Costo reporting vulnerabilità 24h per produttori non UE (CRA 2026)

• Obbligo dal 11 settembre 2026 per tutti i produttori di prodotti digitali venduti nell’UE
• REP27 offre il servizio a €490/anno, rinnovo €440, prezzo pubblicato
• Kadano: €999/anno, Euverify: £590/anno (circa €690), prezzi pubblicati
• Il servizio copre solo la trasmissione della segnalazione, non test o valutazioni tecniche
• Mancato rispetto: multe fino a €15 milioni o 2,5% del fatturato globale
• Non serve a importatori, distributori o chi vende solo fuori UE

Aggiornato 21 ottobre 2026 · 7 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 21 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 14 CRA

L’Articolo 14 del Cyber Resilience Act (Regolamento UE 2024/2847) introduce un obbligo di reporting molto stringente per tutti i produttori di prodotti digitali venduti nell’Unione Europea, indipendentemente dalla loro sede. Dal 11 settembre 2026, ogni produttore deve segnalare entro 24 ore dalla conoscenza una vulnerabilità attivamente sfruttata o un grave incidente di sicurezza che impatti il prodotto. La segnalazione avviene tramite la piattaforma unica gestita da ENISA, indirizzata al CSIRT coordinatore del Paese UE di riferimento.

• La segnalazione si articola in tre fasi: early warning (entro 24h), notifica dettagliata (entro 72h), rapporto finale (entro 14 giorni).
• Il reporting è obbligatorio anche per produttori extra-UE che vendono direttamente o tramite marketplace a clienti UE.
• Non sono richiesti test di sicurezza o valutazioni tecniche dal rappresentante: il suo ruolo è trasmettere le segnalazioni e fungere da punto di contatto.
• L’obbligo si applica anche a incidenti che impattano la sicurezza del prodotto, non solo a vulnerabilità già sfruttate.

La mancata segnalazione o il ritardo possono comportare sanzioni fino a €15 milioni o il 2,5% del fatturato globale annuo, a seconda di quale sia superiore. Queste regole si applicano a chiunque immetta prodotti digitali sul mercato UE, inclusi produttori di software, hardware, dispositivi IoT, SaaS e altro.

Fonti: NIS2.gov.ie, Licentium

Come scegliere il provider: criteri pratici e confronto

Scegliere il provider giusto per il reporting delle vulnerabilità secondo il CRA richiede attenzione a diversi aspetti pratici, oltre al prezzo. Ecco i principali criteri da valutare:

• Prezzo pubblicato e trasparente: Preferisci provider che dichiarano chiaramente il costo annuale e di rinnovo, evitando sorprese.
• Copertura geografica: Il provider deve garantire la rappresentanza in tutti i Paesi UE dove vendi i tuoi prodotti.
• Certificazione e verifica: Un mandato firmato elettronicamente e verificabile pubblicamente è una garanzia di serietà.
• Canale di reporting attivo 24/7: Il servizio deve essere operativo ogni ora dell’anno, inclusi weekend e festivi.
• Chiarezza sulle esclusioni: Nessun provider incluso offre, nel prezzo base, test di sicurezza, SBOM o supporto tecnico: il mandato copre solo la trasmissione delle segnalazioni.

Confronto dettagliato:

Consiglio pratico: chiedi sempre in anticipo cosa è incluso, se ci sono costi per singola segnalazione, e come avviene il rinnovo. Preferisci provider che forniscono un certificato verificabile pubblicamente e che dichiarano chiaramente la loro entità legale e la copertura geografica.

Cosa include davvero il prezzo: dettagli pratici

Il prezzo pubblicato dai provider copre esclusivamente il mandato di rappresentanza per la segnalazione delle vulnerabilità secondo l’Art. 18 CRA. Questo significa che il rappresentante:

• Riceve e trasmette le segnalazioni di vulnerabilità o incidenti di sicurezza agli enti competenti (CSIRT/ENISA) tramite la piattaforma ufficiale.
• Funge da punto di contatto per le autorità di vigilanza europee in caso di richieste o chiarimenti.
• Fornisce un mandato firmato e certificato, spesso con QR code per verifica pubblica.
• Garantisce la presenza di un canale di reporting attivo 24/7 (almeno per REP27, come dichiarato nelle proprie pagine ufficiali).

Non sono inclusi nel prezzo base:

• Test di sicurezza o vulnerability assessment
• Generazione della Software Bill of Materials (SBOM)
• Supporto tecnico, legale o operativo nella redazione delle segnalazioni
• Gestione della crisi o comunicazione agli utenti finali (oltre al forwarding della segnalazione)

Per esempio, REP27 specifica che "conformity assessment belongs to notified bodies, testing to security firms, SBOM generation to your build pipeline and reporting to your security team". Il mandato copre solo la trasmissione e la ricezione delle richieste dalle autorità. Nessun extra fee dichiarato per singola segnalazione, nessun upsell nascosto.

Consiglio: assicurati di avere internamente le competenze per preparare le segnalazioni e rispondere a eventuali richieste di approfondimento da parte delle autorità.

Costi nascosti, limiti del servizio e rischi pratici

Il costo del mandato di rappresentanza è solo una parte del budget necessario per la compliance al Cyber Resilience Act. I costi nascosti e i limiti del servizio sono spesso trascurati:

• Preparazione interna: La raccolta delle informazioni, la redazione delle segnalazioni e la gestione delle comunicazioni con il rappresentante sono a carico del produttore.
• Audit e assessment: In caso di richiesta da parte delle autorità, potresti dover sostenere costi per audit esterni o assessment tecnici, non coperti dal mandato.
• Supporto tecnico e legale: Il rappresentante non offre consulenza tecnica o legale oltre la trasmissione delle segnalazioni; eventuali consulenze sono a parte.
• Responsabilità limitata: Nessun provider incluso si assume responsabilità per errori nei contenuti forniti dal cliente o per omissioni nella segnalazione.
• Rinnovo e switching: Verifica sempre le condizioni di rinnovo e le eventuali penali per cambio provider: REP27 pubblica i prezzi di switching e rinnovo, altri provider no.

Rischi pratici:

• Se la procedura interna non è pronta, il rischio di mancato rispetto delle tempistiche è elevato.
• La mancata segnalazione o il ritardo possono portare a sanzioni amministrative molto elevate e blocco delle vendite in UE.

Consiglio: considera il mandato come una "polizza di processo", non come una soluzione tecnica. La compliance effettiva dipende dalla tua organizzazione interna.

Come funziona la nomina: step by step e checklist

La nomina del rappresentante CRA segue uno schema operativo chiaro. Ecco i passaggi pratici e una checklist da seguire:

1. Verifica se vendi prodotti digitali nell’UE: Se sì, verifica se sei il produttore (non solo distributore/importatore).
2. Scegli il provider: Confronta prezzi, inclusioni, esclusioni e trasparenza contrattuale.
3. Richiedi il servizio online: Compila il modulo di richiesta e ricevi il mandato di rappresentanza Art. 18.
4. Firma e archivia il mandato: Il mandato deve essere firmato da entrambe le parti e conservato per eventuali controlli.
5. Inserisci i dettagli del rappresentante nella documentazione aziendale: Aggiorna i runbook, le policy interne e la documentazione di compliance.
6. Prepara la procedura interna di segnalazione: Definisci chi può dichiarare una vulnerabilità, come raccogliere le prove, come compilare i template di segnalazione (early warning, notifica, rapporto finale).
7. Nomina almeno due submitter: Assicurati che almeno due persone abbiano accesso alla piattaforma ENISA per evitare blocchi in caso di assenza.
8. Registra tutti i passaggi: Tieni traccia di chi, quando e come è stata fatta ogni segnalazione. Questo è fondamentale in caso di audit.

Checklist operativa:

1. Verifica la tua posizione (produttore, importatore, distributore)
2. Scegli e nomina il rappresentante
3. Prepara la procedura interna di reporting
4. Nomina i submitter e aggiorna la documentazione
5. Precompila i template di segnalazione
6. Registra ogni segnalazione e comunicazione

Consiglio: la chiarezza procedurale è il vero valore aggiunto del servizio di rappresentanza.

Decision matrix: chi ha bisogno del servizio?

Non tutte le aziende hanno bisogno del mandato di rappresentanza per il reporting delle vulnerabilità. Ecco una matrice decisionale basata su casi reali:

Consiglio: se sei solo distributore o importatore e non metti il prodotto sul mercato a tuo nome, non hai obbligo di nomina. Se sei produttore non UE, la nomina è essenziale per evitare sanzioni.

Cosa i provider non dicono (ma dovresti sapere)

Molti provider non pubblicano dettagli importanti che possono impattare la tua compliance e i costi reali:

• Esclusioni: Nessun provider incluso offre test di sicurezza, SBOM o valutazioni tecniche nel prezzo base. Il mandato copre solo la trasmissione delle segnalazioni.
• Responsabilità: La responsabilità sulla correttezza e tempestività delle segnalazioni resta sempre al produttore. Il rappresentante non verifica né modifica i contenuti ricevuti.
• Rinnovo e switching: Alcuni provider non pubblicano il prezzo di rinnovo o le condizioni per cambiare rappresentante. REP27 pubblica entrambi, altri no.
• Lingue e orari: Verifica che il provider sia realmente attivo 24/7 e che possa gestire richieste in più lingue, se necessario.
• Limiti di servizio: Il rappresentante non gestisce la comunicazione agli utenti finali, la gestione della crisi o la consulenza legale.

Consiglio: chiedi sempre una lista scritta delle esclusioni e dei limiti di responsabilità prima di firmare.

Scenari pratici: tre casi reali e percorso più semplice

• US SaaS che vende in UE: Deve nominare un rappresentante CRA, preparare la procedura di reporting e inserire il rappresentante nei documenti ufficiali. In caso di vulnerabilità sfruttata, invia la segnalazione al rappresentante che la trasmette a ENISA/CSIRT. Il percorso più semplice è scegliere un provider con canale attivo 24/7 e mandato verificabile.
• Venditore cinese su Amazon: Se è produttore del prodotto digitale, ha l’obbligo di reporting e deve nominare un rappresentante; se è solo distributore, no. Il percorso più semplice è chiarire il ruolo contrattuale e, se necessario, affidarsi a un provider con esperienza nel settore e-commerce.
• Online shop UK: Se vende prodotti digitali a clienti UE, deve nominare un rappresentante e seguire la procedura di reporting; se vende solo in UK, nessun obbligo. Il percorso più semplice è valutare se la quota di vendite UE giustifica il costo della compliance.

In tutti i casi, la preparazione interna e la chiarezza procedurale sono fondamentali per rispettare le scadenze e ridurre i rischi di sanzioni.