# Conformi al Cyber Resilience Act, senza un team di sicurezza. Kernwatch mantiene aggiornate le SBOM, controlla i componenti alla ricerca di nuove vulnerabilità (ogni giorno nei piani a pagamento, ogni settimana nel piano Free) e guida passo passo nel preallarme entro 24 ore, nella notifica entro 72 ore e nella relazione finale previsti dal CRA: così anche un piccolo team di sviluppo resta conforme. Source: https://kernwatch.com/it/ · Ultimo aggiornamento: 2026-10-17 ## I termini stanno già decorrendo - **11/09/2026** - Si applicano gli obblighi di segnalazione: Le vulnerabilità attivamente sfruttate e gli incidenti gravi vanno notificati tramite la piattaforma unica di segnalazione dell'ENISA. - **11/12/2027** - Si applicano tutti i requisiti del CRA: I prodotti con elementi digitali devono essere conformi al CRA e recare la marcatura CE per essere immessi sul mercato dell'UE. - **Fino a 15 mln €** - o il 2,5% del fatturato mondiale: Sanzioni massime per la violazione dei requisiti essenziali di cibersicurezza e degli obblighi dei fabbricanti. ## Cyber Resilience Act e SBOM: risposte brevi ### Che cos'è il Cyber Resilience Act e a chi si applica? Il Cyber Resilience Act (CRA, regolamento sulla ciberresilienza) è il Regolamento (UE) 2024/2847, la norma UE sui requisiti di cibersicurezza per i prodotti con elementi digitali. Si applica all'hardware con software e ai prodotti software messi a disposizione sul mercato dell'UE, e i suoi obblighi ricadono soprattutto sui fabbricanti, indipendentemente dalle loro dimensioni. I settori con norme proprie, come i dispositivi medici, i veicoli a motore e l'aviazione civile, sono esclusi, e il puro software-as-a-service senza un prodotto in genere non vi rientra. Il regolamento è entrato in vigore il 10 dicembre 2024. [Gli obblighi di notifica del CRA nel dettaglio](https://kernwatch.com/it/segnalazione-cra) Fonte: [Regolamento (UE) 2024/2847, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [Cyber Resilience Act, Commissione europea](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) ### Che cosa prevede l'obbligo di segnalazione del CRA? Dall'11 settembre 2026 i fabbricanti devono segnalare ogni vulnerabilità attivamente sfruttata nel proprio prodotto e ogni incidente grave che ne compromette la sicurezza, anche per i prodotti già presenti sul mercato. Il preallarme va inviato entro 24 ore dal momento in cui se ne viene a conoscenza, la notifica entro 72 ore e la relazione finale entro 14 giorni dalla disponibilità di una correzione (vulnerabilità) o entro un mese dalla notifica (incidenti). Le segnalazioni passano dalla piattaforma unica di segnalazione dell'ENISA al CSIRT coordinatore e all'ENISA; la piattaforma non offre un'API ai fabbricanti, quindi ogni segnalazione viene inviata a mano nel browser. [Notifiche CRA: presupposti, termini, destinatari](https://kernwatch.com/it/segnalazione-cra) · [Il flusso di notifica CRA](https://kernwatch.com/it/video-tutorial#cra-reporting) Fonte: [Regolamento (UE) 2024/2847, articolo 14, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [ENISA](https://www.enisa.europa.eu/) ### Come si crea una SBOM? La generi automaticamente nella pipeline di build invece di scriverla a mano. Usi uno dei due formati leggibili da dispositivo automatico più diffusi, CycloneDX o SPDX, e crei una SBOM per ogni versione rilasciata. Esistono generatori per la maggior parte degli ecosistemi, ad esempio Syft o cdxgen per container e file system, i plugin CycloneDX per Maven, Gradle e npm e l'output SPDX del Yocto Project per Linux embedded. 1. **Scelga il formato.** CycloneDX o SPDX: entrambi sono leggibili da dispositivo automatico. 2. **La generi nella CI.** Esegua il generatore SBOM del suo ecosistema a ogni build di release. 3. **Conservi una SBOM per release.** La archivi con la release come parte della documentazione tecnica. 4. **La confronti con i dati sulle vulnerabilità.** Kernwatch controlla i componenti con identificativo di pacchetto (purl) ogni giorno nei piani a pagamento, ogni settimana nel piano Free. [SBOM per il CRA](https://kernwatch.com/it/sbom) · [Prodotti, release e SBOM](https://kernwatch.com/it/video-tutorial#products-and-sboms) · [Caricare le SBOM dalla CI con una chiave API](https://kernwatch.com/it/video-tutorial#ci-upload-api-keys) Fonte: [CycloneDX](https://cyclonedx.org/), [SPDX](https://spdx.dev/) ### Da quando la SBOM è obbligatoria secondo il CRA? La SBOM rientra nei requisiti del CRA che si applicano dall'11 dicembre 2027: da quel momento i prodotti con elementi digitali necessitano della conformità al CRA e della marcatura CE per essere immessi sul mercato dell'UE. L'allegato I richiede una SBOM in un formato di uso comune e leggibile da dispositivo automatico, che copra almeno le dipendenze di primo livello. Fa parte della documentazione tecnica: non deve essere pubblicata, ma le autorità di vigilanza del mercato possono richiederla. Poiché le segnalazioni sono obbligatorie dall'11 settembre 2026, una SBOM aggiornata è anche il modo più rapido per capire se una vulnerabilità sfruttata riguarda i suoi prodotti. [Che cosa richiede il CRA a una SBOM](https://kernwatch.com/it/sbom) Fonte: [Regolamento (UE) 2024/2847, allegato I, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) ### Che cosa fa uno strumento per la segnalazione delle vulnerabilità CRA? Trasforma i risultati del monitoraggio e le scadenze in attività. In Kernwatch un rilevamento presente in un elenco di vulnerabilità sfruttate attivamente diventa un'attività nell'inbox delle attività per aprire un caso di notifica, con scadenza 24 ore dal momento in cui ne è venuto a conoscenza, e il preallarme, la notifica e la relazione finale vengono redatti a partire dai dati su prodotto, release e valutazione per la sua approvazione. Lei invia la segnalazione sulla piattaforma dell'ENISA e registra il riferimento; quando una release più recente non contiene più la versione vulnerabile, Kernwatch propone la data della correzione da cui parte il termine di 14 giorni per la relazione finale. Le attività compaiono in tutti i piani; approvare casi di notifica e notifiche richiede Starter o superiore. [Piani e prezzi](https://kernwatch.com/it/prezzi) · [L'inbox delle attività](https://kernwatch.com/it/video-tutorial#action-inbox) ## Come funziona Kernwatch 1. **Registrare prodotti e release** - Ogni versione distribuita, con il relativo periodo di assistenza: nella maggior parte dei casi il CRA prevede aggiornamenti di sicurezza per almeno cinque anni. 2. **Caricare le SBOM** - CycloneDX o SPDX, caricate manualmente o inviate dalla pipeline CI a ogni release. 3. **Ricevere gli avvisi** - Ogni componente con identificativo di pacchetto (purl) viene controllato rispetto a OSV, all'elenco CISA delle vulnerabilità note sfruttate e alla banca dati europea delle vulnerabilità: ogni giorno nei piani a pagamento, ogni settimana nel piano Free. 4. **Valutare e notificare** - Ogni decisione viene documentata (VEX). Quando occorre notificare, Kernwatch avvia il conteggio dei termini, precompila le segnalazioni e raccoglie approvazioni e prove. ## La sua lista di attività CRA si compila da sola Kernwatch trasforma i risultati del monitoraggio, le scadenze di notifica e le nuove release in una inbox delle attività. Ogni attività arriva con una proposta già pronta e la sua motivazione: lei la verifica e la approva con un clic. Nulla arriva a un'autorità o ai suoi utenti senza la sua approvazione. - **Proposte di valutazione motivate** - I nuovi rilevamenti arrivano con una decisione proposta e il suo motivo: non interessato quando la SBOM indica che il componente non viene distribuito (queste si possono approvare in blocco), interessato quando la vulnerabilità è sfruttata attivamente o è nota una versione corretta, altrimenti in analisi. - **Un caso di notifica quando lo sfruttamento è noto** - Un rilevamento presente in un elenco di vulnerabilità sfruttate attivamente diventa un'attività per aprire un caso di notifica CRA, con scadenza 24 ore dal momento in cui ne è venuto a conoscenza. - **Notifiche pronte per la sua approvazione** - Il preallarme, la notifica e la relazione finale vengono redatti a partire dai suoi dati. Lei li verifica, li modifica se necessario e li approva prima della scadenza. - **Supporto all'invio a ENISA** - Dopo l'approvazione copia il testo, apre la piattaforma di segnalazione di ENISA, invia lì la notifica e registra in Kernwatch il riferimento ricevuto. - **Il rilevamento della correzione avvia il termine della relazione finale** - Quando la SBOM di una release più recente non contiene più la versione vulnerabile, Kernwatch propone la data di quella release come data della misura correttiva. Approvandola parte il termine di 14 giorni per la relazione finale. - **Utenti informati dopo la sua approvazione** - Una sola approvazione invia la comunicazione via email ai contatti clienti del prodotto e la registra. Nel piano Professional pubblica anche l'avviso di sicurezza che ha preparato. - **Promemoria di manutenzione** - Release senza SBOM e periodi di supporto che terminano entro 30 giorni - nel piano Professional anche una dichiarazione di conformità precedente alla release più recente. - **Un riepilogo giornaliero** - Ogni membro riceve una email al giorno con le attività che lo attendono. Kernwatch non può inviare le notifiche al suo posto: la piattaforma unica di segnalazione di ENISA non offre un'API ai fabbricanti. Kernwatch prepara tutto fino al pulsante di invio: lei invia dal browser e registra il riferimento. Le attività compaiono in tutti i piani; approvare valutazioni, casi di notifica, notifiche e comunicazioni agli utenti richiede Starter o superiore. Gli avvisi pubblicati e le segnalazioni ricevute dalla sua pagina pubblica sulle vulnerabilità fanno parte di Professional. ## Tutto ciò che il CRA chiede alla gestione delle vulnerabilità - **Registro di prodotti e release** - Prodotti, versioni e periodi di assistenza: la spina dorsale della documentazione CRA. - **Gestione delle SBOM** - Importazione di CycloneDX e SPDX, confronto tra release, dipendenze dirette e transitive ed esportazione su richiesta. - **Monitoraggio delle vulnerabilità** - Nuovi avvisi di sicurezza confrontati con i vostri componenti con identificativo di pacchetto (purl) - ogni giorno nei piani a pagamento, ogni settimana nel piano Free - con gravità, probabilità di sfruttamento e indicazione di sfruttamento noto. - **Valutazione VEX** - Interessato, non interessato (con motivazione) o corretto nella versione: decisioni che reggono quando lo chiedono un'autorità o un cliente. - **Flusso di notifica CRA** - Preallarme a 24 h, notifica a 72 h e relazione finale con promemoria, testi precompilati, approvazioni e prove dell'invio. - **Divulgazione e documentazione** - Un canale per la segnalazione delle vulnerabilità, security.txt, avvisi di sicurezza pubblicati e documentazione tecnica in un unico posto. - **Inbox delle attività** - Attività che si creano da sole: proposte di valutazione motivate, notifiche pronte per l'approvazione, supporto all'invio a ENISA, rilevamento delle correzioni e comunicazioni agli utenti - ognuna approvata con un clic. ## Perché non basta uno scanner gratuito? Gli scanner open source trovano le vulnerabilità, ed è giusto usarli. Il CRA però chiede di più: una decisione documentata per ogni rilievo, segnalazioni entro poche ore, informazioni per gli utilizzatori e una documentazione conservata per anni. Kernwatch è proprio questo flusso di lavoro, pronto dal primo giorno, senza dover sviluppare e gestire strumenti propri. ## Pensato per i fabbricanti piccoli e medi Team da 20 a 250 persone che distribuiscono prodotti con software nell'UE e non hanno un team dedicato alla sicurezza di prodotto: - Macchinari e automazione - Elettronica e dispositivi IoT - Controllori industriali e gateway - Software embedded, desktop e installabile ## Domande frequenti ### Kernwatch invia le notifiche a ENISA al posto mio? No. La piattaforma unica di segnalazione di ENISA non offre un'API ai fabbricanti, quindi ogni notifica viene inviata da lei nel browser. Kernwatch prepara tutto fino a quel punto: redige il preallarme, la notifica e la relazione finale, raccoglie la sua approvazione, le consente di copiare il testo e aprire la piattaforma e conserva come prova il riferimento che lei registra. ### Quando possiamo iniziare? Crei il suo account nella [pagina di registrazione](/it/registrazione): il piano gratuito non richiede carta di credito. Se la registrazione è sospesa, la stessa pagina la iscrive alla lista d'attesa e contattiamo tutti in ordine di iscrizione. ### Dove vengono conservati i nostri dati? Kernwatch è ospitato nell'Unione europea. I dati di ogni azienda sono conservati nel suo spazio di lavoro, separati da quelli degli altri clienti tramite controlli di accesso su ogni interrogazione. ### Kernwatch è una consulenza legale? No. Kernwatch è un software che organizza la gestione delle vulnerabilità e le notifiche. I vostri obblighi dipendono dai vostri prodotti e vanno confermati con il vostro consulente.