Il Cyber Resilience Act europeo entra in una fase concreta l’11 settembre 2026. Da quella data i produttori di prodotti con elementi digitali devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza. La Commissione indica un avviso iniziale entro 24 ore dalla consapevolezza, una notifica completa entro 72 ore e un rapporto finale nei tempi previsti. L’invio passa attraverso la Single Reporting Platform realizzata da ENISA. Le principali regole di progettazione e conformità del regolamento diventeranno invece applicabili dall’11 dicembre 2027. Un router comprato per casa, un gestionale usato in ufficio o una videocamera collegata non obbligano automaticamente il cliente a inviare queste notifiche. Il dovere formale riguarda il produttore definito dal regolamento; ruoli come importatore, distributore, sviluppatore o impresa che modifica sostanzialmente un prodotto possono richiedere una valutazione specifica. Chi usa la tecnologia ha un compito diverso e immediato: essere raggiungibile dagli avvisi, sapere quale versione possiede e applicare una correzione senza perdere giorni a ricostruire l’inventario.
Perché è importante
- Dall’11 settembre 2026 i produttori devono inviare un primo avviso entro 24 ore e una notifica completa entro 72 ore per vulnerabilità attivamente sfruttate e incidenti gravi coperti dal CRA.
- Utenti e PMI che acquistano o usano i prodotti non diventano automaticamente soggetti a questi obblighi, ma devono sapere versione, supporto e canale del produttore per ricevere e applicare le correzioni.
- La checklist utile è verificabile: inventario minimo, aggiornamenti attivi, backup provato, dispositivi isolabili, contatto di sicurezza e prova documentata della versione installata.
L’11 settembre cambia la segnalazione dei produttori, non trasforma ogni utente in un responsabile legale
La Commissione ha pubblicato il 27 luglio una guida non vincolante con 67 esempi, attenzione a microimprese e PMI e chiarimenti su ambito, modifiche sostanziali, periodi di supporto e segnalazioni. È una novità attuale, non la promessa che dall’11 settembre ogni dispositivo sarà sicuro. Il flusso europeo può far circolare prima le informazioni su problemi già sfruttati; il beneficio per chi usa il prodotto arriva soltanto se produttore, rivenditore e cliente mantengono un canale operativo per patch e avvisi. Si parte dagli oggetti che possono ricevere codice o collegarsi a una rete: computer, telefoni, router, NAS, stampanti, telecamere, sistemi di allarme, centralini, applicazioni installate, servizi self-hosted e componenti usati in un sito. Per ciascuno bastano otto campi: nome del prodotto, produttore, modello o edizione, versione, posizione o responsabile, dati trattati, pagina ufficiale di supporto e data di fine aggiornamenti se dichiarata. Un foglio di calcolo è sufficiente per una famiglia o una piccola impresa; non serve acquistare subito una piattaforma di asset management.
L’ordine conta. Vanno marcati come prioritari i prodotti raggiungibili da Internet, quelli che conservano password o dati personali e quelli da cui dipende un servizio essenziale. Un router esposto, una VPN e l’email meritano attenzione prima di una lampadina smart. Occorre poi distinguere il servizio cloud dall’app sul telefono e dal dispositivo fisico: possono avere produttori, versioni e cicli di supporto diversi. Annotare soltanto il nome commerciale nasconde proprio il componente che deve essere aggiornato. Il risultato si verifica scegliendo tre elementi a campione. Dal pannello del prodotto si legge la versione; dal sito ufficiale si identifica l’ultima release e la data; nella documentazione si cerca il canale per avvisi di sicurezza. Se uno dei tre passaggi non è possibile, l’inventario ha già trovato un rischio reale: un prodotto non amministrabile, senza supporto chiaro o con credenziali perse. La correzione può essere recuperare l’account, assegnare un responsabile o programmare la sostituzione, non compilare un’altra colonna.
Cosa puoi farci concretamente
- Creare un inventario essenziale con prodotto, modello, versione, responsabile, dati trattati, fine del supporto e pagina ufficiale degli aggiornamenti.
- Aggiornare prima i sistemi esposti a Internet o che gestiscono credenziali, provando backup e accesso dopo ogni modifica importante.
- Se compare un problema, conservare orario e versione, limitare l’esposizione e contattare il produttore o il CSIRT competente senza pubblicare credenziali o dettagli sfruttabili.
Passo 2 — Aggiornare, isolare e provare il recupero senza trasformare la rete in un laboratorio
Per i prodotti supportati si attivano gli aggiornamenti automatici di sicurezza, lasciando una finestra controllata per sistemi che non possono fermarsi durante il lavoro. Prima di un aggiornamento importante si esegue un backup delle configurazioni e si verifica che possa essere ripristinato. Per router, NAS e dispositivi smart va disattivata l’amministrazione remota se non serve; le credenziali predefinite devono essere cambiate e l’autenticazione multifattore va attivata dove disponibile. Un dispositivo IoT può essere spostato sulla rete ospiti o su una rete separata, se il router lo consente. Non serve installare scanner aggressivi o scaricare exploit trovati online. Una verifica sicura consiste nel controllare versione, data dell’ultimo aggiornamento, elenco dei dispositivi collegati, esposizione delle porte prevista dal pannello e corretto funzionamento dopo la patch. Per una PMI, un servizio di gestione degli endpoint può automatizzare inventario e aggiornamenti, ma introduce un altro fornitore con privilegi elevati. Il costo varia per dispositivo e assistenza; prima di acquistarlo conviene misurare quanti asset esistono, quali sistemi supporta e chi controllerà gli avvisi.
I costi essenziali possono essere quasi nulli se si usano foglio condiviso, notifiche del produttore e funzioni già presenti nel router. Il costo vero emerge quando un prodotto è fuori supporto: continuare a usarlo richiede isolamento e controlli che spesso superano il prezzo della sostituzione. Un vecchio telefono tenuto offline come lettore musicale ha un rischio diverso da una videocamera non aggiornata accessibile da Internet. La decisione deve considerare dati, esposizione e continuità, non soltanto l’età.
La prova dei fatti
Se un prodotto mostra accessi sconosciuti, comportamento anomalo o un avviso su una vulnerabilità, si registrano data e ora, modello, versione, messaggio visualizzato e azioni già eseguite. Si limita l’esposizione senza cancellare subito ogni traccia: disconnettere un dispositivo compromesso può essere prudente, mentre ripristinarlo immediatamente può eliminare informazioni utili. Per servizi aziendali critici occorre coinvolgere chi gestisce sicurezza e continuità; per il prodotto si usa il contatto ufficiale del produttore. ENISA indica che la piattaforma europea potrà ricevere anche segnalazioni volontarie da persone fisiche o giuridiche, ma il canale non sostituisce assistenza o emergenza. Nel rapporto non vanno inseriti password, token, copie integrali di database o dati personali non necessari. Le schermate devono essere ritagliate, i log minimizzati e i file sensibili condivisi soltanto attraverso un canale concordato. Pubblicare subito una procedura dettagliata per sfruttare la falla può esporre altri utenti prima della correzione. La divulgazione coordinata cerca un equilibrio: dare al produttore informazioni riproducibili e tempo ragionevole, mantenendo la possibilità di coinvolgere un CSIRT quando il contatto non risponde o il rischio è grave.
La checklist è completa quando una seconda persona riesce a prendere un elemento dall’inventario, trovare il bollettino ufficiale, confermare la versione installata, sapere dove si trova il backup e individuare il contatto corretto. Va ripetuta dopo nuovi acquisti e almeno ogni trimestre per gli asset critici. L’avvio degli obblighi CRA non rende obsolete queste pratiche: le rende più utili, perché una segnalazione rapida del produttore può trasformarsi in protezione soltanto se chi usa il prodotto sa riconoscerlo, aggiornarlo e verificare che la correzione sia davvero arrivata.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
