Obblighi di segnalazione
Scatta l’obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi. È la data che molti hanno mancato, perché guardavano il 2027.
Cyber Resilience Act: cosa devi fare se produci software.
Il Regolamento (UE) 2024/2847 riguarda chiunque immetta sul mercato europeo un prodotto con elementi digitali. Non è una direttiva da recepire: è un regolamento, si applica direttamente, e la prima scadenza operativa è vicina. Questa pagina dice cosa comporta, in concreto.
A chi si applica
La formula del regolamento è «prodotti con elementi digitali», che è più larga di quanto sembri. Se vendi in Europa, con ogni probabilità ti riguarda.
- Software venduto come prodotto, in licenza o in abbonamento, indipendentemente dal fatto che giri in cloud o presso il cliente.
- Firmware e software incorporato in apparecchiature: se il prodotto ha un microcontrollore e una connessione, è dentro.
- Componenti software venduti ad altri produttori, che a loro volta li integrano.
- Anche chi importa o distribuisce ha obblighi propri, non solo il produttore originale.
- Restano fuori gli ambiti già coperti da regolamenti settoriali — dispositivi medici, automotive, aviazione — che hanno regole proprie.
Le date che contano
Due scadenze distinte, e la prima è quella che sorprende chi ha guardato solo l’ultima.
Applicazione piena
Da qui non si immette più sul mercato un prodotto che non soddisfi i requisiti essenziali e non abbia il fascicolo tecnico e la dichiarazione di conformità.
Cosa devi produrre, concretamente
Il regolamento non chiede buone intenzioni: chiede documenti e processi che qualcuno può venire a leggere.
- Valutazione dei rischi di cybersicurezza
- Documentata, riferita al prodotto, e mantenuta per tutta la vita di supporto. Va allegata al fascicolo tecnico, non tenuta in un foglio a parte.
- Distinta dei componenti software (SBOM)
- L’elenco delle dipendenze, almeno di primo livello, in formato leggibile da una macchina. È anche la base pratica per sapere se una vulnerabilità appena pubblicata ti riguarda.
- Gestione delle vulnerabilità
- Un processo che le identifichi, le tratti e le corregga senza ritardo, e un canale attraverso cui chiunque possa segnalartele.
- Aggiornamenti di sicurezza
- Distribuiti gratuitamente e in modo tempestivo per tutto il periodo di supporto dichiarato, che va dichiarato e non può essere più corto della vita attesa del prodotto.
- Fascicolo tecnico
- Il documento che dimostra la conformità ai requisiti essenziali. Va tenuto aggiornato e conservato per dieci anni dall’immissione sul mercato.
- Dichiarazione di conformità UE e marcatura CE
- Sì, la marcatura CE si applica anche al software. È il passaggio che sorprende quasi tutti.
- Segnalazione entro 24 ore
- Per una vulnerabilità attivamente sfruttata o un incidente grave: prima notifica entro 24 ore al CSIRT competente e a ENISA, poi il seguito nei termini previsti. È l’obbligo che parte per primo.
Quattro convinzioni che costano care
Le incontriamo con regolarità, e nascono tutte da una lettura parziale del regolamento.
«Riguarda l’hardware, noi facciamo software»
Il perimetro è «prodotti con elementi digitali»: il software venduto da solo è esplicitamente dentro.
«Le librerie open source che usiamo non sono affar nostro»
Chi immette il prodotto sul mercato risponde del prodotto intero, dipendenze comprese. È la ragione per cui la SBOM non è burocrazia: è il modo in cui sai di cosa rispondi.
«Ci pensiamo nel 2027»
L’obbligo di segnalazione parte a settembre 2026, e presuppone di avere già un processo di gestione delle vulnerabilità funzionante. Non è qualcosa che si improvvisa il giorno dell’incidente.
«Facciamo il fascicolo alla fine»
Il fascicolo raccoglie evidenze prodotte durante lo sviluppo. Ricostruirle a posteriori costa molto più che raccoglierle mentre si lavora, e in certi casi non è più possibile.
Da dove si comincia
Se non hai ancora fatto nulla, questo è l’ordine che riduce prima il rischio.
- Stabilisci quali dei tuoi prodotti rientrano, e per ciascuno chi è il produttore ai sensi del regolamento.
- Genera la SBOM di quei prodotti. Senza, ogni passo successivo è a occhio.
- Apri un canale pubblico di segnalazione delle vulnerabilità e scrivi la procedura interna che lo gestisce.
- Dichiara il periodo di supporto per ciascun prodotto e verifica di poterlo mantenere.
- Comincia a raccogliere le evidenze nel formato del fascicolo tecnico, dalla prossima release in poi.
Se vuoi capire dove sei rispetto a queste scadenze, guardiamolo insieme su un prodotto vero.
Prenota una valutazionePagina aggiornata al 10 agosto 2026. Le date del regolamento vanno sempre verificate sulla fonte ufficiale.