Dall'11 settembre 2026 è applicabile l'Articolo 14 del Cyber Resilience Act, il Regolamento (UE) 2024/2847, anche per i prodotti immessi sul mercato prima dell'11 dicembre 2027, comprese le macchine già installate presso i clienti. Un fabbricante che viene a conoscenza di una vulnerabilità sfruttata attivamente in un proprio prodotto, o di un incidente grave che ne colpisce la sicurezza, deve inviare un preallarme senza indebito ritardo e in ogni caso entro 24 ore.
Ventiquattro ore sono poche per capire che cosa è successo. Diventano pochissime se in quelle ore si deve anche scoprire come si accede alla piattaforma, chi in azienda può inviare la notifica e che cosa si dice ai clienti.
Questa pagina non spiega l'obbligo: per quello c'è la guida all'Articolo 14. Spiega che cosa conviene avere pronto prima, perché nessuna di queste cose si improvvisa mentre il termine corre. E se in azienda non è ancora stato fatto, l'obbligo non aspetta: si applica già.
L'errore più comune è pensare alla piattaforma come al lavoro da fare. La piattaforma è solo il punto di consegna. Tutto ciò che decide se una notifica parte in tempo, cioè sapere quali prodotti sono coinvolti, chi decide e che cosa si scrive, vive dentro l'azienda e si prepara prima. Chi non l'ha preparato, il giorno in cui serve, ha soltanto un modulo da compilare senza sapere che cosa scriverci.
La piattaforma unica di segnalazione è gestita da ENISA ed è in servizio, nella sua prima versione, dall'11 settembre 2026. A supporto, ENISA ha pubblicato un manuale d'uso, un video tutorial, un glossario dei campi delle notifiche, una raccolta di domande frequenti e le guide operative su registrazione, invio e aggiornamento delle notifiche. Avverte anche che questo materiale riflette le conoscenze attuali e può cambiare: va consultato nella versione più recente prima di applicarlo.
La notifica si trasmette attraverso la piattaforma, usando il terminale del CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha lo stabilimento principale nell'Unione, ed è contemporaneamente accessibile a ENISA. Per un fabbricante con lo stabilimento principale in Italia, il CSIRT designato come coordinatore è CSIRT Italia, presso l'Agenzia per la Cybersicurezza Nazionale.
Dal materiale di ENISA emerge un fatto organizzativo da cogliere subito: sulla piattaforma la notifica non la invia «l'azienda», la inviano persone registrate per conto del fabbricante, che ENISA chiama Assigned Representative. È un ruolo dell'account sulla piattaforma, da non confondere con il rappresentante autorizzato dell'articolo 18 del regolamento, che è una figura giuridica. Le guide prevedono due livelli: un rappresentante primario, che amministra, e uno o più rappresentanti secondari di riserva, invitati dal primario.
Chi sono, nella vostra azienda?
È una domanda banale finché non è l'una di notte di un sabato e il primario è in ferie.
Le persone. Decidete chi si registrerà come rappresentante primario e chi come secondario, e mettetelo per iscritto. Un ruolo assegnato a voce, di cui nessuno ha traccia, non serve alle tre del mattino. Per accedere alla piattaforma ciascuno ha bisogno di un account EU Login con l'autenticazione a più fattori attiva: crearlo prima costa pochi minuti, crearlo durante un'emergenza è tempo tolto alle 24 ore. La registrazione sulla piattaforma invece non va anticipata: ENISA raccomanda di registrarsi solo quando si deve inviare una notifica specifica, e la notifica si può inviare mentre il CSIRT verifica la registrazione. I secondari, poi, secondo la guida ENISA del 12 settembre 2026 può invitarli soltanto un primario già verificato; il 20 ottobre ENISA ha cambiato sulla piattaforma il modo di invitarli e sta aggiornando le guide, quindi prima di farlo va letta la versione più recente. In ogni caso il sostituto è una decisione interna, che va presa subito. Verificate anche la reperibilità: il termine decorre dal momento in cui il fabbricante viene a conoscenza del fatto, e se la conoscenza arriva il venerdì sera il termine non aspetta il lunedì.
L'inventario. L'elenco dei componenti digitali di ogni linea di prodotto, con le versioni. Per i prodotti immessi sul mercato dall'11 dicembre 2027 il regolamento chiede una distinta base del software (SBOM); per le macchine immesse sul mercato prima di quella data non la chiede, salvo una modifica sostanziale, ma l'obbligo di notifica vale anche per loro, e senza un elenco dei componenti, davanti a una vulnerabilità appena pubblicata, non si sa nemmeno se le riguarda: le 24 ore se ne vanno a cercare la risposta invece che a dare il preallarme.
La decisione presa in anticipo. Chi valuta se un evento va notificato, chi decide di procedere, chi scrive materialmente. Definirlo prima costa mezz'ora; deciderlo durante costa il termine.
C'è un obbligo dell'Articolo 14 che passa quasi sempre inosservato, perché non riguarda le autorità. Dal momento in cui viene a conoscenza della vulnerabilità o dell'incidente, il fabbricante deve informare gli utilizzatori interessati, cioè i clienti che hanno le macchine installate, della vulnerabilità o dell'incidente e, se necessario, delle misure che possono adottare per attenuarne l'impatto.
Se il fabbricante non li informa tempestivamente, i CSIRT designati come coordinatori che hanno ricevuto la notifica possono farlo al suo posto, se lo ritengono proporzionato e necessario per prevenire o attenuare l'impatto.
Vale la pena rileggere questa frase pensando a un cliente che scopre da un'autorità un problema del vostro prodotto che voi non gli avete comunicato. Preparare in anticipo che cosa si dice ai clienti, e chi lo dice, non è un adempimento: è la differenza fra gestire un incidente e subirlo.
L'ordine utile è questo, e nessuna di queste voci richiede di aspettare un evento:
Nessuna di queste cinque cose è complicata. Tutte e cinque diventano molto più difficili se si comincia il giorno in cui servono.
Cinque domande sul vostro prodotto, un verdetto sulle tre capacità che servono per reggere il termine delle 24 ore. Gratuito, senza registrazione per vedere il risultato.
Fai la verifica