Entrano in vigore gli obblighi di segnalazione del Cyber Resilience Act UE

I produttori di prodotti con elementi digitali (hardware e software, dai router alle app per la smart home) devono ora segnalare le vulnerabilità sfruttate attivamente e gli incidenti di sicurezza gravi tramite la Piattaforma unica di segnalazione gestita dall'ENISA: un'allerta precoce entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro rispettivamente 14 giorni o un mese. L'obbligo copre anche i prodotti immessi sul mercato prima della piena applicabilità del CRA nel dicembre 2027.

La data deriva dall'art. 71 del regolamento (UE) 2024/2847 (Cyber Resilience Act), entrato in vigore il 10 dicembre 2024: gli obblighi di segnalazione dell'art. 14 si applicano dall'11 settembre 2026, le norme sugli organismi di valutazione della conformità dal giugno 2026, e i requisiti completi sui prodotti dall'11 dicembre 2027. L'ENISA ha lanciato lo stesso giorno la Piattaforma unica di segnalazione; da lì le notifiche vengono instradate ai CSIRT nazionali competenti (Crowell & Moring, Freshfields, 11 settembre 2026).