Segnalazione di vulnerabilità entro 24 ore (Articolo 14 CRA)

• Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
• Directive (EU) 2022/2555 — NIS2, for entities also in its scope
• Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected

Chi deve nominarlo

Ogni produttore di un prodotto con elementi digitali immesso sul mercato dell'UE, a partire dall'11 settembre 2026, indipendentemente dalle dimensioni o dal settore. L'obbligo ricade sul produttore, non sull'importatore o sul distributore, ma un produttore al di fuori dell'Unione normalmente lo adempirà attraverso il suo rappresentante autorizzato o un ufficio che agisce secondo le sue istruzioni. I custodi del software open-source hanno un obbligo di segnalazione più leggero e separato.

Soglie ed esenzioni

Nessuna soglia di dimensione. Ciò che attiva l'obbligo è fattuale: una vulnerabilità nel tuo prodotto che viene attivamente sfruttata, o un incidente grave che ha un impatto sulla sicurezza del prodotto. 'Attivamente sfruttata' significa che ci sono prove affidabili che qualcuno ha eseguito codice o ha influenzato il prodotto senza autorizzazione. Il sospetto non è il fattore scatenante, ma lo standard è la consapevolezza delle prove, non la conferma dell'intero quadro.

Cosa deve comparire in etichetta

Non è un obbligo di etichettatura. Ciò che deve essere pubblicato è un unico punto di contatto per la segnalazione delle vulnerabilità, facilmente reperibile sul tuo sito web, insieme a una politica di divulgazione coordinata delle vulnerabilità che stabilisce come vengono ricevute, triagiate e risposte alle segnalazioni.

Campi sui marketplace

Non applicabile come campo di mercato. Si presenta invece nei questionari di approvvigionamento aziendale e di sicurezza, dove gli acquirenti ora chiedono il punto di contatto per le vulnerabilità, la politica di divulgazione e prove di un processo di segnalazione prima di firmare.

Documentazione da tenere

Una procedura interna di gestione che definisce chi dichiara consapevolezza, chi redige, chi approva e chi archivia, con un vice nominato per le ore non lavorative. Un registro delle vulnerabilità con timestamp per ciascuna fase. La politica di divulgazione coordinata delle vulnerabilità. Prove della misura correttiva e della data in cui è diventata disponibile. Registrazioni delle notifiche agli utenti, poiché l'Articolo 14 richiede anche di informare gli utenti interessati riguardo all'incidente e, se necessario, riguardo alle misure correttive che dovrebbero applicare.

Norme e prove

Non applicabile. Ciò che viene esaminato dopo il fatto è la cronologia: quando il produttore è diventato consapevole, quando è stata presentata l'allerta precoce e se gli intervalli sono stati rispettati.

Requisiti linguistici

Le segnalazioni vengono presentate attraverso la piattaforma di segnalazione unica, che accetta l'inglese. Le comunicazioni con un CSIRT nazionale possono essere condotte nella lingua di quello stato membro, e le notifiche agli utenti dovrebbero essere nella lingua degli utenti interessati.

Da quando si applica

Tre scadenze, tutte che decorrono dalla consapevolezza piuttosto che dalla conferma. Un'allerta precoce entro 24 ore, che indica che esiste una vulnerabilità attivamente sfruttata o un incidente grave, se altri stati membri sono coinvolti, e — anche senza dettagli completi — sufficienti per consentire al CSIRT di agire. Una notifica di vulnerabilità o incidente entro 72 ore, con informazioni generali sul prodotto, la natura dello sfruttamento e eventuali misure correttive adottate o consigliate. Un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva, o entro un mese dalla notifica di 72 ore per un incidente grave, descrivendo la vulnerabilità, la sua gravità, lo sfruttamento e la soluzione.

Per quanto si conservano i documenti

Il registro delle vulnerabilità, le notifiche archiviate e i loro timestamp, per la durata del periodo di supporto almeno. Questa è la prova che decide un caso di enforcement, perché la domanda sarà quando lo sapevi.

Cosa succede se non sei in regola

Fino a 15 milioni di euro o il 2,5% del fatturato annuale totale mondiale per violazione degli obblighi del produttore, che includono l'Articolo 14. L'esposizione è insolita in quanto non dipende dal fatto che la vulnerabilità stessa sia colpa tua: una dipendenza che non hai scritto, sfruttata nel mondo reale, avvia comunque il conteggio di 24 ore. Le autorità possono anche ordinare il ritiro del prodotto mentre la questione non è risolta.

Chi controlla

Il CSIRT designato come coordinatore nello stato membro della tua principale sede, o dove non ne hai nessuna nell'Unione, quello designato per il tuo rappresentante autorizzato. ENISA riceve le notifiche in parallelo attraverso la piattaforma di segnalazione unica. Le autorità di sorveglianza del mercato fanno rispettare.

Dove passa il confine

Quest'obbligo entra in vigore più di un anno prima del resto del CRA, e quel divario è ciò che la maggior parte dei produttori ignora. Si affianca alla segnalazione NIS2, che ha scadenze simili ma un fattore scatenante diverso — un incidente che colpisce il tuo servizio come entità, piuttosto che una vulnerabilità in un prodotto che vendi — e all'Articolo 33 del GDPR sulla notifica di violazione dove sono coinvolti dati personali. Un evento può richiedere tutti e tre, a tre diverse autorità, su tre diverse basi legali.

Le domande che ci fanno

Chi decide se una vulnerabilità è attivamente sfruttata?

Tu lo fai, sulla base delle prove che hai. La strada sicura è presentare l'allerta precoce e perfezionarla nella notifica di 72 ore. Presentare in ritardo perché stavi ancora confermando è il modo di fallire che le autorità hanno segnalato non accetteranno.

Cosa succede se ne veniamo a conoscenza da un ricercatore di sabato?

Il conteggio inizia dalla consapevolezza, non dal giorno lavorativo successivo. Ecco perché la procedura ha bisogno di un vice nominato e di un percorso per le ore non lavorative: le 24 ore sono ore di calendario.

La segnalazione ci espone a responsabilità?

Le segnalazioni vanno ai CSIRT e a ENISA, non al pubblico, e il Regolamento ne limita l'uso. Ciò che crea esposizione non è la segnalazione: una vulnerabilità sfruttata non segnalata che diventa pubblica è sia una violazione che prova di essa.

Utilizziamo un componente di terze parti con il difetto: è comunque la nostra segnalazione?

Sì, se il prodotto che hai immesso sul mercato è interessato. Potresti anche dover notificare il manutentore del componente, ma ciò non esonera il tuo dovere.