Indice
- Cyber Resilience Act, cosa cambia dall’11 settembre
- Perché il fattore tempo è così importante
- Il paradosso della sicurezza: correggere rapidamente senza peggiorare la situazione
- Le nuove regole riguardano anche i prodotti già in circolazione
- Cosa devono cambiare le aziende
- Non è ancora entrato in vigore tutto il Cyber Resilience Act
- Cosa significa tutto questo per gli utenti
Dal 11 settembre scattano nuovi obblighi del Cyber Resilience Act: 24 ore per segnalare gravi vulnerabilità e nuovi requisiti di sicurezza.
Da oggi, 11 settembre 2026, entra in vigore una delle parti più importanti del Cyber Resilience Act, il regolamento europeo che introduce nuovi requisiti di sicurezza per prodotti digitali e dispositivi connessi. La novità riguarda in particolare la gestione degli incidenti più gravi e delle vulnerabilità per le quali esistono già exploit, cioè strumenti o tecniche che permettono di sfruttare concretamente una falla.
Per produttori e sviluppatori cambia soprattutto una cosa: i tempi per comunicare un problema diventano molto più stretti.
Quando viene scoperto un incidente di sicurezza rilevante, infatti, non sarà più sufficiente avviare internamente l’analisi e intervenire con calma. Il nuovo quadro europeo prevede una serie di scadenze precise, con un primo obbligo di comunicazione che arriva appena 24 ore dopo la scoperta del problema.
L’obiettivo è ridurre il più possibile il tempo durante il quale una vulnerabilità rimane aperta e può essere sfruttata da soggetti malintenzionati.
Cyber Resilience Act, cosa cambia dall’11 settembre
Il punto centrale della nuova fase del Cyber Resilience Act riguarda gli obblighi di segnalazione. In presenza di un incidente di sicurezza grave o di una vulnerabilità per la quale sono disponibili exploit, produttori e sviluppatori devono inviare un primo avviso entro 24 ore dalla scoperta all’Agenzia dell’Unione europea per la cybersicurezza, ENISA.
Non si tratta però dell’unica comunicazione prevista. Entro 72 ore dalla scoperta bisogna fornire ulteriori informazioni, comprese quelle relative alle misure studiate o previste per contenere e mitigare il problema.
Successivamente, una volta distribuita una patch correttiva, arriva anche la fase conclusiva: deve essere predisposto un rapporto finale entro 14 giorni. Per gli incidenti particolarmente gravi ed estesi, questo termine può arrivare fino a un mese.
Il sistema crea quindi una sequenza precisa: segnalazione iniziale, aggiornamento sulle contromisure e relazione finale dopo la correzione.
Perché il fattore tempo è così importante
La questione dei tempi è uno degli aspetti più delicati della cybersicurezza. Tra la scoperta di una vulnerabilità e la sua completa risoluzione possono trascorrere giorni o settimane. Prima bisogna capire esattamente quale sia il problema, poi individuare le condizioni necessarie per sfruttarlo, sviluppare una correzione, verificarla e infine distribuirla agli utenti.
Ogni passaggio richiede tempo: il problema è che, mentre l’azienda lavora alla soluzione, la vulnerabilità può rappresentare una porta d’ingresso per un attacco.
La situazione diventa ancora più delicata quando esiste già un exploit. In quel caso non si parla soltanto di una possibilità teorica: esiste una tecnica o uno strumento che può essere utilizzato per sfruttare quella specifica debolezza.
Ridurre il tempo che intercorre tra scoperta e segnalazione serve quindi a rendere più strutturata la risposta agli incidenti e a evitare che una vulnerabilità rimanga senza adeguata gestione per un periodo troppo lungo.
Il paradosso della sicurezza: correggere rapidamente senza peggiorare la situazione
C’è però un problema meno evidente; dire che una vulnerabilità deve essere corretta il prima possibile non significa necessariamente che fare tutto di fretta sia sempre la soluzione migliore.
Una patch sviluppata rapidamente ma non sufficientemente testata può introdurre nuovi problemi oppure non risolvere completamente la vulnerabilità originale. Per questo la gestione di un incidente di sicurezza richiede un equilibrio tra rapidità e accuratezza. Non di meno, esiste poi anche un’altra questione: quella della divulgazione delle vulnerabilità.
Se una falla viene resa pubblica prima che sia disponibile una correzione, il rischio è che informazioni utili per sfruttarla arrivino anche a criminali informatici che fino a quel momento non ne erano a conoscenza.
La gestione responsabile delle vulnerabilità deve quindi tenere insieme diverse esigenze: individuare il problema, valutarne la gravità, sviluppare una soluzione e comunicare le informazioni necessarie evitando, per quanto possibile, di facilitare nuovi attacchi.
Le nuove regole riguardano anche i prodotti già in circolazione
Un elemento particolarmente importante del nuovo quadro europeo è che il regolamento non si limita ai prodotti nuovi. Gli obblighi riguardano anche prodotti digitali e dispositivi connessi già presenti sul mercato europeo.
Questo significa che le aziende non possono semplicemente concentrarsi sui prodotti che verranno lanciati nei prossimi anni. Devono anche considerare il parco di prodotti già distribuiti e le procedure necessarie per continuare a gestire eventuali vulnerabilità. Per molte realtà questo potrebbe significare una revisione dei processi interni.
La sicurezza informatica non può più essere considerata esclusivamente una fase precedente al lancio di un prodotto. Diventa invece un’attività che deve accompagnarlo durante il suo ciclo di vita, dalla progettazione fino alla gestione delle vulnerabilità scoperte successivamente.
Cosa devono cambiare le aziende
Per produttori e sviluppatori la nuova normativa comporta quindi una maggiore attenzione alla gestione degli incidenti di sicurezza.
Non basta avere un team tecnico capace di sviluppare una patch. Servono anche procedure che permettano di capire rapidamente quando un problema deve essere segnalato, chi deve occuparsi della comunicazione e quali informazioni devono essere trasmesse. La finestra delle 24 ore è particolarmente importante proprio per questo motivo.
Un’azienda che scopre una vulnerabilità grave deve essere in grado di attivare rapidamente il proprio processo di risposta. Eventuali ritardi nella valutazione interna possono infatti diventare un problema anche dal punto di vista della conformità.
Il nuovo regolamento spinge quindi verso un approccio più strutturato alla vulnerability management, con processi capaci di seguire una falla dalla scoperta fino alla correzione definitiva.
Non è ancora entrato in vigore tutto il Cyber Resilience Act
La data dell’11 settembre 2026 non coincide però con la piena applicazione di tutti gli obblighi previsti dal regolamento.
L’implementazione del Cyber Resilience Act è graduale e il passaggio più ampio arriverà successivamente.
La piena conformità sarà infatti obbligatoria dall’11 dicembre 2027. Da quel momento entreranno in vigore anche ulteriori requisiti, tra cui quelli relativi alla marcatura CE e alla documentazione tecnica dedicata alla sicurezza informatica.
Il periodo che separa le due scadenze serve quindi alle aziende per adeguare progressivamente prodotti, processi e documentazione.
Nel frattempo, la Commissione europea ha già pubblicato linee guida pratiche con l’obiettivo di aiutare aziende e sviluppatori a orientarsi tra i nuovi requisiti.
Cosa significa tutto questo per gli utenti
Per chi utilizza quotidianamente smartphone, computer, dispositivi smart, software e altri prodotti connessi, le nuove regole non introducono necessariamente un’azione da compiere nell’immediato.
L’effetto più importante dovrebbe essere indiretto: aumentare il livello di sicurezza dei prodotti digitali venduti e utilizzati nell’Unione Europea.
Una vulnerabilità scoperta in un prodotto non dovrebbe più essere gestita soltanto come un problema tecnico interno all’azienda. Esiste ora un quadro europeo che impone precise responsabilità e scadenze per gli incidenti più gravi.
Questo è particolarmente importante in un momento in cui il numero di dispositivi connessi continua ad aumentare e una singola vulnerabilità può coinvolgere potenzialmente un numero enorme di utenti.
Il Cyber Resilience Act prova quindi a spostare il baricentro della sicurezza: non soltanto reagire quando arriva un attacco, ma rendere la gestione delle vulnerabilità una parte strutturale del ciclo di vita di un prodotto digitale.
La vera sfida, adesso, sarà capire quanto efficacemente aziende e sviluppatori riusciranno ad adattarsi a queste nuove scadenze. Le 24 ore per la prima segnalazione rappresentano infatti soltanto l’inizio di un processo molto più ampio, destinato a cambiare il modo in cui la sicurezza dei prodotti digitali viene gestita all’interno dell’Unione Europea.
