Il 27 luglio la Commissione europea ha pubblicato la prima guida ufficiale all’applicazione del Cyber Resilience Act, il regolamento che impone requisiti di sicurezza informatica ai prodotti con elementi digitali venduti nell’Unione. La notizia non e’ il documento in se’. E’ il motivo per cui e’ stato scritto: la Commissione ammette che la conoscenza della norma ha corso piu’ veloce della capacita’ concreta delle imprese di rispettarla, e la guida dichiara di guardare in modo particolare a microimprese e PMI.
C’e’ poi una data che conviene fissare subito, perche’ e’ molto piu’ vicina di quella che quasi tutti hanno in testa: 11 settembre 2026.
La domanda che viene prima di tutto: mi riguarda?
Chi si occupa di software lo sa gia’. Il problema e’ un altro, ed e’ tipicamente italiano: il regolamento parla di «prodotti con elementi digitali», e in quella definizione finisce molta piu’ manifattura di quanta si aspetti.
Ci finisce chi produce un macchinario con dentro un firmware. Chi vende un dispositivo che si collega al Wi-Fi. Chi mette in commercio una centralina, un sensore, un componente che dialoga con un’app. Chi importa da fuori UE un oggetto connesso e lo rivende con il proprio marchio — perche’ in quel caso, agli occhi della norma, il fabbricante sei tu.
Sono aziende che non si sono mai pensate come produttori digitali. Fanno serramenti, macchine per il caffe’, impianti, arredo tecnico, strumenti di misura. E si trovano dentro una norma europea sulla cybersicurezza senza averla mai cercata.
Cosa scatta l’11 settembre, in concreto
Qui sta il punto che vale la lettura. La piena conformita’ al regolamento e’ attesa per dicembre 2027, e questa e’ la data che la maggior parte delle imprese ha annotato. Ma gli obblighi di segnalazione partono prima, ed entrano in vigore l’11 settembre 2026.
Tradotto: da quel giorno, se una vulnerabilita’ di un tuo prodotto viene attivamente sfruttata, non basta correggerla. Va comunicata, e con tempi stretti.
Entro 24 ore dalla scoperta: primo avviso, l'early warning. Entro 72 ore: la notifica completa, con quello che si e' capito nel frattempo. Entro 14 giorni dalla correzione: il rapporto finale. Il canale e' unico e centralizzato su ENISA, l'agenzia europea per la cybersicurezza, attraverso una piattaforma di segnalazione che alla data di oggi non risulta ancora operativa ed e' data attiva proprio per l'11 settembre.
Ventiquattro ore sono poche. Non sono poche per scrivere una mail: sono poche per accorgersene. Il presupposto implicito della norma e’ che qualcuno, in azienda, sappia che quel prodotto esiste ancora sul mercato, sappia chi ci ha messo dentro il software, e abbia un modo di venire a sapere che c’e’ un problema. In molte piccole aziende quel qualcuno oggi non c’e’, o e’ il fornitore esterno che ha scritto il firmware cinque anni fa.
Cosa contiene la guida, e cosa non e’
Il documento e’ costruito attorno a 67 esempi pratici, con diagrammi di flusso e casi d’uso. Copre i punti su cui le imprese si erano arenate: l’ambito di applicazione, il trattamento delle soluzioni remote e del software open source, cosa conta come modifica sostanziale di un prodotto gia’ in commercio, quanto deve durare il periodo di supporto, come si imposta la valutazione dei rischi e come funzionano le segnalazioni.
Va detto con chiarezza cosa questa guida non e’: non e’ una modifica del regolamento. Non sposta date, non toglie obblighi, non crea esenzioni. La Commissione la presenta come parte della propria agenda di semplificazione, cioe’ come uno strumento per capire regole che restano identiche.
Le tre cose da fare adesso
1. Fai l’inventario, non la compliance. Prendi il catalogo e separa i prodotti che contengono software, firmware o una qualsiasi connettivita’ da quelli che non ne hanno. E’ un lavoro da un pomeriggio e non richiede un consulente. Senza questo elenco, ogni discorso successivo e’ astratto.
2. Per ogni prodotto della prima lista, scrivi chi lo tiene in vita. Chi ha sviluppato il software, chi puo’ rilasciare un aggiornamento, con quale contratto e fino a quando. E’ la domanda che in settembre diventa operativa: se salta fuori una falla sfruttata, chi la corregge e in quanto tempo.
3. Metti la clausola nei contratti che stai firmando ora. Se stai chiudendo un accordo con uno sviluppatore esterno o un fornitore di componenti connessi, e’ il momento di scriverci dentro l’obbligo di avvisarti delle vulnerabilita’ e i tempi di intervento. Rinegoziarlo dopo costa; metterlo adesso non costa nulla.
Chi parte ora: ha l'elenco dei prodotti coinvolti, sa chi mantiene il software di ciascuno, ha messo per iscritto i tempi di intervento dei fornitori, e quando arriva una segnalazione sa a chi telefonare. Chi rimanda a dicembre 2027: scopre a problema aperto che il termine per il primo avviso e' di 24 ore, che il canale e' centralizzato, e che la persona che conosceva quel firmware non lavora piu' in azienda.
In breve
Il 27 luglio 2026 la Commissione europea ha pubblicato la prima guida applicativa del Cyber Resilience Act, dichiaratamente rivolta anche a micro e piccole imprese e costruita su 67 esempi pratici. La norma riguarda chi fabbrica, importa o rivende con il proprio marchio prodotti con elementi digitali — inclusi molti oggetti fisici della manifattura italiana con dentro un firmware o una connessione. La prima scadenza operativa non e’ la piena conformita’ di dicembre 2027, ma l’11 settembre 2026, quando scattano gli obblighi di segnalazione delle vulnerabilita’ attivamente sfruttate: primo avviso entro 24 ore, notifica entro 72 ore, rapporto finale entro 14 giorni dalla correzione, su canale unico ENISA. La guida non modifica ne’ date ne’ obblighi. L’azione utile oggi non e’ leggere il regolamento: e’ sapere quali dei propri prodotti hanno del software dentro e chi lo tiene aggiornato.