Cosa è già cambiato
- Le segnalazioni sono obbligatorie. Dall’11 settembre 2026 il fabbricante deve segnalare, in contemporanea al CSIRT coordinatore e all’ENISA, le vulnerabilità attivamente sfruttate e gli incidenti gravi: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni dalla correzione (vulnerabilità) o entro un mese dalla notifica (incidenti). L’obbligo riguarda anche i prodotti immessi sul mercato prima di questa data.
- La piattaforma unica dell’ENISA è attiva. L’ENISA ha messo in funzione la prima versione della Single Reporting Platform, con manuali, FAQ e un help desk; alcune funzioni, come la segnalazione volontaria, arriveranno in seguito.
- In Italia l’ACN sarà l’autorità di vigilanza. Il 2 ottobre 2026 il Consiglio dei ministri ha approvato in esame preliminare lo schema di decreto di adeguamento, che affida all’Agenzia per la Cybersicurezza Nazionale la vigilanza del mercato e la notifica degli organismi di valutazione. Il testo non è ancora definitivo.
- Le norme armonizzate non sono ancora pronte. I lavori di normazione sono slittati di due mesi e, dalle informazioni disponibili, nessuna norma è ancora citata nella Gazzetta ufficiale dell’Unione. Per i prodotti di classe I questo significa che oggi l’autovalutazione non basta.
Le cinque cose da fare prima dell’11 dicembre 2027
- Classificare il portafoglio. Quali prodotti rientrano, se sono senza classe, importanti di classe I o II o critici, e se l’azienda è fabbricante, importatore o distributore. Da qui dipende il percorso di conformità.
- Mettere in sicurezza le segnalazioni, già obbligatorie. Chi rileva una vulnerabilità sfruttata, chi decide, chi accede alla piattaforma ENISA, come si informano gli utilizzatori. Conviene provarlo con un’esercitazione.
- Costruire la gestione delle vulnerabilità. SBOM almeno delle dipendenze di primo livello, monitoraggio dei componenti, politica di divulgazione coordinata con un punto di contatto pubblico, aggiornamenti di sicurezza gratuiti.
- Fare la gap analysis prodotto per prodotto rispetto ai requisiti essenziali dell’Allegato I e fissare il periodo di supporto, almeno cinque anni salvo una durata d’uso inferiore.
- Pianificare la conformità: documentazione tecnica, dichiarazione UE, informazioni per l’utilizzatore e, per le classi che lo richiedono, l’organismo notificato, da contattare per tempo.
Il calendario
| Data | Cosa |
|---|---|
| 11 giugno 2026 | Regole sugli organismi di valutazione della conformità |
| 11 settembre 2026 | Obblighi di segnalazione (art. 14), anche per i prodotti già sul mercato |
| 11 dicembre 2027 | Requisiti essenziali, valutazione della conformità, documentazione, marcatura CE, sanzioni |
Come possiamo aiutarvi
Classifichiamo i prodotti, impostiamo il processo di segnalazione e la gestione delle vulnerabilità e accompagniamo la conformità fino alla marcatura CE. Il lavoro si appoggia a Prometeo, che tiene censimento dei prodotti, valutazione dei requisiti per prodotto, SBOM, registro delle vulnerabilità e delle notifiche e le bozze dei documenti richiesti.
Il Cyber Resilience Act nel dettaglio →Fonti
Regolamento (UE) 2024/2847, artt. 14, 69 e 71; ENISA, Single Reporting Platform (notizia di DIMT, 14 settembre 2026; cyberresilienceact.eu, aggiornamento dell’11 settembre 2026); comunicato del Consiglio dei ministri n. 191 del 2 ottobre 2026 e commenti di ICT Security Magazine e Cybersecurity360 (ottobre 2026); cyberresilienceact.eu sullo slittamento delle norme armonizzate. Fonti consultate il 3 novembre 2026.