Confronto fornitori reporting vulnerabilità Cyber Resilience Act (CRA)

• Il reporting delle vulnerabilità CRA è obbligatorio dal 11 settembre 2026
• Solo alcuni fornitori pubblicano prezzi e dettagli inclusi
• La rappresentanza copre la trasmissione delle segnalazioni, non la valutazione tecnica
• Confronta esclusioni, rinnovi e processi di verifica
• Le multe per mancato reporting possono arrivare a €15 milioni o 2,5% del fatturato
• Il mandato rappresentante non copre assessment, SBOM o supporto tecnico

Aggiornato 20 ottobre 2026 · 12 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 20 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: obblighi, articoli e scadenze

Il Cyber Resilience Act (CRA), Regolamento (UE) 2024/2847, introduce obblighi stringenti per chi immette sul mercato UE prodotti con elementi digitali, sia hardware che software, indipendentemente dal luogo di stabilimento. I principali obblighi sono:

• Nomina di un rappresentante autorizzato (Art. 18): Se il produttore non è stabilito nell'UE, deve designare per iscritto un rappresentante nell'Unione. Questo rappresentante è responsabile della trasmissione delle segnalazioni di vulnerabilità e incidenti gravi alle autorità competenti (CSIRT, ENISA).
• Reporting delle vulnerabilità (Art. 14): Dal 11 settembre 2026, ogni produttore deve segnalare entro 24 ore dall'essere venuto a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave che impatta la sicurezza del prodotto. La segnalazione va fatta tramite la piattaforma ENISA e indirizzata al CSIRT coordinatore.
• Notifica completa e rapporto finale: Entro 72 ore dalla segnalazione iniziale, deve essere fornita una notifica dettagliata con le prime misure correttive. Entro 14-30 giorni, va inviato un rapporto finale con dettagli sulla vulnerabilità e la soluzione adottata.
• Applicazione a tutti i prodotti digitali: L'obbligo riguarda sia prodotti nuovi che già presenti sul mercato, coprendo l'intero ciclo di vita, inclusi aggiornamenti e supporto.
• Sanzioni: Il mancato rispetto può comportare multe fino a €15 milioni o il 2,5% del fatturato globale, a seconda di quale sia superiore.

È fondamentale distinguere tra il reporting CRA (vulnerabilità di prodotto) e altri obblighi come GDPR (violazioni dati personali) o NIS2 (incidenti di servizio). Ogni regime ha destinatari, scadenze e piattaforme diverse.

Come scegliere il fornitore: criteri pratici e rischi

La scelta del fornitore per il reporting delle vulnerabilità CRA deve essere guidata da criteri pratici e trasparenti. Ecco i punti chiave da valutare:

• Prezzo pubblicato e trasparente: Preferisci fornitori che dichiarano chiaramente il prezzo e il costo di rinnovo. Evita offerte con prezzi "introductory" o rinnovi nascosti.
• Cosa è incluso: Verifica se il servizio copre solo il mandato rappresentante e l'inoltro delle segnalazioni, oppure se offre anche supporto tecnico, documentazione, SBOM o workflow avanzati. La maggior parte dei provider si limita alla rappresentanza legale.
• Certificato verificabile: Un certificato con QR code e pagina pubblica di verifica riduce il rischio di contestazioni durante audit o incidenti.
• Desk attivo 24/7: Il reporting deve essere possibile in qualsiasi momento, inclusi notti, weekend e festivi. Chiedi esplicitamente se il desk è operativo tutto l'anno.
• Lingua e tempistiche di risposta: Assicurati che il provider possa gestire richieste in inglese e, se necessario, in altre lingue UE. Tempi di inoltro superiori alle 24 ore possono mettere a rischio la conformità.
• Esclusioni e limiti: Nessun rappresentante copre assessment tecnico, test di sicurezza, generazione SBOM o supporto ingegneristico: questi restano a carico del produttore o di fornitori specializzati.

Valuta sempre la chiarezza delle esclusioni: un provider che non le esplicita rischia di non aver definito bene la portata del servizio.

Cosa include davvero il prezzo: tabella comparativa e analisi

La maggior parte dei provider offre il mandato rappresentante e l'inoltro delle segnalazioni, ma pochi coprono servizi tecnici aggiuntivi. Ecco una tabella comparativa:

La differenza sostanziale tra i provider "classici" (REP27, kadano, Euverify) e quelli che offrono servizi più ampi (Attestra AI, Seentrix, Illicium) è che i primi si limitano agli obblighi minimi di legge, mentre i secondi propongono anche workflow di sicurezza, SBOM automatizzati o pentesting. Tuttavia, per la sola conformità all'Art. 18 e 14 CRA, è sufficiente il mandato rappresentante e la garanzia di inoltro tempestivo delle segnalazioni.

Attenzione: il prezzo pubblicato copre solo ciò che è esplicitamente dichiarato. I servizi tecnici aggiuntivi sono spesso quotati separatamente e possono essere molto più costosi.

Costi nascosti, esclusioni e cosa i fornitori non dicono

Molti fornitori non pubblicano il prezzo di rinnovo o applicano fee aggiuntive per richieste fuori orario, rilascio di certificati extra o supporto in lingue diverse dall'inglese. Ecco cosa tenere presente:

• Rinnovi: Chiedi sempre il prezzo di rinnovo scritto prima di firmare. REP27 lo pubblica chiaramente (€440), altri lo comunicano solo su richiesta.
• Esclusioni: Nessun provider copre assessment di conformità, test di sicurezza, generazione SBOM o supporto ingegneristico. Questi servizi sono separati e spesso molto più costosi del mandato rappresentante.
• Limiti di responsabilità: I provider non assumono responsabilità per errori tecnici, mancata segnalazione da parte del cliente o per la gestione delle vulnerabilità stesse.
• Notice period: Alcuni provider potrebbero richiedere un preavviso per la cessazione del servizio o per il cambio di rappresentante. Verifica sempre le condizioni contrattuali.
• Per-request fees: In assenza di informazioni pubbliche, chiedi se sono previsti costi per richieste extra, rilascio di nuovi certificati o supporto in emergenza.

Tabella decisionale:

In sintesi, la chiarezza sulle esclusioni e sui costi nascosti è fondamentale per evitare sorprese e garantire la piena conformità.

Come funziona la nomina: step by step e checklist pratica

La nomina del rappresentante CRA segue alcuni passaggi chiave. Ecco una guida dettagliata:

1. Verifica l'obbligo: Sei produttore di prodotti digitali (hardware/software) venduti in UE e non hai sede nell'Unione? Se sì, sei soggetto all'obbligo.
2. Scegli il provider: Confronta prezzi, inclusioni, esclusioni e processi di verifica. Preferisci provider con desk 24/7 e certificato pubblicamente verificabile.
3. Firma il mandato: Il mandato deve essere scritto, firmato dalla persona giuridica del provider (es. Europe Services, SE per REP27), e limitato agli obblighi dell'Art. 18. Evita mandati che pretendono di coprire anche Art. 13.
4. Ricevi il certificato: Il provider rilascia un certificato di nomina, preferibilmente con QR code e pagina di verifica online.
5. Prepara la runbook interna: Inserisci i dati del rappresentante, la procedura di escalation e i contatti per il reporting nella documentazione interna.
6. Configura il canale di reporting: Prepara un canale interno per raccogliere segnalazioni di vulnerabilità e incidenti, con almeno due persone nominate come submitter sulla piattaforma ENISA.
7. Forma il team: Assicura che il personale sappia cosa e quando segnalare, e che le procedure siano testate in simulazione.

Checklist pratica:

1. Hai identificato le classi di prodotto e la loro destinazione in UE?
2. Hai mappato tutti i canali di vendita e distribuzione?
3. Hai scelto un provider con desk 24/7 e prezzo di rinnovo trasparente?
4. Hai scritto le procedure di escalation e reporting?
5. Hai nominato almeno due submitter sulla piattaforma ENISA?
6. Hai testato il flusso di segnalazione con una simulazione?

Seguendo questi passaggi riduci al minimo il rischio di non conformità e di sanzioni.

Rischi, multe e scenari reali: cosa può succedere in pratica

La mancata segnalazione di una vulnerabilità entro 24 ore può portare a sanzioni fino a €15 milioni o il 2,5% del fatturato globale, oltre a danni reputazionali e blocco delle vendite in UE. Ecco tre scenari realistici per chiarire come si applicano gli obblighi:

• SaaS USA: Un'azienda SaaS statunitense che offre servizi a clienti UE deve nominare un rappresentante CRA, attivare un canale di reporting 24/7 e segnalare ogni vulnerabilità sfruttata. Il provider rappresentante inoltra le segnalazioni tramite ENISA e risponde alle richieste delle autorità.
• Venditore Amazon Cina: Se il venditore è anche produttore del prodotto digitale, deve nominare un rappresentante CRA e rispettare le scadenze di reporting. Se invece è solo rivenditore, l'obbligo ricade sul produttore. Il canale di reporting deve essere pronto dal 11 settembre 2026.
• Shop UK online: Un negozio online britannico che vende dispositivi con firmware a clienti UE deve nominare un rappresentante CRA. Se offre solo servizi non digitali, non è soggetto all'obbligo. In caso di incidente, il reporting deve avvenire entro 24 ore, anche se la sede è fuori UE.

In tutti i casi, la mancata preparazione (assenza di runbook, canale di reporting non testato, rappresentante non verificabile) può rallentare la risposta e aggravare le conseguenze legali ed economiche.