L'11 settembre 2026 iniziano gli obblighi di segnalazione del Cyber Resilience Act per i fabbricanti interessati di prodotti con elementi digitali. La scadenza riguarda vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del prodotto. È distinta dall'applicazione dei principali requisiti del regolamento, prevista per l'11 dicembre 2027. Non ogni difetto software coincide automaticamente con una segnalazione obbligatoria.

La piattaforma e le tempistiche

ENISA presenta la Single Reporting Platform come il canale per le notifiche e pubblica manuali, FAQ e indicazioni sulla registrazione dei rappresentanti. La Commissione riepiloga una prima comunicazione entro 24 ore dalla conoscenza e una notifica più completa entro 72 ore; i rapporti finali seguono termini differenti secondo il caso. La qualificazione dell'evento e il calcolo delle scadenze devono essere verificati sul testo e sulle istruzioni applicabili.

La pagina ENISA include materiali operativi aggiornati il 9 e il 10 settembre 2026. Per chi deve utilizzarli, il riferimento è la versione corrente della guida, non una schermata salvata mesi prima. Questo articolo descrive la scadenza e il processo organizzativo, senza attestare una registrazione o un invio effettuato per conto di un'impresa.

Che cosa deve funzionare dentro l’azienda

La nostra lettura operativa è che la segnalazione cominci prima del modulo. L'azienda deve sapere dove riceve informazioni sui prodotti, chi legge i messaggi e chi valuta il possibile impatto. Una comunicazione arrivata all'assistenza può contenere elementi che richiedono un rapido coinvolgimento del team tecnico. Se il passaggio dipende da una persona assente, il processo è fragile.

  • Identificare prodotti e ruoli che rientrano nel perimetro.
  • Definire un canale interno per la valutazione delle segnalazioni.
  • Verificare rappresentanti autorizzati e accessi alla piattaforma.

Occorre inoltre distinguere contenimento tecnico, comunicazione al cliente e notifica all'autorità. Sono attività collegate, ma con destinatari e contenuti diversi. Un registro cronologico delle informazioni disponibili e delle decisioni aiuta a ricostruire il percorso senza affidarsi alla memoria. Le informazioni sensibili devono essere condivise soltanto nei canali appropriati.

Una prova prima dell’urgenza

Un'esercitazione può usare un caso fittizio chiaramente identificato e fermarsi prima di qualunque invio reale. Serve a verificare se le persone sanno raccogliere prodotto, versione, impatto e misure disponibili. Non va usata la piattaforma ufficiale per inviare notifiche dimostrative fuori dalle modalità previste.

La scadenza di oggi rende concreto un lavoro che deve proseguire lungo il ciclo di vita del prodotto. Il primo risultato utile è una procedura applicabile, con sostituzioni e responsabilità chiare. Le PMI che non hanno ancora definito il proprio perimetro devono recuperare le informazioni tecniche e giuridiche necessarie, senza presumere un'esenzione basata soltanto sulla dimensione aziendale.