Come Segnalare Vulnerabilità Entro 24 Ore secondo il Cyber Resilience Act

• Articolo 14 CRA: segnalazione entro 24 ore di vulnerabilità sfruttate/incidente grave.
• La segnalazione avviene tramite la piattaforma ENISA al CSIRT coordinatore.
• I produttori extra-UE devono nominare un rappresentante autorizzato.
• REP27 — Europe Services, SE: mandato €490/anno (prezzo verificato).
• Costi nascosti: ingegneria interna, periodo di supporto, valutazione di conformità.
• I fornitori differiscono per prezzi pubblicati, inclusioni e trasparenza.

Aggiornato 20 ottobre 2026 · 12 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 20 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa Richiede il Cyber Resilience Act (con Numeri di Articolo)

Il Cyber Resilience Act (CRA) è una normativa ampia che si applica a tutti i prodotti con elementi digitali immessi sul mercato UE, sia hardware che software (Articolo 1, fonte). L’obiettivo principale è garantire che i prodotti siano progettati, sviluppati e mantenuti con la cybersecurity integrata nel loro ciclo di vita. La legge è entrata in vigore il 10 dicembre 2024 (Articolo 71(1)), ma la maggior parte degli obblighi, inclusa la segnalazione, diventa vincolante dall’11 settembre 2026 per l’Articolo 14 e completamente dall’11 dicembre 2027 (Articolo 71(2)).

Articolo 14 è centrale per la risposta agli incidenti: i produttori devono segnalare qualsiasi vulnerabilità attivamente sfruttata o incidente grave che comprometta la sicurezza del prodotto entro 24 ore dalla presa di conoscenza. La segnalazione deve avvenire tramite la piattaforma ENISA al CSIRT coordinatore. Il conteggio parte dal momento della conoscenza, non dopo indagini o conferme. Una notifica completa è dovuta entro 72 ore e un rapporto finale entro 14 giorni. Il termine include weekend e festivi, senza proroghe o pause.

Articolo 18 richiede ai produttori extra-UE di nominare un rappresentante autorizzato stabilito nell’UE. Questo rappresentante è il canale ufficiale di segnalazione e contatto con le autorità. Senza di esso, l’importatore o distributore diventa responsabile di default, con rischi commerciali e di conformità.

I prodotti immessi sul mercato prima dell’11 dicembre 2027 sono soggetti al CRA solo se subiscono modifiche sostanziali dopo tale data (Articolo 69(2)). La non conformità può comportare multe fino a €15 milioni o il 2,5% del fatturato globale annuo (fonte).

• Articolo 14: segnalazione entro 24 ore di vulnerabilità sfruttate/incidente grave
• Articolo 18: rappresentante autorizzato per produttori extra-UE
• Articolo 69(2): regole per prodotti legacy

Come Scegliere un Rappresentante Autorizzato CRA

Scegliere il rappresentante autorizzato CRA giusto è fondamentale per i produttori extra-UE. Il rappresentante è il canale ufficiale per la segnalazione di vulnerabilità e il contatto regolatorio nell’UE. Ecco i principali fattori da considerare:

• Trasparenza dei prezzi: Solo pochi fornitori pubblicano prezzi verificati. REP27 — Europe Services, SE offre un mandato chiaro a €490/anno (rinnovo €440), mentre kadano indica €999/anno e Euverify £590/anno. Altri richiedono un preventivo diretto.
• Ambito del servizio: Verifica cosa è incluso nella tariffa. Il mandato Articolo 18 è il minimo, ma alcuni offrono servizi aggiuntivi come monitoraggio, conservazione prove o documentazione di autovalutazione (vedi CRAguard, ProvenVEX, SECURiMENT).
• Esclusioni: Nessun fornitore sopra include valutazione di conformità, test di sicurezza o generazione SBOM nel mandato. Questi sono costi separati di ingegneria o organismi notificati.
• Certificato e verifica: Cerca un fornitore che offra un certificato verificabile (REP27 fornisce codice QR e pagina pubblica di verifica).
• Termini di rinnovo: Assicurati che il prezzo di rinnovo sia dichiarato per iscritto prima di pagare la prima fattura. Rinnovi silenziosi o poco chiari sono un problema comune.
• Processo di risposta: Chiedi come vengono gestite le richieste delle autorità, in quali lingue e in quali orari. Un desk con personale 24/7 è essenziale per rispettare il termine di 24 ore.

Di seguito un confronto di inclusioni ed esclusioni basato su informazioni pubbliche:

Richiedi sempre un contratto scritto che elenchi inclusioni, esclusioni e termini di rinnovo.

Cosa Include Davvero il Prezzo

Comprendere cosa è (e non è) incluso nel prezzo pubblicato è cruciale per la pianificazione di budget e conformità. La tariffa per il mandato Articolo 18 copre tipicamente solo la nomina legale e l’operazione di un desk di segnalazione nell’UE. Ecco cosa significa in pratica:

• Mandato e desk di segnalazione: Il rappresentante è autorizzato ad agire come contatto ufficiale per la segnalazione di vulnerabilità. Per REP27, questo include desk con personale 24/7, gestione canale CSIRT/ENISA e certificato verificabile con codice QR. Kadano e Euverify offrono mandati simili ma non specificano funzioni aggiuntive pubblicamente.
• Servizi integrati: Alcuni fornitori (CRAguard, ProvenVEX, SECURiMENT) offrono servizi extra come monitoraggio dipendenze, conservazione prove o workflow di risposta incidenti. Tuttavia, questi non sono prezzi pubblici e possono comportare costi aggiuntivi significativi.
• Cosa non è incluso: Nessun fornitore in questo confronto include valutazione di conformità, test di sicurezza o generazione SBOM. Questi sono costi separati, spesso rilevanti, gestiti da organismi notificati o team interni di ingegneria.
• Prezzi di rinnovo: Solo REP27 pubblica un prezzo di rinnovo (€440/anno), inferiore al primo anno. Kadano e Euverify non dichiarano termini di rinnovo pubblicamente.

Quando confronti fornitori, chiedi sempre un dettaglio di cosa è incluso e cosa comporterà costi extra. Alcuni offrono anche rappresentanza combinata GDPR Articolo 27 o NIS2 a tariffa unica (REP27: €690/anno per CRA+GDPR, €990/anno per CRA+GDPR+NIS2).

Tabella riassuntiva:

Costi Nascosti ed Esclusioni

Il costo del mandato rappresentante è spesso la voce minore nella conformità CRA, ma costi nascosti ed esclusioni possono essere rilevanti:

• Tempo di ingegneria interna: Autovalutazione, documentazione e preparazione SBOM sono obbligatori ma non inclusi nella tariffa rappresentante. Richiedono risorse tecniche dedicate.
• Periodo di supporto: Il CRA richiede almeno cinque anni di aggiornamenti di sicurezza per la maggior parte dei prodotti. Prevedi budget per manutenzione continua come linea di prodotto, non progetto una tantum.
• Valutazione di conformità: Per prodotti importanti di classe II o critici, è richiesta valutazione da organismo notificato. Può costare migliaia di euro e richiedere mesi. Nessun rappresentante copre questo costo.
• Rilevamento incidenti: Il rappresentante non monitora i tuoi sistemi per vulnerabilità. Il team di sicurezza interno è responsabile del rilevamento e triage iniziale.
• Costi per incidente o richiesta: REP27 dichiara nessun costo extra per richieste, ma altri fornitori possono addebitare per servizi aggiuntivi o gestione incidenti. Chiarisci sempre per iscritto.
• Limiti di responsabilità: I fornitori limitano tipicamente la responsabilità all’ambito del mandato. Non sono responsabili per segnalazioni mancate dovute a errori interni.
• Preavvisi e termini di rinnovo: Rinnovi silenziosi o poco chiari possono causare costi imprevisti o interruzioni di copertura. REP27 pubblica prezzi e termini di rinnovo; altri potrebbero non farlo.

Cosa i fornitori solitamente non dicono:

• Il mandato non copre rilevamento vulnerabilità, patching o notifica utenti, che restano responsabilità del produttore.
• Richieste documentali da autorità possono subire ritardi se il runbook è incompleto o il team impreparato.
• Cambiare rappresentante può essere complesso se il mandato non è chiaramente limitato all’Articolo 18(3).

Richiedi sempre elenco di esclusioni e conferma termini per iscritto prima di firmare.

Come Funziona la Nomina: Passo per Passo

La nomina di un rappresentante autorizzato CRA è un processo strutturato. Ecco come funziona in pratica, con passaggi concreti e consigli:

1. Determina il tuo status: Sei il produttore di un prodotto con elementi digitali immesso sul mercato UE? Se sì, procedi. Se sei solo importatore o distributore, verifica se immetti il prodotto a tuo nome.
2. Verifica la tua sede: Se non hai entità legale nell’UE, devi nominare un rappresentante autorizzato. Se hai una controllata UE che agisce come produttore, segnali direttamente.
3. Seleziona un fornitore: Confronta i fornitori in base a prezzi pubblicati, ambito e trasparenza. REP27, kadano e Euverify pubblicano prezzi; altri forniscono dettagli su richiesta.
4. Firma un mandato scritto: Il fornitore (es. REP27) emette una lettera di designazione firmata, solitamente con firma elettronica eIDAS e certificato verificabile. Conferma che il mandato sia limitato ai doveri Articolo 18(3).
5. Aggiorna la documentazione di conformità: Inserisci i dati del rappresentante nei fascicoli tecnici, runbook e documentazione richiesta dal CRA.
6. Prepara il processo di segnalazione: Nomina almeno due operatori con accesso alla piattaforma ENISA. Prepara in anticipo template per allerta precoce e notifiche.
7. Definisci trigger e processo interno: Documenta cosa significa prendere conoscenza di una vulnerabilità sfruttata o incidente grave. Decidi chi può dichiararlo e quali prove servono (es. sfruttamento osservato, segnalazione cliente credibile).
8. Conservazione registri: Tieni traccia di timestamp di conoscenza, invio e aggiornamenti. Sono la prova in caso di contestazioni sui termini.
9. Preparazione continua: Forma il team, testa il processo di segnalazione e rivedi regolarmente il runbook.

Questo processo ti assicura di rispettare la scadenza di 24 ore e evitare lacune di conformità.

Rischi e Sanzioni

I rischi di non conformità al CRA sono rilevanti, sia finanziari che operativi:

• Multe: La non conformità può comportare sanzioni amministrative fino a €15 milioni o il 2,5% del fatturato globale annuo, se superiore. Le penalità si applicano a ritardi nella segnalazione, mancata nomina del rappresentante o risposta inadeguata (fonte).
• Rischi operativi: Ritardi nella segnalazione possono portare a indagini regolatorie, richiami di prodotto o divieti di accesso al mercato. Acquisti e distribuzione possono essere bloccati senza rappresentante UE valido.
• Danno reputazionale: Mancata notifica tempestiva a utenti o autorità può causare pubblicità negativa e perdita di fiducia.
• Disagi interni: Senza processo di segnalazione chiaro, si perdono ore preziose durante un incidente, aumentando rischi e costi.

Esempi di problemi comuni:

• Perdere le prime ore di un incidente cercando il CSIRT o canale corretto, sprecando tempo prezioso.
• Richieste documentali inviate a uffici in fusi orari diversi, causando ritardi.
• Un distributore trattato come canale di segnalazione di default, perdendo controllo sull’incidente.
• Interruzioni silenziose della copertura per rinnovi poco chiari.

Mitiga questi rischi nominando un rappresentante trasparente e reattivo e mantenendo un processo interno solido.

Matrice Decisionale: Hai Bisogno di un Rappresentante CRA?

Usa la matrice sotto per capire se devi nominare un rappresentante autorizzato CRA in base al tuo modello di business e ubicazione:

Verifica sempre il tuo status e obblighi prima di nominare un rappresentante.

Checklist: Passaggi per la Conformità alla Segnalazione CRA in 24 Ore

1. Verifica se il tuo prodotto è coperto dal CRA (elemento digitale, mercato UE).
2. Conferma se sei il produttore (non solo importatore/distributore).
3. Se fuori UE, nomina un rappresentante autorizzato CRA e ottieni mandato scritto.
4. Documenta i dati del rappresentante nei fascicoli tecnici e registri di conformità.
5. Prepara un canale di ricezione segnalazioni 24/7 (interno o tramite rappresentante).
6. Nomina almeno due operatori con accesso alla piattaforma ENISA.
7. Precompila template di allerta precoce e notifiche per rapida compilazione.
8. Forma il personale su cosa attiva la segnalazione e come rispondere entro 24 ore.
9. Definisci e documenta le prove necessarie per "prendere conoscenza" di vulnerabilità o incidente.
10. Registra tutti i timestamp rilevanti per prova di conformità e audit.
11. Rivedi e aggiorna regolarmente runbook e processo di segnalazione.

Seguire questa checklist aiuta a evitare i fallimenti di conformità più comuni.

Scenari Realistici: Quale Obbligo si Applica?

• Azienda SaaS USA che vende in UE: Come produttore extra-UE, devi nominare un rappresentante CRA (es. REP27) come canale di segnalazione. Prepara un canale 24/7 e almeno due operatori per inviare segnalazioni tramite piattaforma ENISA. Prepara template di allerta precoce e documenta il processo per definire quando una vulnerabilità è attivamente sfruttata.
• Venditore Amazon cinese (marchio proprio): Se produci e vendi prodotti digitali a marchio proprio in UE, serve un rappresentante CRA. Se rivendi solo marchi terzi, non serve. Nomina rappresentante, aggiorna documenti di conformità e preparati alla segnalazione in 24 ore.
• Negozio online UK con dispositivo IoT proprio: Se vendi direttamente a consumatori UE, sei produttore e devi nominare un rappresentante CRA. Se vendi solo in UK, il CRA non si applica. Se usi distributore UE che immette il prodotto a proprio nome, la responsabilità è sua.

In tutti i casi, la via più semplice per la conformità è nominare un rappresentante trasparente a prezzo fisso, documentare il processo di segnalazione e formare il team prima dell’entrata in vigore della legge.