# Gli obblighi di notifica del CRA, spiegati

Dall'**11 settembre 2026** ogni fabbricante di un prodotto con elementi digitali presente sul mercato dell'UE deve notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi: entro poche ore, non settimane.

Source: https://kernwatch.com/it/segnalazione-cra · Ultimo aggiornamento: 2026-10-17

## In sintesi

- Il Cyber Resilience Act (regolamento sulla ciberresilienza) è il Regolamento (UE) 2024/2847, entrato in vigore il 10 dicembre 2024.
- Gli obblighi di segnalazione (articolo 14) si applicano dall'11 settembre 2026, anche ai prodotti già presenti sul mercato.
- Vulnerabilità attivamente sfruttata: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni dalla disponibilità di una correzione.
- Incidente grave: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
- Le segnalazioni passano dalla piattaforma unica di segnalazione dell'ENISA al CSIRT designato come coordinatore e all'ENISA.
- Tutti gli altri requisiti del CRA si applicano dall'11 dicembre 2027; le sanzioni arrivano fino a 15 mln € o al 2,5% del fatturato mondiale annuo.

## Che cosa fa scattare una notifica

L'articolo 14 del Regolamento (UE) 2024/2847 (Cyber Resilience Act, regolamento sulla ciberresilienza) prevede due casi:

- **Una vulnerabilità attivamente sfruttata** nel prodotto: esistono prove affidabili che qualcuno l'ha sfruttata.

- **Un incidente grave** che incide sulla sicurezza del prodotto, ad esempio uno che compromette l'integrità del meccanismo di aggiornamento o dei dati trattati dal prodotto.

L'obbligo vale anche per i prodotti già presenti sul mercato, non solo per quelli nuovi, e non dipende dalle dimensioni dell'impresa.

## I termini

|  | Vulnerabilità attivamente sfruttata | Incidente grave |
|---|---|---|

| Preallarme | entro 24 ore da quando se ne è venuti a conoscenza | entro 24 ore da quando se ne è venuti a conoscenza |

| Notifica | entro 72 ore da quando se ne è venuti a conoscenza | entro 72 ore da quando se ne è venuti a conoscenza |

| Relazione finale | al più tardi 14 giorni dopo che è disponibile una misura correttiva o di attenuazione | entro un mese dalla notifica |

I termini decorrono da quando se ne viene a conoscenza: per questo è fondamentale sapere che cosa contiene ogni release distribuita.

## Chi riceve le notifiche

Le notifiche si trasmettono tramite la **piattaforma unica di segnalazione gestita dall'ENISA**, l'agenzia dell'UE per la cibersicurezza. Giungono al CSIRT designato come coordinatore nello Stato membro dello stabilimento principale e all'ENISA. Occorre inoltre informare gli **utilizzatori interessati** della vulnerabilità o dell'incidente e delle misure che possono adottare.

## Che cos'altro richiede il CRA

- Aggiornamenti di sicurezza per la durata di vita prevista del prodotto: nella maggior parte dei casi almeno cinque anni.

- Una politica e un punto di contatto per la divulgazione coordinata delle vulnerabilità.

- Una distinta base del software (SBOM) e una gestione documentata di ogni vulnerabilità.

- Documentazione tecnica e dichiarazione di conformità UE, conservate per dieci anni.

Dall'**11 dicembre 2027** si applicano tutti i requisiti e i prodotti non conformi al CRA non potranno più essere immessi sul mercato dell'UE.

## Come aiuta Kernwatch

- Segnala i componenti con vulnerabilità note sfruttate nelle release che supporta e aggiunge alla sua inbox un'attività per aprire un caso di notifica.

- Apre il caso con le scadenze di 24 ore, 72 ore e della relazione finale e avvisa in tempo le persone giuste.

- Redige il preallarme, la notifica e la relazione finale dai dati di prodotto, release e valutazione, da verificare e approvare.

- La aiuta nell'invio: copi il testo approvato, apra la piattaforma di ENISA, invii lì la notifica e registri in Kernwatch il riferimento e la ricevuta. La piattaforma di ENISA non offre un'API ai fabbricanti, quindi Kernwatch non può inviare al suo posto.

- Rileva la correzione: quando una release più recente non contiene più la versione vulnerabile, propone la data della misura correttiva da cui decorre il termine di 14 giorni per la relazione finale.

- Informa gli utenti dopo la sua approvazione - un'email ai contatti clienti del prodotto e, nel piano Professional, l'avviso pubblicato - e registra chi è stato informato e quando.

## Fonti ufficiali

- [Regolamento (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Cyber Resilience Act, Commissione europea](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - Agenzia dell'UE per la cibersicurezza](https://www.enisa.europa.eu/)

Questa pagina riassume il Regolamento (UE) 2024/2847 a scopo orientativo e non costituisce consulenza legale.