CRA nell'ottobre 2026: le notifiche all'ENISA sono ora obbligatorie

Il Regolamento (UE) 2024/2847, noto come CRA, ha smesso di essere una norma futura per diventare una realtà operativa. Dopo la sua entrata in vigore nel novembre 2024, il calendario di applicazione ha raggiunto il suo primo traguardo critico: l'attivazione degli obblighi di notifica. Per i professionisti della cybersecurity, questo segna la fine del periodo di preparazione teorica e l'inizio della responsabilità legale diretta nella gestione delle vulnerabilità.

A differenza delle normative precedenti che si concentravano su settori specifici, il CRA ha una portata orizzontale senza precedenti. Copre tutto, dai router domestici ai sistemi industriali critici, richiedendo che la sicurezza sia integrata fin dalla progettazione. Questo approccio mira a risolvere il problema dei prodotti che raggiungono il mercato con vulnerabilità diffuse e senza garanzie di supporto a lungo termine.

Dall'11 settembre 2026, i produttori di prodotti con elementi digitali sono tenuti a notificare simultaneamente il CSIRT nazionale designato come coordinatore e l'ENISA. Questo obbligo si attiva in due scenari concreti: la rilevazione di una vulnerabilità attivamente sfruttata e la verificazione di un incidente grave che influisca sulla sicurezza del prodotto.

Questa notifica non è opzionale e non può essere delegata a terzi senza supervisione. Il regolamento stabilisce che la ricezione di queste notifiche è un obbligo legale ineludibile per il produttore, indipendentemente dal fatto che il prodotto sia hardware, software o una combinazione di entrambi. Il mancato rispetto può portare a sanzioni significative, poiché si tratta di una delle prime norme vincolanti del quadro europeo di cybersecurity dei prodotti.

Sebbene le notifiche siano già obbligatorie, la piena conformità al CRA non arriva fino all'11 dicembre 2027. Tra queste due date, i produttori devono preparare il resto dei loro processi di ciclo di vita. Ciò include la generazione di SBOM (Software Bill of Materials), la firma degli aggiornamenti e la valutazione di conformità per i prodotti ad alta criticità.

Un traguardo intermedio rilevante è l'11 giugno 2026, la data a partire dalla quale il regime per gli organismi di valutazione della conformità è applicabile. Ciò significa che le aziende che producono prodotti della classe di rischio più alta devono già interagire con gli organismi notificati per ottenere la marcatura CE di cybersecurity, un prerequisito per la commercializzazione nell'UE.

Per le PMI, il CRA rappresenta una sfida di risorse. L'orientamento della Commissione Europea, approvato nel luglio 2026, mira a facilitare la conformità per queste imprese, ma il carico amministrativo rimane considerevole. Si consiglia alle piccole organizzazioni di dare priorità alla gestione delle vulnerabilità e alla documentazione della loro catena di approvvigionamento del software, poiché sono i punti di maggiore rischio di inadempienza immediata.

Le soluzioni SaaS pure restano generalmente al di fuori dell'ambito di applicazione diretta del CRA, a meno che non siano considerate soluzioni di elaborazione remota dei dati collegate a un prodotto fisico. Questa distinzione è cruciale per le aziende software che devono determinare se il loro prodotto è considerato un 'prodotto con elementi digitali' o un servizio software standard.

È fondamentale non confondere il CRA con il GDPR o il Regolamento sull'IA. Il GDPR protegge i dati personali degli utenti, mentre il CRA protegge l'integrità e la sicurezza del prodotto digitale stesso. Un'azienda può essere conforme al GDPR e comunque violare il CRA se il suo prodotto ha vulnerabilità non corrette o non notifica incidenti di sicurezza.

La Legge sull'IA regola lo sviluppo e l'uso dei sistemi di intelligenza artificiale, mentre il CRA si applica a qualsiasi prodotto digitale, con o senza IA. L'intersezione tra le due normative è in crescita, specialmente nella gestione delle vulnerabilità generate dai modelli di IA, ma i quadri di conformità sono distinti e richiedono audit separati.

La Commissione Europea ha pubblicato le sue linee guida ufficiali sull'applicazione del CRA, un documento di circa 80 pagine che chiarisce i dubbi più frequenti dei produttori. Sebbene non sia vincolante, le autorità di vigilanza del mercato lo utilizzano come riferimento per una lettura coerente. I produttori devono leggere questo documento insieme al testo vincolante del Regolamento per garantire la conformità.

L'ENISA ha anche pubblicato guide sulla cybersecurity nell'era dell'IA di frontiera, offrendo prospettive su come l'IA stia influenzando la definizione di vulnerabilità sfruttabili. Queste risorse sono essenziali per le aziende che cercano di allineare le loro strategie di cybersecurity alle aspettative normative europee.