Dall'11 settembre 2026 entrano in vigore i primi obblighi del Cyber Resilience Act, il regolamento europeo sulla sicurezza dei prodotti digitali. Non riguarda solo le grandi aziende tecnologiche: coinvolge anche chi, in una PMI o in uno studio professionale italiano, personalizza software o rivende dispositivi con il proprio marchio.

Il Regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA), è entrato in vigore il 10 dicembre 2024 lasciando alle imprese un periodo di transizione. La prima scadenza operativa è fissata all'11 settembre 2026: da quella data i produttori di hardware e software con "elementi digitali" dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti. La segnalazione iniziale va inviata entro 24 ore da quando il produttore ne viene a conoscenza, seguita da una notifica più completa entro 72 ore. Il canale unico è la Single Reporting Platform gestita da ENISA, indirizzata al CSIRT designato come coordinatore. Le sanzioni per la violazione dei requisiti essenziali possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato globale annuo, a seconda di quale importo sia più alto.

In 45 anni di consulenza IT ho imparato che le normative europee raramente restano confinate a chi le legge per primo. Nel mio giro di PMI e studi professionali vedo spesso rivenditori che installano il proprio marchio su un gestionale sviluppato da terzi, o system integrator che personalizzano software per un cliente specifico: con il CRA, quel gesto li fa rientrare nella definizione di "produttore", con tutti gli obblighi che ne derivano. L'esternalizzazione dello sviluppo o l'acquisto di componenti da terzi non trasferisce questa responsabilità.

Cosa cambia in concreto per chi lavora con l'IT delle piccole e medie imprese:

Chi personalizza diventa produttore. È come imbottigliare del vino con la propria etichetta: da quel momento la responsabilità della qualità è tua, non più di chi te lo ha venduto sfuso.

Le 24 ore non aspettano una riunione. È il tempo dell'allarme antincendio: si comunica subito, e si discute dopo di chi sia la responsabilità.

Il supporto minimo dichiarato è di 5 anni. Come la data di scadenza su una confezione alimentare: da oggi deve essere scritta chiaramente, non lasciata all'interpretazione del cliente.

Le micro e piccole imprese non sono esenti, solo un po' più tollerate. Non possono essere sanzionate per il solo mancato rispetto del termine di 24 ore, ma restano soggette a tutti gli altri obblighi del regolamento.

Il fornitore va scelto anche guardando la sua "data di scadenza". Chiedere per quanti anni un software o un dispositivo riceverà aggiornamenti di sicurezza dovrebbe pesare quanto il prezzo, non essere una domanda a margine del contratto.

Il punto vero non è la segnalazione entro 24 ore. È che la sicurezza dei prodotti digitali diventa una responsabilità con un nome e un cognome definiti per legge, non più un "ci pensiamo se succede qualcosa".

In 45 anni ho imparato che chi si informa prima di un obbligo lo trasforma in un vantaggio competitivo; chi lo scopre dopo, in una rincorsa a documentazione mai fatta.

La mossa da fare prima che scada:

Verifica se la tua azienda, o i tuoi fornitori, rientrano nella definizione di "produttore" del CRA (marchio proprio, software personalizzato, dispositivi rivenduti con brand diverso). Chiedi ai fornitori di software e hardware la durata del supporto dichiarata e la loro policy di gestione delle vulnerabilità. Se sviluppi o personalizzi software per clienti, assicurati di avere un canale attivo per ricevere e gestire segnalazioni di vulnerabilità.

Per approfondimenti o per una valutazione della tua posizione rispetto al Cyber Resilience Act, scrivimi via email o iscriviti alla newsletter qui sotto: ogni sabato un nuovo numero di "Prima Che Scada", prima che la scadenza diventi un problema.