Nuove regole UE per la sicurezza informatica: scattano gli obblighi del Cyber Resilience Act

L'Unione Europea compie un passo decisivo verso una maggiore sicurezza digitale. A partire dall'11 settembre 2026, entrano in vigore i nuovi obblighi di segnalazione previsti dal Cyber Resilience Act (CRA) della Commissione Europea. La normativa impone ai produttori di hardware e software di notificare qualsiasi vulnerabilità attivamente sfruttata e gli incidenti informatici gravi che compromettano la sicurezza dei loro prodotti.

Secondo le nuove direttive, le aziende devono inviare un primo avviso entro 24 ore dalla scoperta del problema, seguito da una notifica completa entro 72 ore. Un rapporto finale sulle misure correttive dovrà essere presentato entro 14 giorni per le vulnerabilità e entro un mese per gli incidenti gravi. Le segnalazioni verranno gestite attraverso la nuova piattaforma unica (CRA Single Reporting Platform) istituita dall'Agenzia dell'Unione europea per la cibersicurezza (ENISA).

Queste misure si applicano a tutti i prodotti con elementi digitali disponibili sul mercato dell'UE, dai baby monitor agli smartwatch, fino ai software complessi. L'obiettivo è garantire ai consumatori e alle imprese una protezione più rapida ed efficace contro le minacce informatiche. Mentre gli obblighi di segnalazione sono già attivi, i requisiti principali di progettazione e aggiornamento del Cyber Resilience Act diventeranno pienamente applicabili dall'11 dicembre 2027.