Cyber Resilience Act: Segnalazione vulnerabilità 24h - Fornitori e Prezzi (2026)

• L'articolo 14 del CRA richiede la segnalazione entro 24 ore di vulnerabilità sfruttate a ENISA.
• I produttori extra UE devono nominare un rappresentante autorizzato con sede nell'UE per la segnalazione.
• REP27 — Europe Services, SE applica €490/anno per il mandato Articolo 18.
• Prezzi concorrenti: kadano (€999/anno), Euverify (£590/anno), altri su richiesta.
• REP27 non include consulenza legale, generazione SBOM o valutazione conformità.
• Non richiesto per importatori, distributori o prodotti legacy immessi prima dell'11 settembre 2026.

Aggiornato 17 ottobre 2026 · 8 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 17 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articoli 14 e 18 del CRA

Il Cyber Resilience Act (CRA) introduce un regime rigoroso per i produttori che immettono sul mercato UE prodotti con elementi digitali. L'articolo 1 definisce l'ambito: hardware e software con elementi digitali, inclusi dispositivi connessi, firmware e app, sono coperti. L'articolo 10 stabilisce requisiti essenziali per misure di cybersecurity durante il ciclo di vita del prodotto, mentre l'articolo 11 dettaglia gli obblighi del produttore, come valutazione dei rischi, gestione vulnerabilità e valutazione conformità.

L'articolo 14 è centrale: richiede ai produttori di segnalare qualsiasi vulnerabilità attivamente sfruttata o incidente grave che comprometta la sicurezza del prodotto a ENISA tramite la piattaforma unica entro 24 ore dalla consapevolezza. L'obbligo scatta su evidenza credibile di sfruttamento o evento significativo, non dalla sola scoperta. Il termine di 24 ore è in ore di calendario, inclusi notti, weekend e festivi.

Per produttori stabiliti fuori UE, l'articolo 18 richiede la nomina di un rappresentante autorizzato con sede nell'UE. Questo rappresentante gestisce la segnalazione 24 ore su 24 e funge da punto di contatto ufficiale per le autorità UE. Importatori e distributori hanno obblighi propri (articolo 12), ma l'obbligo primario di segnalazione è del produttore o del suo rappresentante.

I prodotti immessi sul mercato UE prima dell'11 settembre 2026 sono esenti dall'obbligo di segnalazione 24 ore, ma devono rispettare altre disposizioni CRA. La non conformità può comportare multe fino a €15 milioni o il 2,5% del fatturato globale annuo, il maggiore tra i due. La legge è chiara: se sei un produttore extra UE che vende prodotti digitali nell'UE dopo questa data, devi avere un rappresentante autorizzato pronto ad agire entro 24 ore da qualsiasi incidente qualificante.

Come scegliere un rappresentante autorizzato CRA

Scegliere il rappresentante autorizzato giusto è fondamentale per la conformità e l'efficienza operativa. Inizia verificando l'entità legale del fornitore, la sua sede nell'UE e il track record. Ad esempio, REP27 — Europe Services, SE è stabilito a Praga, Repubblica Ceca, attivo dal 2018, con mandati firmati per aziende in 24 paesi.

I criteri chiave di selezione includono:

• Prezzi trasparenti: Cerca prezzi chiari, pubblicati e condizioni di rinnovo. REP27 pubblica prezzi per il primo anno e per il rinnovo. Alcuni fornitori, come kadano e Euverify, pubblicano prezzi, altri richiedono preventivi.
• Ambito del mandato: Assicurati che il mandato sia limitato agli obblighi dell'articolo 18. Mandati troppo ampi potrebbero includere obblighi dell'articolo 13, vietati dall'articolo 18(2). REP27 limita esplicitamente il mandato all'articolo 18.
• Disponibilità: Il desk di segnalazione deve essere operativo 24/7, inclusi weekend e festivi. REP27 garantisce copertura continua, per altri fornitori verifica i dettagli.
• Verifica del certificato: Un certificato verificabile (come il QR code di REP27 e la verifica pubblica) prova la nomina e può essere controllato da autorità o clienti.
• Esclusioni: Chiarisci cosa non è incluso, come consulenza legale, generazione SBOM o test tecnici. REP27 elenca tutte le esclusioni chiaramente; molti concorrenti no.

I servizi integrati (es. scansioni tecniche, generazione SBOM) possono essere utili se mancano risorse interne, ma verifica sempre costi nascosti, prezzi di rinnovo non chiari o descrizioni vaghe. Richiedi il processo per iscritto, incluse modalità di gestione richieste, lingue e orari.

Infine, assicurati che il mandato sia verificabile e che il processo di inoltro delle richieste alle autorità sia rapido e documentato. Non è solo un adempimento formale: ritardi o incomprensioni possono avere conseguenze legali e commerciali.

Cosa include realmente il prezzo: confronto fornitori

Capire cosa è incluso nel prezzo pubblicato è essenziale per evitare sorprese. Di seguito un confronto dettagliato basato sui dati disponibili:

Il prezzo di REP27 (€490/anno, €440 al rinnovo) copre solo il mandato Articolo 18, con esclusioni chiare. Kadano e Euverify pubblicano prezzi ma non specificano inclusioni o esclusioni pubblicamente. Fornitori come ResilienceWP e Seentrix offrono servizi tecnici aggiuntivi (SBOM, scansioni, documentazione), ma prezzi e ambito sono disponibili solo su richiesta.

Richiedi sempre una descrizione dettagliata del servizio e conferma dei prezzi di rinnovo prima di firmare. L'errore più costoso è presumere che la conformità tecnica o la consulenza legale siano incluse quando non lo sono.

Costi nascosti e cosa i fornitori spesso non dicono

Il prezzo di listino è importante, ma costi nascosti ed esclusioni possono avere un grande impatto sul budget di conformità e sul rischio operativo. Ecco cosa spesso non viene comunicato chiaramente:

• Esclusioni: REP27 è esplicito: nessuna consulenza legale, servizi DPO, valutazioni tecniche di conformità, generazione SBOM o test sono inclusi. Molti concorrenti non pubblicano tali esclusioni, quindi chiedi sempre. La conformità tecnica (SBOM, valutazione conformità, ingegneria) non è mai inclusa in un mandato solo rappresentante e deve essere preventivata a parte.
• Prezzi di rinnovo: Alcuni fornitori offrono un prezzo basso il primo anno ma non pubblicano i prezzi di rinnovo. REP27 li pubblica entrambi. Ottieni sempre condizioni di rinnovo scritte per evitare aumenti imprevisti.
• Costi per singola richiesta: Alcuni rappresentanti possono addebitare costi extra per ogni richiesta da autorità o interessati, o per segnalazioni urgenti. REP27 non dichiara tali costi, ma non è sempre così altrove. Chiarisci prima di firmare.
• Preavvisi e cessazione: Il processo per terminare il mandato o cambiare fornitore è raramente dettagliato. Chiedi tempi di preavviso e eventuali penali.
• Limiti di responsabilità: La maggior parte dei rappresentanti limita la responsabilità per ritardi o invii errati. Questi limiti non sono sempre pubblicati.
• Servizi integrati: Fornitori che offrono servizi tecnici (es. SBOM, scansioni) possono richiedere costi extra significativi o contratti a lungo termine. Conferma ambito e prezzi per iscritto.

In sintesi, il costo reale della conformità include non solo la tariffa del rappresentante ma anche l'ingegneria interna, la conformità tecnica e i costi di mantenimento di un processo di risposta 24/7. Richiedi sempre un dettaglio completo e conferma scritta di tutti i termini prima di impegnarti.

Come funziona la nomina: passo dopo passo

La nomina di un rappresentante autorizzato CRA richiede pianificazione e documentazione accurate. Ecco una guida pratica basata sulle migliori prassi attuali e sui requisiti di legge:

1. Valuta l'applicabilità: Conferma che il tuo prodotto è un elemento digitale (hardware/software) immesso sul mercato UE dopo l'11 settembre 2026. Se sì, si applica l'obbligo di segnalazione 24 ore.
2. Seleziona un fornitore: Confronta fornitori per prezzo pubblicato, ambito, esclusioni e reputazione. Richiedi termini e prezzi di rinnovo scritti.
3. Contratto e mandato: Firma un mandato scritto con il rappresentante scelto. REP27 emette mandato Articolo 18 firmato e certificato verificabile entro 24 ore. Verifica che l'entità legale sia stabilita nell'UE e registrata nel registro commerciale.
4. Aggiorna la documentazione: Registra i dettagli del rappresentante nel tuo runbook di conformità. Prepara un processo di segnalazione chiaro, inclusi chi può dichiarare un incidente e come documentare le evidenze.
5. Preparazione interna: Nomina almeno due membri del personale come submitter per la piattaforma ENISA, idealmente in fusi orari diversi. Prepara template di allerta precoce e assegna responsabilità per la notifica entro 72 ore e comunicazione agli utenti.
6. Risposta all'incidente: Quando si rileva una vulnerabilità o incidente qualificante, avvisa immediatamente il rappresentante. Il rappresentante invia l'allerta precoce a ENISA/CSIRT entro 24 ore, poi segue con notifica 72 ore e rapporto finale.
7. Registrazione: Mantieni registri dettagliati di consapevolezza, tempi di invio e comunicazioni. È fondamentale se la conformità viene verificata dalle autorità.
8. Revisione continua: Rivedi regolarmente processi, aggiorna contatti, template e responsabilità secondo necessità.

Questo processo garantisce il rispetto delle scadenze CRA ed evita sanzioni. La chiave è la preparazione: definire trigger, assegnare ruoli e simulare il flusso prima dell'entrata in vigore della legge.

Rischi, multe e scadenze di conformità

Il Cyber Resilience Act introduce rischi legali e finanziari significativi per la non conformità. L'articolo 15 descrive procedure sanzionatorie. Il rischio più immediato è il mancato rispetto della scadenza 24 ore per vulnerabilità sfruttate o incidenti gravi. Il termine parte dalla consapevolezza, non dal completamento dell'indagine. I ritardi possono comportare multe fino a €15 milioni o 2,5% del fatturato globale, il maggiore tra i due.

Altri rischi includono:

• Ritardi nell'accesso al mercato: Mancata nomina del rappresentante o mancata fornitura di certificato verificabile può ritardare il lancio o bloccare acquisti, specialmente in vendite enterprise.
• Azioni di controllo: Le autorità possono avviare indagini, richiedere documentazione o imporre misure correttive se gli obblighi di segnalazione non sono rispettati.
• Danno reputazionale: Fallimenti nelle segnalazioni pubbliche possono danneggiare il brand e la fiducia dei clienti.
• Regimi di segnalazione multipli: Un singolo incidente può richiedere segnalazioni a CRA, NIS2, GDPR e GPSR, con scadenze e autorità diverse. Ad esempio, un attacco ransomware che sfrutta il prodotto può richiedere tre segnalazioni separate.

Le scadenze sono rigide: l'obbligo 24 ore si applica dall'11 settembre 2026 per prodotti nuovi. Prodotti legacy immessi prima di questa data sono esenti dalla regola 24 ore ma devono rispettare altre disposizioni CRA. Il periodo di supporto per aggiornamenti di sicurezza — almeno cinque anni — è un costo nascosto da pianificare come linea di prodotto, non come progetto una tantum.

In sintesi, i rischi di non conformità sono elevati e il costo di non prepararsi è molto superiore a quello di nominare un rappresentante qualificato.

Matrice decisionale: serve un rappresentante CRA?

Usa la seguente matrice per capire se serve un rappresentante CRA:

Questa matrice copre la maggior parte degli scenari. In caso di dubbio, consulta un legale o contatta un fornitore per chiarimenti. Ricorda, l'obbligo è del produttore o del suo rappresentante, non di importatore o distributore salvo che immettano a proprio nome.

Checklist: passi per la conformità alla segnalazione 24 ore CRA

1. Mappa i tuoi prodotti: Elenca tutti i prodotti con elementi digitali venduti nell'UE e le date di lancio.
2. Valuta i processi interni: Rivedi come le vulnerabilità sono rilevate, gestite e documentate internamente.
3. Seleziona un rappresentante: Confronta fornitori, richiedi conferma scritta di tutti i costi, prezzi di rinnovo e ambito servizi.
4. Firma il mandato: Ottieni mandato Articolo 18 firmato e certificato verificabile dal rappresentante scelto.
5. Aggiorna la documentazione: Inserisci i dettagli del rappresentante nel runbook e documentazione di conformità. Prepara template di allerta precoce e notifica.
6. Assegna ruoli di segnalazione: Nomina almeno due submitter per la piattaforma ENISA, idealmente in fusi orari diversi.
7. Testa il flusso: Esegui esercitazioni simulando una vulnerabilità sfruttata per assicurarti che tutti conoscano responsabilità e tempi.
8. Forma il team: Educa il personale su cosa fa scattare il termine 24 ore e come gestire l'escalation.
9. Monitora aggiornamenti normativi: Rimani aggiornato su modifiche a requisiti CRA o piattaforme di segnalazione prima di settembre 2026.
10. Rivedi e aggiorna regolarmente: Riesamina processi e documenti annualmente o dopo incidenti significativi.

Seguire questa checklist aiuta a prepararsi per rispettare gli obblighi di segnalazione CRA e evitare sanzioni costose.

Scenari realistici: quale percorso seguire?

• Azienda SaaS USA che vende a imprese UE: Azienda extra UE che immette prodotti digitali nel mercato UE. Deve nominare un rappresentante autorizzato per segnalazione Articolo 18 (es. REP27, kadano, Euverify). Il team interno di sicurezza rileva vulnerabilità e notifica il rappresentante, che gestisce gli invii ENISA/CSIRT entro 24 ore. Nessun importatore o distributore coinvolto, obbligo diretto.
• Venditore cinese su Amazon che spedisce dispositivi IoT a consumatori UE: Se il venditore è produttore extra UE, deve nominare un rappresentante autorizzato. Se Amazon è importatore di fatto, l'obbligo di segnalazione può spostarsi su Amazon. Il venditore deve chiarire con la piattaforma e, se necessario, nominare un rappresentante e aggiornare la documentazione prodotto.
• Negozio online UK che vende router a marchio proprio nell'UE: Come produttore extra UE, deve nominare un rappresentante autorizzato per segnalazione 24 ore. I dettagli del rappresentante devono essere inclusi nella documentazione di conformità e i processi interni pronti per escalation rapida. Se il negozio agisce anche come importatore o distributore a proprio nome, possono applicarsi ulteriori obblighi.

Questi scenari mostrano l'importanza di mappare la catena di fornitura e chiarire i ruoli. La via più semplice per la conformità è nominare un rappresentante, documentare il processo e formare il team per risposte rapide.