Cosa è successo
Dall'11 settembre 2026 i fabbricanti devono notificare le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza dei loro prodotti con elementi digitali (articolo 14 del CRA, applicabile ai sensi dell'articolo 71, paragrafo 2). L'ENISA ha aperto lo stesso giorno la piattaforma unica di segnalazione. L'allerta precoce va inviata entro 24 ore da quando si viene a conoscenza del fatto, la notifica entro 72 ore, la relazione finale 14 giorni dopo la disponibilità di una misura correttiva per le vulnerabilità o un mese dopo la notifica per gli incidenti.
Cosa significa per i costruttori di macchine
Vale per le macchine che hai già venduto, non solo per quelle nuove (articolo 69, paragrafo 3). Ogni costruttore con macchine connesse installate ha bisogno, oggi, di un modo per sapere che una vulnerabilità in un suo componente viene sfruttata, di una persona registrata sulla piattaforma e di un percorso decisionale che stia in 24 ore. La piattaforma è solo in inglese, al lancio non ha API e consente a un rappresentante di inviare fino a 20 notifiche prima che il legame con il fabbricante sia verificato. I gestori di software open source non sono coperti fino all'11 dicembre 2027. Uno sfruttamento di cui eri già a conoscenza prima dell'11 settembre 2026 non richiede una segnalazione retroattiva.
Dove entra Shield Lifecycle
Shield Lifecycle confronta ogni nuova CVE con i componenti e la superficie di attacco dichiarata di ogni singola macchina, così le 24 ore partono con i fatti già in mano. Shield Lifecycle
Fonte ufficiale ENISA and European Commission
Vedi anche Ufficiale: Commission, CRA reporting obligations page · Ufficiale: ENISA SRP FAQ
Pubblicato il 16 ottobre 2026 da Edge SDN. Una sintesi, non una consulenza legale. Verifica sempre il testo ufficiale per il tuo caso.