Cyber Resilience Act (CRA): nuovi aggiornamenti, scadenze e obblighi per il mondo tech
Dall’11 settembre 2026 il CRA: Cyber Resilience Act entra in una prima fase operativa con maggiore focus sugli obblighi di segnalazione.
Una scadenza che impone ai produttori di preparare processi di incident response e vulnerability management senza aspettare la piena applicazione del 2027.
Le Novità
Il regolamento impone ai produttori di integrare la cybersecurity nel ciclo di vita dei prodotti con elementi digitali e di adottare processi strutturati per identificare, valutare e gestire i rischi e le vulnerabilità.
Questo significa che la sicurezza non può più essere considerata esclusivamente una funzione del reparto IT o cybersecurity.
Per le organizzazioni interessate dal CRA, il tema coinvolge anche ricerca e sviluppo, software engineering, product management, qualità, e supply chain.
La Commissione europea ha pubblicato il 27 luglio 2026 una nuova guida per facilitare l'implementazione del regolamento, con particolare attenzione alle difficoltà operative incontrate da produttori, sviluppatori e imprese di diverse dimensioni.
La guida affronta degli aspetti particolarmente rilevanti:
l'individuazione dei prodotti che rientrano nell'ambito di applicazione del CRA;
il trattamento delle soluzioni di remote data processing e del software libero e open source;
gli obblighi di segnalazione e la valutazione del rischio.
La dashboard di reporting delle vulnerabilità
I produttori e gli sviluppatori di software open-source dovranno utilizzare il sistema di reporting previsto dal regolamento per notificare determinate vulnerabilità sfruttate attivamente e incidenti gravi che abbiano un impatto sulla sicurezza dei prodotti con elementi digitali.
Per supportare questo processo, ENISA ha sviluppato la CRA Single Reporting Platform (SRP), una piattaforma dedicata attraverso la quale effettuare le notifiche.
La logica è significativa anche dal punto di vista operatvo: invece di richiedere ai produttori di effettuare comunicazioni separate alle diverse autorità nazionali, il sistema consente di effettuare la segnalazione attraverso un'unica piattaforma.
La notifica viene quindi resa disponibile ad ENISA e ai CSIRT competenti secondo il meccanismo previsto dal CRA.
La piattaforma sarà operativa in coincidenza con l'applicazione degli obblighi di reporting.
Il meccanismo prevede una notifica articolata in tre fasi, con tempistiche molto strette:
entro 24 ore da quando il produttore viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave;
entro 72 ore, termine entro il quale deve essere inviata la notifica dell'incidente o della vulnerabilità con maggiori informazioni;
entro 14 giorni dalla disponibilità di un aggiornamento di sicurezza (security update) per una vulnerabilità attivamente sfruttata: va trasmesso il rapporto finale (final report) relativo alla vulnerabilità.
Per gli incidenti gravi, il CRA prevede inoltre una relazione finale entro un mese dalla notifica dell'incidente.
Cosa bisogna segnalare?
Uno dei punti più delicati per le aziende sarà distinguere gli eventi che richiedono una notifica da quelli che possono essere gestiti attraverso i normali processi interni di vulnerability management e incident response.
Il CRA introduce obblighi specifici per le Actively Exploited Vulnerabilities (AEV) e per i Severe Incidents (SI).
Per le AEV, le informazioni richieste possono comprendere, quando applicabili e disponibili, elementi come il CVE ID (Common Vulnerabilities and Exposures), informazioni sulla vulnerabilità e sullo sfruttamento, la gravità e l'impatto, nonché informazioni sull'attore malevolo e sulla natura dell'exploit.
Nel caso degli incidenti gravi, la segnalazione riguarda invece informazioni relative alla natura dell'incidente, alle misure di mitigazione adottate o in corso, alla gravità e all'impatto e alla possibile causa o minaccia all'origine dell'evento.
Questo introduce una conseguenza pratica importante: le aziende dovranno essere in grado di collegare il processo di incident response tecnico con quello di compliance e reporting.
Secure by design diventa un requisito operativo
Uno degli elementi più importanti del CRA è il passaggio da una cybersecurity prevalentemente reattiva a un approccio secure by design (SBD).
La sicurezza deve essere presa in considerazione già durante la progettazione del prodotto e non aggiunta successivamente come componente separata.
Conclusione
Il Cyber Resilience Act impone alle aziende un cambio di passo: non basta più prevenire, bisogna essere pronti a reagire e segnalare rapidamente.
La resilienza cyber diventa così parte integrante della compliance e della sicurezza del prodotto.
