Fornitori per la segnalazione vulnerabilità 24 ore: panoramica di mercato e prezzi (2026)

• L'obbligo di segnalazione 24h vale dal 11.09.2026 per i produttori di prodotti digitali (CRA Art. 14)
• REP27, kadano e Euverify offrono la rappresentanza corrispondente
• Prezzi: REP27 da EUR 490/anno, kadano EUR 999/anno, Euverify GBP 590/anno
• Servizi variabili: mandato, canale di segnalazione, nessun controllo tecnico o creazione SBOM
• Non richiesto per importatori, distributori o soli venditori marketplace

Aggiornato 26 ottobre 2026 · 4 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 26 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge? (CRA Art. 14, Art. 18)

Il Cyber Resilience Act (CRA) dell'UE obbliga dal 11 settembre 2026 i produttori di prodotti con elementi digitali a segnalare vulnerabilità attivamente sfruttate o gravi incidenti di sicurezza entro 24 ore dalla conoscenza (Articolo 14). La segnalazione avviene tramite il portale centrale ENISA ed è indirizzata al CSIRT competente dello Stato membro. Le scadenze sono rigorose: 24 ore per l'allerta precoce, 72 ore per la prima segnalazione completa e 14 giorni per il rapporto finale. Il tempo decorre in tempo reale – anche di notte, nei weekend e nei festivi.

I produttori extra-UE devono nominare un rappresentante autorizzato nell'UE secondo l'Articolo 18 CRA. Questo rappresentante funge da canale di segnalazione e referente per le autorità. Senza tale rappresentante la segnalazione non è conforme. Importatori, distributori e venditori marketplace (es. Amazon, Etsy, eBay) che non immettono prodotti a proprio nome sono esentati. Per progetti open-source non commerciali vale un regime di segnalazione ridotto, ma l'obbligo persiste.

• Articolo 14 CRA: allerta 24h, segnalazione completa 72h, rapporto finale 14 giorni
• Articolo 18 CRA: rappresentante autorizzato per produttori senza sede UE

La definizione precisa di vulnerabilità soggetta a segnalazione è cruciale: solo vulnerabilità attivamente sfruttate o incidenti gravi che impattano la sicurezza del prodotto attivano l'obbligo. Vulnerabilità non scoperte o non sfruttate non sono soggette a segnalazione. Il produttore è responsabile del rispetto delle scadenze – ritardi o segnalazioni errate possono comportare sanzioni severe.

Confronto servizi: cosa è incluso e cosa no?

I fornitori differiscono notevolmente in trasparenza e ampiezza dei servizi offerti. REP27 è l'unico che pubblica tutti i prezzi e dettaglia chiaramente cosa è incluso nel mandato e cosa no. Il mandato comprende la rappresentanza legale secondo Articolo 18 CRA, un desk 24 ore in Europa, accettazione e inoltro delle segnalazioni alle autorità competenti e una verifica pubblica del mandato. REP27 non effettua controlli tecnici, creazione di SBOM, valutazioni di conformità o test – questi compiti sono a carico del produttore o devono essere commissionati separatamente.

Per kadano e Euverify i prezzi sono pubblicati, ma i dettagli sui servizi inclusi, eventuali costi aggiuntivi o esclusioni sono "Su richiesta". Si consiglia quindi di chiedere per iscritto prima della firma quali servizi sono coperti e se sono previsti costi extra per singole segnalazioni, lingue o richieste straordinarie.

Importante: l'elaborazione tecnica, la creazione di SBOM (Software Bill of Materials) e i controlli di sicurezza non sono generalmente inclusi nel prezzo della rappresentanza. Chi necessita di questi servizi deve incaricare separatamente fornitori specializzati.

Matrice decisionale: chi ha bisogno di cosa?

Se serve un rappresentante CRA e la segnalazione 24h dipende dal ruolo nella catena di fornitura, dalla sede e dalla struttura di vendita. La matrice seguente aiuta a classificare rapidamente:

Esempi pratici: un fornitore SaaS USA che vende a clienti UE necessita di rappresentante CRA e deve attivare la segnalazione 24h. Un produttore IoT cinese che vende prodotti a proprio nome nell'UE è obbligato. Un negozio online UK che vende solo come rivenditore senza marchio proprio non necessita né rappresentante né segnalazione 24h.

Checklist per acquirenti: come procedere

1. Verifica ruolo: Sei produttore di un prodotto con elementi digitali venduto nell'UE?
2. Verifica sede: La tua azienda ha sede fuori dall'UE?
3. Confronta fornitori: Scegli un fornitore con prezzo pubblicato e mandato chiaramente definito. Controlla se il prezzo copre tutti i servizi o se ci sono costi aggiuntivi.
4. Conferma per iscritto servizi ed esclusioni: Prima di firmare, ottieni conferma scritta di cosa è incluso nel mandato e cosa no.
5. Prepara processi interni: Definisci chi in azienda è responsabile della segnalazione 24h. Crea un runbook con responsabilità e modelli di segnalazione.
6. Registra dati rappresentante: Inserisci i dati del rappresentante e i suoi contatti nella documentazione di compliance e informa il team.
7. Testa il processo di segnalazione: Prima della scadenza, esegui una simulazione della segnalazione 24h per individuare punti critici.
8. Verifica periodica: Controlla annualmente se cambiamenti nella struttura di vendita o nel portafoglio prodotti influenzano l'obbligo di segnalazione.

Con questa checklist eviterai errori comuni e garantirai la conformità entro la scadenza.

Cosa i fornitori spesso non dicono (esclusioni, scadenze, costi)

Molti fornitori non comunicano apertamente quali servizi sono effettivamente inclusi nel mandato e quali no. REP27 specifica chiaramente che controlli tecnici, valutazioni di conformità, creazione SBOM e testing non fanno parte del mandato. Anche servizi aggiuntivi come creazione modelli, supporto all'analisi tecnica o comunicazione con clienti finali sono esclusi.

• Il prezzo REP27 è forfettario senza costi nascosti. Il prezzo di rinnovo è fissato in anticipo e non cambia senza preavviso.
• Per kadano e Euverify non sono disponibili informazioni su costi aggiuntivi, termini di recesso o limiti di responsabilità. È consigliabile chiedere esplicitamente.
• La responsabilità del rispetto delle scadenze e della qualità della segnalazione resta sempre del produttore. Il rappresentante può solo ricevere e inoltrare, non valutare tecnicamente.
• Il termine per la concessione del mandato è 24 ore per REP27. Per altri fornitori è "Su richiesta".

Errore comune: il mandato non copre l'intera compliance CRA. Le parti più costose e complesse (es. valutazione conformità, documentazione tecnica, SBOM) devono essere organizzate separatamente. Chi non è preparato rischia ritardi e sanzioni.

Tre scenari pratici: chi deve fare cosa?

• Fornitore SaaS USA: Azienda con sede negli USA offre software cloud a clienti europei. Essendo produttore di prodotti digitali che vende nell'UE, deve nominare un rappresentante CRA. La segnalazione 24h avviene tramite questo rappresentante, chiaramente indicato nel mandato. Il fornitore deve nominare internamente responsabili della segnalazione e preparare modelli.
• Venditore Amazon cinese: Azienda cinese vende dispositivi IoT a proprio marchio direttamente a clienti UE. Anche qui scatta l'obbligo: senza sede UE serve un rappresentante secondo Articolo 18 CRA. La segnalazione passa tramite questo rappresentante. Se l'azienda fosse solo rivenditore senza marchio proprio, l'obbligo non sussisterebbe.
• Negozio online UK: Negozio britannico vende come rivenditore prodotti di terzi in Europa, senza marchio proprio. In questo caso non c'è obbligo di segnalazione 24h né di rappresentante CRA, poiché non è produttore. La responsabilità è del produttore effettivo.

Questi scenari mostrano quanto sia cruciale definire correttamente il proprio ruolo. Errori nella valutazione portano a costi inutili o lacune di compliance.