Approfondimento editoriale · fonti ufficialimedium
Cyber Resilience Act: cosa scatta l'11 settembre 2026, e cosa aspetta il 2027
Non un attacco, ma una scadenza che si avvicina. Il Cyber Resilience Act — Regolamento (UE) 2024/2847 — è in vigore dal 10 dicembre 2024, ma i suoi obblighi entrano a scaglioni. Il primo blocco concreto arriva l'11 settembre 2026: da quel giorno i fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi, con un pre-allarme entro 24 ore e una notifica entro 72. Il grosso degli obblighi — requisiti essenziali di sicurezza, valutazione di conformità, marcatura CE — scatta invece l'11 dicembre 2027. Chi produce o vende software e hardware nell'UE ha una finestra che si sta chiudendo.
Un approfondimento, non l'attacco del giorno
Questo pezzo non racconta una violazione: racconta una regola che sta per mordere. Quasi ogni dossier che pubblichiamo finisce contro la stessa domanda — questo prodotto vulnerabile chi doveva metterlo in sicurezza, e chi doveva dirlo? Dal 2024 l'Europa ha una risposta orizzontale, valida per quasi tutto ciò che ha un chip o del software dentro: il Cyber Resilience Act. Ma è un regolamento a orologeria, e la prima lancetta scatta tra poche settimane.
Cosa è, e da quando
Il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act (CRA), è entrato in vigore il 10 dicembre 2024. È il primo quadro europeo che impone requisiti di cybersicurezza ai prodotti — non alle organizzazioni che li usano, come fa NIS2, ma agli oggetti stessi che si vendono. Copre i prodotti con elementi digitali: hardware e software immessi sul mercato dell'Unione, dai router agli elettrodomestici connessi, dal firmware alle applicazioni, comprese le soluzioni di elaborazione dati a distanza collegate al prodotto. Restano fuori le categorie che hanno già regole proprie: dispositivi medici, veicoli a motore, aviazione.
Il principio è semplice da enunciare e impegnativo da attuare: un prodotto digitale deve nascere sicuro, ricevere aggiornamenti per un periodo di supporto dichiarato, ed essere accompagnato da informazioni chiare sul suo profilo di sicurezza. La responsabilità principale ricade sul fabbricante, con obblighi a cascata su importatori e distributori.
La scadenza vicina: segnalare, dall'11 settembre 2026
La data che conta adesso non è quella lontana del 2027. È l'11 settembre 2026: da quel giorno scattano gli obblighi di segnalazione. I fabbricanti devono notificare due cose — le vulnerabilità sfruttate attivamente nei loro prodotti e gli incidenti gravi che ne compromettono la sicurezza — e devono farlo con tempi stretti.
- Entro 24 orePre-allarme
Un early warning appena si viene a conoscenza della vulnerabilità sfruttata o dell'incidente.
- Entro 72 oreNotifica
La segnalazione vera e propria, con i dettagli disponibili.
- 14 giorni / 1 meseRelazione finale
Entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità sfruttate; entro un mese per gli incidenti gravi.
La segnalazione si fa una sola volta, attraverso la piattaforma unica prevista dal regolamento (Single Reporting Platform), ed è indirizzata al CSIRT dello Stato in cui il fabbricante ha lo stabilimento principale; l'informazione è resa disponibile contemporaneamente all'ENISA, salvo circostanze eccezionali. Il punto meno ovvio: questi obblighi di segnalazione si applicano anche ai prodotti già presenti sul mercato prima della piena applicazione del CRA, non solo a quelli nuovi. Chi ha già un parco prodotti venduto in UE non parte da un foglio bianco a fine 2027.
Cosa aspetta il 2027
Il corpo centrale del regolamento — i requisiti essenziali di cybersicurezza, la valutazione di conformità, la marcatura CE che attesta la conformità, gli obblighi documentali lungo tutto il ciclo di vita — diventa applicabile l'11 dicembre 2027. È il momento in cui un prodotto non conforme, in teoria, non dovrebbe più poter essere immesso sul mercato dell'Unione.
Tra le due date c'è una differenza di natura, non solo di calendario. La scadenza del 2026 chiede una capacità operativa: sapere quando un proprio prodotto è sotto attacco reale e avere un processo per dirlo entro 24 e 72 ore. Quella del 2027 chiede una trasformazione di prodotto: progettare, documentare e certificare la sicurezza fin dall'inizio. La prima si può improvvisare a fatica; la seconda no.
Cosa verificare alla fonte
Su una materia in cui la Commissione sta ancora pubblicando linee guida, atti di esecuzione e standard armonizzati, la regola resta quella dei nostri dossier: non fidarsi delle sintesi, la nostra compresa. Il testo integrale è su EUR-Lex; l'inquadramento, le FAQ e le pagine dedicate agli obblighi di segnalazione sono sul portale della Commissione europea. Le classi di prodotto (i prodotti "importanti" e "critici" soggetti a valutazioni di conformità più severe) e le scadenze precise applicabili al proprio caso vanno confermate lì, perché è la parte che le linee guida stanno ancora rifinendo. Questo articolo inquadra il disegno e le due date che contano; l'adeguamento concreto di un'organizzazione si costruisce sui testi ufficiali.
