NOTA EDITORIALE 07 · 18 AGOSTO 2026
Dall’11 settembre 2026 sono in applicazione i primi obblighi di segnalazione del Cyber Resilience Act. Il nodo tecnico è trasformare vulnerabilità e aggiornamenti in un processo governato.
Fatti verificati
Il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act, è in vigore dal 10 dicembre 2024 e disciplina, con esclusioni specifiche, i prodotti hardware e software con elementi digitali messi a disposizione sul mercato dell’Unione. Non tutti i soggetti della filiera hanno gli stessi obblighi: l’ambito e il ruolo dell’operatore vanno valutati nel caso concreto.
Dall’11 settembre 2026 l’articolo 14 richiede ai fabbricanti di notificare, tramite la piattaforma unica gestita da ENISA, le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto: preallarme entro 24 ore dalla conoscenza e, salvo informazioni già fornite, notifica entro 72 ore. Sono termini di segnalazione, non di correzione. I principali requisiti di cibersicurezza e gestione delle vulnerabilità si applicheranno dall’11 dicembre 2027; il reporting riguarda anche prodotti già immessi sul mercato prima di quella data.
Analisi tecnica di Matteo Fiasca
Ogni apparato connesso va trattato come un ciclo di vita, non come un acquisto isolato. Modello, firmware, periodo di supporto, canale di aggiornamento, accessi remoti e responsabilità operative dovrebbero essere definiti prima dell’installazione e mantenuti sotto controllo.
Quando emerge una vulnerabilità, la differenza la fa la tracciabilità: quali unità sono coinvolte, dove si trovano e chi può intervenire. Inventario, segmentazione della rete, gestione delle credenziali, aggiornamenti testati e piano di dismissione riducono l’esposizione senza compromettere la continuità del servizio.
“Un dispositivo connesso non si giudica solo quando viene installato, ma da come sarà aggiornato e dismesso.”
Principi operativi
- Ciclo di vita — Modello, firmware, supporto, aggiornamenti e dismissione devono essere governati come un unico processo.
- Inventario operativo — Un avviso è operativo solo se l’inventario collega rapidamente vulnerabilità, apparati e contesti d’uso.
- Aggiornare con metodo — Patch, test, finestre di intervento e ripristino devono proteggere anche la continuità del servizio.
Autore
Matteo Fiasca · Founder & CEO, NetCom Security Group
Fonti verificate
- Unione europea. Regolamento (UE) 2024/2847, artt. 3, 14, 16, 69 e 71; allegato I.
- Commissione europea, aggiornamento 31 luglio 2026. “Cyber Resilience Act — Reporting obligations”.
- ENISA. “Single Reporting Platform (SRP)”. Consultazione: 18 agosto 2026.
