrà comunque stabilito valutando una serie di circostanze, tra cui natura, gravità e durata della violazione.
Il danno reputazionale
Quello che però dovrebbe preoccupare, al pari della pena pecuniaria, è anche l’aspetto commerciale, nella sua accezione più pura: il danno reputazionale, il blocco della supply chain e tutte le conseguenze accessorie, tra cui i costi del ripristino delle attività. Perché, in una filiera moderna, sempre più interconnessa, le problematiche della sicurezza si propagano velocemente, arrivando a clienti e partner.
La cybersecurity, dunque, va oltre il comparto IT. E rientra, dall’11 settembre 2026, a pieno e ufficialmente nei processi di governance e gestione del rischio.
