L’11 settembre 2026 marca la prima scadenza di carattere operativo nell’applicazione del Cyber Resilience Act (Regolamento UE 2024/2847), la normativa comunitaria entrata formalmente in vigore nel dicembre 2024 per introdurre requisiti vincolanti di sicurezza informatica sui prodotti con elementi digitali distribuiti nell’Unione Europea.
Sebbene la maggior parte dei requisiti strutturali di progettazione, il fascicolo tecnico e l’obbligo di marcatura CE diventeranno vincolanti soltanto a partire dall’11 dicembre 2027, la data odierna segna l’entrata in vigore dell’Articolo 14 del Regolamento, inerente gli obblighi di notifica delle vulnerabilità attivamente sfruttate e degli incidenti gravi, imponendo pertanto la comunicazione immediata di ogni falla sfruttata sul campo.
Obiettivo della misura è quello di ridurre drasticamente i tempi di latenza tra l’identificazione di una falla e la condivisione delle informazioni tra le autorità di vigilanza estere, arginando la propagazione di rischi cibernetici lungo le catene del valore.
Vediamo quindi nel dettaglio quali sono le novità e gli obblighi entrati in vigore con la scadenza odierna e cosa significano per fabbricanti di tecnologie industriali, produttori di apparecchiature di automazione e gestori di soluzioni open source destinate a impieghi commerciali.
Indice degli argomenti
Il lancio della piattaforma unica ENISA
L’entrata in vigore dell’Articolo 14 coincide con il lancio ufficiale della Single Reporting Platform (SRP), l’infrastruttura digitale centralizzata sviluppata e gestita dall’Agenzia dell’Unione Europea per la Cibersicurezza (ENISA).
Il portale comunitario costituisce il canale unico di comunicazione a livello europeo, concepito per semplificare le procedure ed evitare che le imprese debbano inviare segnalazioni duplicate alle singole autorità nazionali dei vari Paesi membri.
I fabbricanti e i loro rappresentanti registrati accedono al sistema tramite credenziali EU Login coperte da autenticazione informatica a più fattori, registrando l’organizzazione e trasmettendo i dati relativi agli eventi di sicurezza.
L’instradamento delle notifiche avviene automaticamente verso il CSIRT nazionale designato come coordinatore nello Stato membro in cui risiede lo stabilimento principale del fabbricante. La determinazione dello stabilimento principale corrisponde al luogo in cui vengono assunte in via prevalente le decisioni strategiche relative alla sicurezza informatica dei prodotti digitali.
Per l’Italia, il ruolo di CSIRT coordinatore è ricoperto dal CSIRT Italia, operativo presso l’Agenzia per la Cybersicurezza Nazionale (ACN). L’infrastruttura ENISA provvede alla contestuale messa a disposizione delle informazioni sia agli esperti dell’agenzia europea sia ai CSIRT degli altri Stati membri nei quali il prodotto viene distribuito, garantendo un’allerta tempestiva a livello transfrontaliero.
Se la divulgazione immediata di una falla rischia di aggravare la situazione, ad esempio offrendo ai criminali informatici un vantaggio prima che sia disponibile una correzione ufficiale, il Regolamento Delegato (UE) 2026/881 consente di rallentare la condivisione dei dettagli tecnici.
Il produttore può infatti richiedere una limitazione temporanea della diffusione automatica per proteggere gli utenti da pericoli imminenti o per permettere ai tecnici di completare in sicurezza il rilascio della patch.
Chi è soggetto agli obblighi e quali eventi faranno scattare le notifiche
La platea dei soggetti obbligati comprende tutti i fabbricanti che immettono sul mercato comunitario prodotti contenenti elementi digitali, inclusi apparecchi per l’automazione industriale, PLC, sistemi OT e SCADA, sensori IoT, dispositivi di rete, sistemi operativi e software di controllo.
Gli obblighi si estendono ai gestori di software libero e open source nella misura in cui siano coinvolti in soluzioni destinate ad attività commerciali. La responsabilità riguarda chiunque assuma la titolarità commerciale del prodotto distribuito nell’Unione Europea, imponendo alle organizzazioni estere prive di stabilimento nell’UE la nomina formale di un rappresentante autorizzato.
Il perimetro degli eventi da notificare riguarda esclusivamente le vulnerabilità attivamente sfruttate e gli incidenti gravi con impatto sul prodotto. Una vulnerabilità attivamente sfruttata si configura al momento dell’emersione di evidenze attendibili circa l’esecuzione di attacchi malevoli non autorizzati da parte di terzi su sistemi in esercizio.
I bug ordinari, le debolezze rilevate in laboratorio durante i test di sviluppo o le consuete attività di scansione interna non rientrano nei canali d’emergenza, venendo gestiti mediante i normali processi aziendali di manutenzione del software.
Gli incidenti gravi comprendono le compromissioni capaci di pregiudicare la disponibilità, l’autenticità, l’integrità o la riservatezza delle funzioni e dei dati gestiti dal dispositivo.
La scansione temporale delle comunicazioni si sviluppa su tre scadenze vincolanti che decorrono dal momento in cui l’organizzazione acquisisce un ragionevole grado di certezza riguardo all’evento.
L’iter prende il via con l’invio di un allarme rapido entro 24 ore dalla conoscenza, che deve fornire le informazioni essenziali per identificare il prodotto e segnalare se si sospetti un’origine malevola dell’evento.
Segue la notifica dettagliata entro 72 ore, contenente la valutazione iniziale della gravità dell’exploit, l’analisi del vettore d’attacco e le misure di mitigazione raccomandate agli utilizzatori.
La chiusura della procedura richiede la presentazione di un rapporto finale: per le vulnerabilità attivamente sfruttate, la relazione va trasmessa entro 14 giorni dalla disponibilità della patch correttiva o della misura di mitigazione definitiva.
Per gli incidenti gravi, il termine finale è fissato entro un mese dalla notifica intermedia delle 72 ore, imponendo l’indicazione della causa primaria e delle misure correttive adottate.
Cosa cambia concretamente per l’industria dell’automazione
L’impatto operativo per il settore dell’automazione industriale e della produzione manifatturiera risulta particolarmente marcato a causa della copertura prevista per il parco installato.
In virtù della deroga contenuta nell’Articolo 69, paragrafo 3 del Regolamento, gli obblighi di notifica previsti dall’Articolo 14 si applicano a tutti i prodotti con elementi digitali già immessi sul mercato e tuttora supportati o in esercizio presso i clienti, indipendentemente dalla data della prima commercializzazione. Un sistema di controllo o un PLC venduto negli anni precedenti ricade pienamente nel campo d’applicazione qualora una sua vulnerabilità residua venga colpita da attacchi a partire dall’11 settembre 2026.
La gestione della catena di fornitura pone la responsabilità legale della segnalazione interamente in capo al fabbricante finale del prodotto, anche quando la falla derivi da librerie software, firmware o componenti forniti da soggetti terzi.
Diventa pertanto indispensabile l’adozione sistematica della Software Bill of Materials (SBOM), l’inventario strutturato e leggibile da macchina dei componenti software e delle relative dipendenze prescritto dall’Allegato I del Regolamento. La redazione della distinta base software secondo formati riconosciuti come CycloneDX o SPDX consente di tracciare istantaneamente i moduli esposti quando emerge una nuova vulnerabilità nota, permettendo di rispettare la finestra temporale della notifica di 24 ore.
Quali sono le sanzioni previste per la marcata conformità
Il quadro sanzionatorio stabilito dall’Articolo 64 del Regolamento punisce le inosservanze degli obblighi di segnalazione dell’Articolo 14 e dei requisiti essenziali dell’Allegato I con sanzioni amministrative pecuniarie che possono raggiungere importi fino a 15 milioni di euro o fino al 2,5% del fatturato mondiale annuo dell’esercizio precedente per le imprese, applicando la cifra più elevata.
Livelli sanzionatori intermedi sono previsti fino a 10 milioni di euro o il 2% del fatturato per violazioni legate agli obblighi degli altri operatori, e fino a 5 milioni di euro o l’1% del fatturato per la fornitura di dati inesatti o fuorvianti alle autorità di vigilanza.
Cyber Resilience Act, le scadenze della roadmap per il 2027
L’entrata in operatività dell’Articolo 14 e della piattaforma ENISA si inserisce all’interno di una tabella di marcia di attuazione progressiva del Regolamento. Lo scorso 11 giugno 2026 è diventato applicabile il Capo IV, dedicato alle procedure di notificazione degli organismi di valutazione della conformità abilitati a certificare i prodotti industriali delle classi più critiche.
L’adozione delle norme tecniche armonizzate elaborate dagli enti di normazione europei CEN, CENELEC ed ETSI nell’ambito della richiesta di normazione M/606 prevede la pubblicazione degli standard orizzontali di tipo A e di quelli di tipo B per la gestione delle vulnerabilità nell’autunno del 2026, spianando la strada alla dimostrazione sistematica di conformità.
Il percorso normativo giungerà a compimento l’11 dicembre 2027 con la piena efficacia di tutte le disposizioni del Cyber Resilience Act. A partire da tale scadenza finale, qualsiasi prodotto con elementi digitali distribuito nell’Unione Europea dovrà integrare la sicurezza informatica fin dalla fase di progettazione e sviluppo, essere corredato da una documentazione tecnica completa, garantire il rilascio di aggiornamenti gratuiti per l’intero periodo di supporto e mostrare la marcatura CE di conformità.
