UE: ENISA lancia la piattaforma unica del CRA, l'art. 14 si applica

L'11 settembre 2026 l'Agenzia dell'Unione europea per la cybersicurezza (ENISA) ha lanciato la Single Reporting Platform (SRP), lo strumento elettronico comune attraverso cui i fabbricanti di prodotti con elementi digitali devono ormai adempiere ai propri obblighi di segnalazione previsti dal Cyber Resilience Act (CRA). La stessa data segna il momento a partire dal quale gli obblighi di segnalazione di vulnerabilità e incidenti dell'articolo 14 del CRA si applicano ai fabbricanti che immettono prodotti connessi sul mercato dell'UE.

Il lancio rimuove l'ultimo ostacolo procedurale alla conformità. Con la piattaforma ormai operativa, i fabbricanti possono segnalare una sola volta e vedere le informazioni pertinenti instradate a ogni CSIRT nazionale competente, invece di costruire canali di notifica bilaterali verso ciascuno Stato membro. I principali requisiti essenziali di cybersicurezza del CRA non si applicano fino all'11 dicembre 2027, quindi gli obblighi sostanziali di security by design non sono ancora esigibili, ma il cronometro delle segnalazioni parte ora.

Chi deve segnalare, e da quando?

Dall'11 settembre 2026, ogni fabbricante di un prodotto con elementi digitali disponibile sul mercato dell'UE deve segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza di quel prodotto. Importatori e distributori portano lo stesso onere nell'ambito del loro ruolo nella catena di fornitura. L'obbligo decorre indipendentemente dalla scadenza dei requisiti essenziali di dicembre 2027: le segnalazioni partono da ora, pur non essendo ancora esigibili gli obblighi sostanziali di security by design.

I responsabili del software open source sono chiamati in causa più avanti. In virtù dell'articolo 24(3) del Regolamento (UE) 2024/2847, gli obblighi di segnalazione si estendono ai responsabili coinvolti nello sviluppo di prodotti con elementi digitali, ma quell'articolo si applica solo a partire dall'11 dicembre 2027, la stessa data in cui entrano in vigore i requisiti di cybersicurezza fondamentali.

Cosa va segnalato, e con quale tempistica?

Due categorie fanno scattare la notifica: le vulnerabilità attivamente sfruttate e gli incidenti gravi con un impatto sulla sicurezza di un prodotto con elementi digitali. I fabbricanti devono notificare all'autorità competente senza ingiustificato ritardo e, ove possibile, entro 24 ore dal momento in cui ne vengono a conoscenza, per poi fornire gli aggiornamenti prescritti dal regolamento man mano che la situazione si evolve.

L'SRP è il canale designato. L'ENISA lo gestisce e lo mantiene e ha pubblicato, accanto a un help desk dedicato, una FAQ, manuali utente, video tutorial, un glossario e una scheda informativa multilingue. Le linee guida sulle segnalazioni del CRA della Commissione europea aggiungono chiarimenti nella sezione 9.1 delle proprie linee guida attuative e nella sezione 5 della propria FAQ.

In che modo la Single Reporting Platform instrada una segnalazione?

La piattaforma è costruita su un modello a segnalazione unica e diffusione multipla. Quando un fabbricante invia una notifica, il CSIRT designato come coordinatore la riceve per primo e inoltra le informazioni ai CSIRT di ogni Stato membro in cui il prodotto interessato è anch'esso disponibile. L'ENISA riceve la notifica in copia simultaneamente. Questo instradamento coordinato riduce le segnalazioni duplicate e consente ai team nazionali di agire sugli stessi fatti in parallelo anziché in serie.

I CSIRT dell'UE utilizzano la stessa piattaforma sul lato ricevente, quindi il flusso di segnalazione, quello di diffusione e la vista di supervisione dell'ENISA risiedono tutti su un unico sistema. L'ENISA ha comunicato che amplierà le funzionalità della piattaforma nei prossimi mesi sulla base dell'uso operativo.

Dove si collocano le apparecchiature radio e di telecomunicazione rispetto al confine CRA-RED?

Per questo settore il punto decisivo è il confine con la Direttiva sulle apparecchiature radio (RED). Le apparecchiature radio che rispettano già i requisiti essenziali di cybersicurezza della RED, fissati dal Regolamento delegato (UE) 2022/30 della Commissione in virtù dell'articolo 3, paragrafo 3, lettere e) ed f) della Direttiva 2014/53/UE e applicabili dal 1° agosto 2025, sono escluse dai requisiti essenziali di cybersicurezza del CRA. Non sono escluse dall'obbligo di segnalazione: i fabbricanti di tali apparecchiature devono comunque segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite l'SRP a partire dall'11 settembre 2026.

Questa scomposizione fa dell'interfaccia CRA-RED il perno di conformità cruciale per il 2026. Un dispositivo radio o di telecomunicazione connesso può essere pienamente conforme alla RED sul piano della progettazione di cybersicurezza e ricadere comunque in toto nel regime di notifica del CRA, per cui i team di conformità che avevano trattato la conformità alla cybersicurezza della RED come traguardo finale devono ora dotarsi di un flusso di lavoro parallelo per la segnalazione delle vulnerabilità. Il monitoraggio continuo, per giurisdizione e in tempo reale, fa emergere il momento in cui una piattaforma di segnalazione va in linea e il giorno in cui si consolida un obbligo, consentendo a un team di strutturare il proprio flusso di lavoro prima che il cronometro parta.

Iscriviti alla newsletter gratuita

La checklist immediata è circoscritta ma sensibile al tempo: verificare se i propri prodotti ricadono nella definizione di prodotto con elementi digitali del CRA o soltanto nell'esclusione cybersicurezza della RED, registrarsi sull'SRP e provare il flusso di invio, mappare il percorso di escalation interno delle 24 ore dai team di sicurezza o di prodotto a chiunque presenti la notifica, e informare ingegneria e ufficio legale sulla scomposizione tra la scadenza di segnalazione di settembre 2026 e quella dei requisiti essenziali di dicembre 2027. Obsidian traccia entrambe le tappe nell'intero perimetro di cybersicurezza dell'UE.