Dall’11 settembre il Cyber Resilience Act obbliga chi immette sul mercato prodotti con elementi digitali — dal software al macchinario con firmware — a notificare vulnerabilità sfruttate e incidenti gravi entro un giorno. Una rilevazione ENISA fotografa però una preparazione ancora fragile: appena il 35% delle Pmi europee tiene un inventario dei componenti software dei propri prodotti. Un tema che sarà al centro di «Sotto Attacco», il convegno in programma il 1° ottobre a Treviglio Fiera.
Ventiquattro ore. È il tempo che, a partire da domani, un’azienda ha per lanciare il primo allarme quando scopre che una vulnerabilità dei suoi prodotti è già sfruttata da qualcuno. Poi 72 ore per la notifica completa, 14 giorni per la relazione finale sulla vulnerabilità e 30 per quella su un incidente grave. Non è una buona pratica consigliata: è un obbligo di legge, con sanzioni collegate.
L’11 settembre 2026 diventa applicabile l’articolo 14 del Regolamento (UE) 2024/2847, il Cyber Resilience Act, che riguarda le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali. La scadenza anticipa di oltre un anno la piena applicazione del regolamento, fissata all’11 dicembre 2027. Una scelta non casuale: il legislatore europeo ha voluto attivare per prima cosa il flusso informativo verso le autorità nazionali e verso ENISA, prima ancora dei requisiti tecnici di prodotto.
Non è una norma per le software house
È qui che molti imprenditori del territorio rischiano di sbagliare valutazione. Il CRA si applica a chiunque produca, importi o distribuisca prodotti con elementi digitali sul mercato europeo, indipendentemente dalle dimensioni aziendali. Non tocca solo le big tech: riguarda macchinari con firmware, dispositivi IoT industriali, software embedded, router, sistemi di automazione. Per chi produce macchinari, sistemi di controllo, sensori o firmware destinati a impianti connessi il punto delicato è l’ambito di applicazione, che si estende anche ai prodotti già presenti sul mercato da anni: un sistema di supervisione o un PLC commercializzato prima dell’entrata in vigore del regolamento non sfugge all’obbligo di notifica se, dopo settembre 2026, al suo interno viene individuata una vulnerabilità realmente sfruttata.
Chi vende un macchinario con dentro del firmware è un fabbricante ai sensi del Cyber Resilience Act, esattamente come chi sviluppa software.
La segnalazione passa dalla Single Reporting Platform di ENISA e viene indirizzata al CSIRT dello Stato in cui il fabbricante ha lo stabilimento principale: per le imprese italiane il destinatario è il CSIRT Italia, presso l’Agenzia per la cybersicurezza nazionale.
Il problema non è la norma, è l’organizzazione
Tra febbraio e marzo di quest’anno ENISA ha interpellato 194 organizzazioni in 31 Paesi per misurare quanto le piccole e medie imprese siano pronte al CRA. Il 66% dichiara di conoscere il regolamento, ma le due pratiche esplicitamente richieste dalla norma restano poco diffuse: il threat modelling è adottato dal 24% dei rispondenti, la distinta dei componenti software (SBOM) dal 35%. L’area più debole risulta proprio quella dell’incident response e della gestione del ciclo di vita del prodotto, con un punteggio medio di maturità di 2,6 su 5. Il cortocircuito è evidente: la prima scadenza del regolamento chiede di reagire in un giorno, e colpisce esattamente il muscolo meno allenato.
Se non sai quali componenti software ci sono nei tuoi prodotti, l’orologio delle 24 ore inizia a correre prima ancora che tu abbia capito che cosa è successo.
Il punto non è compilare un modulo quando l’incidente è già avvenuto. È stabilire prima chi individua la vulnerabilità, chi ne valuta la gravità, chi raccoglie le informazioni e chi firma la segnalazione. Tecnologia, ufficio legale e vertice aziendale devono condividere la stessa mappa del rischio quando il problema non c’è ancora.
Quanto costa sbagliare
L’articolo 64 del regolamento prevede sanzioni amministrative fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo – a seconda di quale importo sia maggiore – per la violazione dei requisiti essenziali e degli obblighi degli articoli 13 e 14. Si scende a 10 milioni o al 2% per gli altri obblighi e a 5 milioni o all’1% per informazioni inesatte o fuorvianti fornite alle autorità. Le autorità di vigilanza possono inoltre imporre misure correttive, vietare la distribuzione di un prodotto e ordinarne il ritiro dal mercato che per molte imprese è la conseguenza più temibile.
Una attenuazione esiste, ma è più stretta di quanto si creda. Microimprese e piccole imprese non sono sanzionabili per il mancato rispetto del solo termine delle 24 ore dell’allarme rapido: l’esenzione non elimina l’obbligo di segnalare, né riduce le sanzioni per carenze nella sicurezza del prodotto, nella documentazione tecnica o nella gestione delle vulnerabilità.
Un supporto in arrivo, con qualche ritardo
Il 27 luglio la Commissione europea ha pubblicato le linee guida sull’applicazione del regolamento (documento C(2026) 5252 final), con chiarimenti interpretativi e numerosi esempi pratici, pensati in particolare per microimprese e Pmi. Il testo, segnalato anche dall’ACN, è articolato in nove sezioni e copre ambito di applicazione, software open source, modifiche sostanziali, periodo di supporto, prodotti critici e importanti, valutazione del rischio, elaborazione dati remota e gestione delle vulnerabilità. Non ha valore vincolante, ma rappresenta la posizione interpretativa ufficiale della Commissione.
Per le imprese della Pianura, un tessuto fatto di meccanica, automazione, packaging, componentistica, dove il software è entrato dentro il prodotto senza che quasi nessuno lo chiamasse “prodotto digitale”, l’11 settembre è il momento in cui la cybersecurity smette di essere un capitolo dell’IT e diventa una condizione per stare sul mercato.
Di questo, e di come le aziende del territorio possono attrezzarsi concretamente, si parlerà il 1° ottobre a Treviglio Fiera nel convegno «Sotto Attacco», promosso da Pianura Network con il patrocinio di Regione Lombardia.
