Cyber Resilience Act: dal 11 settembre scattano gli obblighi di segnalazione. Come prepararsi con ISO/IEC 27001
Dal 11 settembre 2026 sono in vigore gli obblighi di segnalazione previsti dal Cyber Resilience Act (CRA, Regolamento UE 2024/2847). Riguardano i produttori di prodotti con elementi digitali che rientrano nel campo di applicazione del regolamento, compresi quelli già sul mercato. Il resto degli obblighi del CRA si applicherà dall’11 dicembre 2027.
Cosa va segnalato e in quali tempi
I produttori devono comunicare due tipi di eventi: le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto. I termini decorrono dal momento in cui il produttore ne ha consapevolezza:
- allerta preliminare entro 24 ore;
- notifica entro 72 ore;
- relazione finale entro 14 giorni dalla disponibilità di una misura correttiva, per le vulnerabilità sfruttate, oppure entro un mese dalla notifica, per gli incidenti gravi.
Le segnalazioni vanno inviate in contemporanea a ENISA e al CSIRT nazionale di riferimento, tramite la piattaforma unica di segnalazione. Il produttore deve inoltre informare gli utenti interessati.
Un quadro normativo sempre più fitto
Il CRA non è l’unico fronte. La direttiva NIS2 e il Data Act, applicabile ai prodotti connessi dal 12 settembre 2026, ampliano gli obblighi per imprese e fornitori. Il quadro non è omogeneo nemmeno tra i paesi UE: la Spagna, ad esempio, non ha ancora completato il recepimento di NIS2 e a luglio 2026 la Commissione europea l’ha deferita alla Corte di giustizia.
Il valore di un sistema di gestione certificato
Rispondere a un incidente in 24 ore richiede ruoli definiti, processi collaudati e una gestione del rischio già operativa. Sono i requisiti su cui si fonda ISO/IEC 27001, lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni: valutazione dei rischi, gestione degli incidenti, responsabilità della direzione, miglioramento continuo.
La certificazione ISO/IEC 27001 non equivale alla conformità al CRA, né sostituisce gli obblighi di legge. Offre però una struttura riconosciuta a livello internazionale su cui costruire le procedure richieste, utile anche per le organizzazioni che operano in più paesi con normative diverse.
Come può aiutarti A Cube TIC
A Cube TIC, gruppo globale di Testing, Inspection & Certification presente in circa 25 paesi, certifica i sistemi di gestione secondo ISO/IEC 27001. Ottobre è l’European Cybersecurity Month: è un buon momento per fare il punto sul tuo sistema e capire come strutturarlo.
Contattaci per saperne di più sulla certificazione ISO/IEC 27001.
Fonti: Regolamento (UE) 2024/2847; Jones Day; ACBSEC.