Breve promemoria: dall'11 settembre diventa vincolante l'obbligo di segnalazione del Cyber Resilience Act. Da quella data, i produttori di prodotti connessi dovranno segnalare le vulnerabilità attivamente sfruttate all'ENISA entro 24 ore, con rapporto completo entro 72 ore.
Non sono pronte solo le imprese — non lo è ancora nemmeno l'infrastruttura pensata per sostenerle. Al 26 giugno, il database UE degli organismi designati a certificare i prodotti secondo il CRA risultava a zero iscrizioni, nonostante l'obiettivo fissato all'11 dicembre 2026. La Commissione Europea stessa ha dovuto pubblicare, appena sette settimane prima della scadenza, 80 pagine di linee guida con 67 esempi — segno di quanto il quadro applicativo fosse ancora incompleto.
Sul fronte imprese, uno studio su 200 aziende industriali tedesche mostra margini altrettanto stretti: solo l'8% si considera già completamente pronto, e solo il 18% dei fornitori risulta conforme al CRA — un dato di filiera che riguarda anche le imprese italiane inserite in catene di fornitura europee. Non è un caso isolato: secondo il Rapporto Clusit 2026, l'Italia ha registrato nel 2025 507 incidenti informatici gravi, il 9,6% di quelli rilevati a livello mondiale, in crescita del 42% sull'anno precedente.
Va ricordato che il CRA è un regolamento UE, applicabile direttamente anche alle aziende italiane, senza bisogno di recepimento nazionale.
Cosa è ancora possibile chiarire in una settimana: chi è autorizzato a classificare una vulnerabilità come «attivamente sfruttata»? Esiste una procedura di sostituzione per ferie o malattia? Sapete quali fornitori rientrano a loro volta nel CRA?
Sono domande organizzative — e si possono chiarire anche senza una base SBOM completa, e anche se il quadro europeo stesso è ancora in costruzione.
Fonte: Rapporto Clusit 2026, Commissione Europea
Aggiornato al: 4 settembre 2026 — La normativa è in continua evoluzione; questo contributo non sostituisce una consulenza legale o professionale individuale.
