# Cyber Resilience Act: cosa segnalare dall’11 settembre 2026

> Cyber Resilience Act: dall’11 settembre 2026 chi produce software e prodotti connessi segnala entro 24 ore vulnerabilità sfruttate e incidenti. Cosa fare.

Normative · pubblicato il 16 ottobre 2026 · https://aimazing.it/blog/cyber-resilience-act-cosa-segnalare-dall11-settembre-2026/

Con il **Cyber Resilience Act** l’Unione europea fissa regole di sicurezza per tutti i prodotti hardware e software con una componente digitale. Il primo obbligo è già operativo: dall’**11 settembre 2026** chi fabbrica questi prodotti deve segnalare entro 24 ore le vulnerabilità attivamente sfruttate e gli incidenti gravi, anche per i prodotti già in commercio. Gli altri requisiti, dalla sicurezza fin dalla progettazione agli aggiornamenti, arrivano l’11 dicembre 2027.

## In breve

- Il regolamento (UE) 2024/2847 è in vigore dal 10 dicembre 2024 e si applicherà per intero dall’11 dicembre 2027.
- Dall’11 settembre 2026 i fabbricanti inviano un **preallarme entro 24 ore**, una notifica entro 72 ore e una relazione finale, tramite la piattaforma unica dell’ENISA.
- L’obbligo vale per tutti i prodotti con elementi digitali presenti sul mercato UE, compresi quelli venduti prima.
- In Italia il decreto di adeguamento, approvato in esame preliminare il 2 ottobre 2026, indica l’ACN come autorità di vigilanza del mercato.

## Cos’è il Cyber Resilience Act e quali prodotti riguarda

Il regolamento definisce **prodotto con elementi digitali** un prodotto software o hardware, insieme alle sue soluzioni di elaborazione dati da remoto. Riguarda i prodotti che, per uso previsto o ragionevolmente prevedibile, si collegano direttamente o indirettamente a un dispositivo o a una rete. La Commissione europea cita baby monitor e smartwatch; per capirci, possono rientrare anche un’app, un gestionale venduto in licenza, una telecamera connessa o un sensore industriale.

L’**elaborazione dati da remoto** è quella progettata dal fabbricante e necessaria a una funzione del prodotto, come il servizio online che fa dialogare un termostato con la sua app. Restano fuori i servizi in quanto tali, alcuni software open source e i prodotti coperti da regole specifiche, come dispositivi medici, aviazione e automobili.

## Fabbricanti, importatori e distributori: chi deve fare cosa

Il **fabbricante** è chi sviluppa o produce un prodotto con elementi digitali, o lo fa progettare e produrre, e lo commercializza con il proprio nome o marchio, a pagamento o gratis. Spettano a lui progettazione sicura, gestione delle vulnerabilità, aggiornamenti e, da settembre 2026, le segnalazioni.

L’**importatore** immette sul mercato UE prodotti con il marchio di un soggetto extra UE; il **distributore** li rende disponibili senza modificarne le proprietà. Dal dicembre 2027 entrambi, se vengono a conoscenza di una vulnerabilità, devono informare il fabbricante **senza ingiustificato ritardo**. Qualche esempio ipotetico:

- una PMI che vende con il proprio marchio un software per studi professionali è fabbricante;
- un’azienda che importa telecamere connesse prodotte fuori UE e le rivende è importatore;
- un negozio che rivende router di marche europee è distributore;
- un’impresa che usa soltanto software di terzi non ha obblighi diretti, ma ha interesse a chiedere ai fornitori come li rispettano.

## Cosa cambia dall’11 settembre 2026: le segnalazioni

Gli eventi da segnalare sono due. Una **vulnerabilità attivamente sfruttata** è una falla per cui ci sono prove affidabili che qualcuno l’abbia usata in un sistema senza il permesso del proprietario. Un **incidente grave** compromette, o può compromettere, la capacità del prodotto di proteggere disponibilità, autenticità, integrità o riservatezza di dati e funzioni importanti, oppure porta all’esecuzione di codice malevolo. I tempi:

1. **preallarme** entro 24 ore da quando il fabbricante ne viene a conoscenza;
2. **notifica** entro 72 ore;
3. **relazione finale** entro 14 giorni da quando è disponibile una correzione, per le vulnerabilità, o entro un mese dalla notifica, per gli incidenti gravi.

Si segnala una sola volta sulla **Single Reporting Platform** dell’ENISA, operativa dall’11 settembre 2026. La notifica arriva al CSIRT del Paese in cui il fabbricante ha lo stabilimento principale e, insieme, all’ENISA; il CSIRT la gira a quelli degli altri Paesi in cui il prodotto è venduto. ENISA offre FAQ, manuali e un help desk.

Il fabbricante deve anche **informare gli utilizzatori** colpiti e indicare le misure per ridurre il rischio; se non lo fa in tempo, può farlo il CSIRT. Per micro e piccole imprese il regolamento esclude le sanzioni pecuniarie per il solo mancato rispetto delle 24 ore del preallarme: gli altri obblighi restano.

## Cosa arriva l’11 dicembre 2027

Da quella data si applicano i requisiti principali: sicurezza per tutto il ciclo di vita, gestione delle vulnerabilità, aggiornamenti di sicurezza e **marcatura CE**. Il periodo di supporto, in cui il fabbricante garantisce gli aggiornamenti, deve durare **almeno cinque anni**, salvo prodotti pensati per un uso più breve. I prodotti critici dovranno superare una valutazione di terza parte prima della vendita.

Intanto la Commissione ha pubblicato il 27 luglio 2026 una prima serie di linee guida, e gli Stati devono assicurare entro l’11 dicembre 2026 un numero sufficiente di organismi di valutazione della conformità.

## La situazione in Italia: il decreto di adeguamento

Il 2 ottobre 2026 il Consiglio dei ministri ha approvato, in **esame preliminare**, il decreto legislativo di adeguamento al regolamento. Il testo prevede che:

- l’**ACN** sia autorità di notifica degli organismi di valutazione e autorità di vigilanza del mercato, anche con la Guardia di finanza;
- altre autorità vigilino nei propri ambiti, come Banca d’Italia, CONSOB e IVASS per gli istituti finanziari e il Garante privacy;
- i consumatori possano segnalare vulnerabilità, incidenti e minacce direttamente al **CSIRT Italia**;
- per le PMI ci siano un canale di consulenza definito da ACN e Ministero delle imprese, tariffe proporzionate per la valutazione di conformità e una Sandbox-CRA con accesso prioritario per micro e piccole imprese.

Il testo deve ancora completare l’iter prima dell’approvazione definitiva.

## Cosa fare adesso

1. **Fai l’inventario** dei prodotti con elementi digitali che metti sul mercato con il tuo nome, comprese le versioni vecchie ancora usate dai clienti.
2. **Nomina chi decide** entro 24 ore: una persona e un sostituto che ricevono le segnalazioni di vulnerabilità e valutano se notificarle.
3. **Prepara un modello di preallarme** e familiarizza con la piattaforma ENISA prima di averne bisogno.
4. **Controlla i componenti di terzi**, come librerie e moduli integrati nel prodotto: anche lì possono nascondersi vulnerabilità sfruttate.
5. **Se commissioni software su misura** da distribuire ai clienti, come quelli che sviluppiamo con [Ecosystem](https://aimazing.it/ecosystem/), chiarisci nel contratto chi è il fabbricante e chi gestisce segnalazioni e aggiornamenti.
6. **Se rivendi o importi**, chiedi ai fornitori quanto dura il periodo di supporto e come comunicano le vulnerabilità.

Informazioni aggiornate a ottobre 2026. Non è una consulenza legale: verifica il tuo caso sulle linee guida della Commissione e con un consulente.

## Domande frequenti

**Il Cyber Resilience Act vale anche per i servizi in cloud?**

I servizi in quanto tali sono esclusi. Rientrano però le soluzioni di elaborazione dati da remoto progettate dal fabbricante e necessarie al funzionamento di un prodotto, come il servizio online senza cui un dispositivo connesso non svolgerebbe una sua funzione.

**Devo segnalare anche per prodotti venduti prima del 2026?**

Sì. La Commissione europea precisa che l’obbligo vale per tutti i prodotti con elementi digitali immessi sul mercato dell’UE, anche quelli già in commercio prima dell’11 settembre 2026.

**Sono un rivenditore: cosa devo fare?**

Le segnalazioni all’ENISA spettano al fabbricante. Dall’11 dicembre 2027 importatori e distributori che vengono a conoscenza di una vulnerabilità devono informarne il fabbricante senza ingiustificato ritardo: conviene già ora chiedere ai fornitori come gestiscono falle e aggiornamenti.

**Chi controllerà il rispetto del regolamento in Italia?**

Secondo il decreto approvato in esame preliminare il 2 ottobre 2026, l’autorità di vigilanza del mercato sarà l’ACN, affiancata da altre autorità nei rispettivi ambiti. Il testo non è ancora definitivo.

## Fonti

- [EUR-Lex, «Regolamento (UE) 2024/2847», Gazzetta ufficiale dell’UE, 20 novembre 2024](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ%3AL_202402847)
- [Commissione europea, «Cyber Resilience Act - Reporting obligations», consultata a ottobre 2026](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting)
- [Commissione europea, «Cyber Resilience Act - Implementation», aggiornata al 27 luglio 2026](https://digital-strategy.ec.europa.eu/en/factpages/cyber-resilience-act-implementation)
- [Commissione europea, «Cyber Resilience Act», consultata a ottobre 2026](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [Commissione europea, «Safer and more secure digital products», 11 settembre 2026](https://commission.europa.eu/news-and-media/news/safer-and-more-secure-digital-products-2026-09-11_en)
- [ENISA, «The CRA Single Reporting Platform is launched», 11 settembre 2026](https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched)
- [Governo italiano, «Comunicato stampa del Consiglio dei Ministri n. 191», 2 ottobre 2026](https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-191/32740)

---
Articolo del blog di Aimazing S.r.l. (Terni). Pagina originale: https://aimazing.it/blog/cyber-resilience-act-cosa-segnalare-dall11-settembre-2026/