Eraiver Radar #17 - Il Cyber Resilience Act + Il caso Delta

Quando si parla di regole europee sul digitale, ad oggi l’attenzione va quasi sempre all’AI Act. Tuttavia, è già operativo un altro regolamento che riguarda una platea di imprese molto più ampia: il Cyber Resilience Act (Regolamento UE 2024/2847), che disciplina la sicurezza informatica dei prodotti con elementi digitali.

Il regolamento è entrato in vigore nel 2024. Gran parte dei suoi obblighi strutturali si applicherà a partire dall’11 dicembre 2027, ma una scadenza cruciale è già scattata l’11 settembre 2026: l’obbligo di segnalare in tempi molto stretti le vulnerabilità attivamente sfruttate in un attacco informatico e gli incidenti gravi. Questa disposizione ha un impatto retroattivo: si applica anche ai prodotti venduti negli anni passati, senza alcuna condizione legata al fatto che siano ancora commercializzati o supportati dal produttore.

(Il caso è anonimizzato, ricostruito su situazioni ricorrenti nelle imprese che usano strumenti informatici. Le norme e le date citate sono reali e verificate)

Delta è un’impresa manifatturiera del Centro Italia, 30 dipendenti. Produce centraline per il controllo degli impianti di riscaldamento negli edifici, gestibili da remoto con un’applicazione. Ne ha vendute alcune migliaia negli ultimi 5 anni.

Un venerdì sera, il responsabile tecnico riceve una segnalazione da un cliente: alcune centraline si comportano in modo anomalo. Nelle stesse ore, un ricercatore pubblica la notizia di una vulnerabilità in una libreria software di terze parti, presente anche nel firmware di Delta e segnala che è già stata usata da un hacker per prendere il controllo di dispositivi simili.

Fino a qualche mese fa, Delta avrebbe affrontato il problema con i propri tempi: analisi, correzione, aggiornamento. Oggi il calendario è diverso. Se l’impresa accerta che la vulnerabilità è sfruttata attivamente nei suoi prodotti, ha 24 ore per inviare un primo avviso alle autorità. Il fine settimana non sospende il termine.

L’Articolo 14 del Cyber Resilience Act disciplina gli obblighi di notifica in capo ai fabbricanti (“manufacturer”: chi progetta, produce e commercializza un prodotto con elementi digitali a proprio nome o marchio). L'obbligo di segnalazione scatta in due scenari specifici:

1. Le vulnerabilità attivamente sfruttate

Non tutte le falle informatiche vanno segnalate. L'obbligo non si applica alle vulnerabilità scoperte internamente durante i test di routine. Scatta unicamente quando esiste una prova affidabile che un attore malevolo stia attivamente sfruttando la falla per un attacco. In questo caso, la tempistica prevede tre fasi:

2. Gli incidenti gravi che incidono sulla sicurezza del prodotto

Si tratta di eventi che compromettono (o rischiano di compromettere) la protezione dei dati, la disponibilità delle funzioni del dispositivo o che consentono l'esecuzione di codice malevolo. La tempistica ricalca in parte la precedente, ma con una scadenza finale diversa:

Tutte le segnalazioni passano attraverso un unico canale centralizzato: la piattaforma di segnalazione gestita dall'ENISA (l’Agenzia europea per la cibersicurezza). Attraverso questo portale, la notifica viene recapitata automaticamente al CSIRT nazionale dello Stato in cui il fabbricante ha la sede principale (per un'azienda italiana, il CSIRT Italia, incardinato presso l'ACN - Agenzia per la Cybersicurezza Nazionale) e, contemporaneamente, all'ENISA stessa.

Grazie al principio del "Single Window" (sportello unico), il fabbricante effettua un solo invio: sarà poi il CSIRT nazionale a farsi carico di informare le autorità degli altri Stati UE in cui il prodotto è venduto.

Il fabbricante ha l'obbligo di informare tempestivamente gli utilizzatori della vulnerabilità o dell'incidente, indicando chiaramente le azioni e le patch da applicare per proteggersi. Se l'azienda non adempie a questo dovere di comunicazione, il CSIRT può decidere di rendere pubblica la notizia per motivi di sicurezza generale.

È il punto che più spesso sfugge. Gli obblighi di segnalazione si applicano anche ai prodotti immessi sul mercato prima dell’11 dicembre 2027 (articolo 69, paragrafo 3). Le centraline che Delta ha venduto nel 2021 rientrano a pieno titolo. Per gli obblighi di segnalazione non esiste un regime transitorio per il “vecchio” parco installato.

Il regolamento riguarda i prodotti con elementi digitali: hardware e software, compresi i componenti venduti separatamente, che si collegano a un dispositivo o a una rete. Rientrano anche le soluzioni di elaborazione dati da remoto, quando sono progettate dal fabbricante e necessarie al funzionamento del prodotto, come l’applicazione e il server che gestiscono le centraline di Delta.

Restano fuori i prodotti già coperti da regole di settore: i dispositivi medici e i diagnostici in vitro, di cui abbiamo parlato nel #16, i veicoli a motore, alcune attrezzature marittime e i prodotti certificati secondo le regole dell’aviazione civile.

Per la violazione degli obblighi di segnalazione, come per i requisiti essenziali di sicurezza, il regolamento prevede sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore. C’è però un’eccezione: le sanzioni pecuniarie non si applicano a microimprese e piccole imprese per il solo mancato rispetto del termine di 24 ore del preallarme (articolo 64, paragrafo 10). Restano invece applicabili per gli altri obblighi, compresi la notifica a 72 ore e la relazione finale.

In Italia, il 2 ottobre il Consiglio dei ministri ha approvato in esame preliminare lo schema di decreto legislativo di adeguamento. Secondo il comunicato, l’ACN sarà l’autorità di vigilanza del mercato e di notifica, con altre autorità competenti nei rispettivi settori. Lo schema deve ancora ricevere i pareri, tra cui quelli delle commissioni parlamentari, prima dell’approvazione definitiva.

Torniamo a Delta… con le nuove regole, la prima cosa da fare è capire se la vulnerabilità è davvero sfruttata nei suoi prodotti: le anomalie segnalate dal cliente e la notizia dell’attacco su dispositivi simili sono indizi, non ancora prove. Se le verifiche lo confermano, il calendario parte da quel momento.

Entro 24 ore Delta deve inviare il preallarme attraverso la piattaforma dell’ENISA, che lo fa arrivare al CSIRT Italia. Entro 72 ore deve completare la notifica, indicando le misure già adottate e quelle che i clienti possono adottare subito, per esempio disattivare l’accesso da remoto in attesa dell’aggiornamento. Deve anche informare tempestivamente i clienti. Nel frattempo le conviene contattare chi ha sviluppato la libreria e lavorare alla correzione: dal 2027 anche questi passaggi diventeranno obblighi. Entro 14 giorni da quando l’aggiornamento è disponibile, invia la relazione finale.

Con trenta dipendenti, Delta è con ogni probabilità una piccola impresa, cioè meno di 50 dipendenti e fatturato o bilancio non superiori a 10 milioni di euro. Se il preallarme arrivasse con qualche ora di ritardo, non rischierebbe una sanzione per questo. Ma tutto il resto vale anche per lei: la notifica, l’informazione ai clienti, la relazione finale.
Soprattutto vale il fatto che, senza una procedura pronta, un venerdì sera è il momento peggiore per inventarla.

I due regolamenti si incontrano. Molti sistemi di AI sono anche prodotti con elementi digitali, e l’AI Act chiede ai sistemi ad alto rischio un adeguato livello di cibersicurezza.

Il Cyber Resilience Act prevede che, per questi sistemi, il rispetto dei suoi requisiti essenziali valga anche come rispetto dei requisiti di cibersicurezza dell’AI Act (articolo 12). Per chi sviluppa prodotti che integrano l’AI, la sicurezza informatica diventa quindi un unico cantiere, non due.

Per chi produce o commercializza con il proprio marchio prodotti con elementi digitali, le verifiche utili sono 5:

1. Mappatura del perimetro aziendale

È necessario verificare la propria qualifica di "fabbricante" e censire dettagliatamente tutti i prodotti hardware e software commercializzati nell'Unione Europea. La mappatura deve includere obbligatoriamente anche i prodotti venduti negli anni passati, senza eccezioni legate al fatto che siano ancora attivi, supportati o sul mercato.

2. Redazione della SBOM (Software Bill of Materials)

I fabbricanti devono possedere un inventario chiaro e aggiornato di ogni singolo componente dei propri software, incluse le librerie di terze parti e i codici open source. È fondamentale monitorare costantemente le vulnerabilità di questi elementi esterni: in casi famosi (come l'incidente Delta), il blocco informatico è nato proprio da una falla presente in un componente non scritto direttamente dall'azienda.

3. Strutturazione della procedura d'urgenza: "Regola delle 24 ore"

La gestione dei tempi previsti dal CRA non può essere improvvisata. Le aziende devono redigere e testare un piano di risposta agli incidenti scritto che stabilisca:

4. Accreditamento alla piattaforma ENISA

Non bisogna aspettare il giorno dell'attacco per capire come muoversi. È essenziale testare preventivamente le modalità di accesso alla piattaforma unica di segnalazione dell'ENISA e definire i template informativi richiesti per ciascuna delle tre fasi di notifica (preallarme, notifica d'incidente, relazione finale).

5. Gestione della comunicazione e revisione contrattuale

Bisogna strutturare un canale di comunicazione rapido ed efficace per informare i clienti finali sulle vulnerabilità e sulle relative azioni di mitigazione (o patch) da installare. Parallelamente, è cruciale rivedere i contratti in essere con i propri fornitori di componenti software/hardware, inserendo clausole speculari di notifica: se un fornitore subisce una falla su un componente che vi ha venduto, deve essere contrattualmente obbligato ad avvisarvi in tempi utili a farvi rispettare le scadenze del CRA.

Il Cyber Resilience Act verrà applicato per intero solo alla fine del 2027, ma una parte è già operativa. Dall’11 settembre chi produce dispositivi, macchinari o software con elementi digitali deve segnalare entro 24 ore le vulnerabilità sfruttate e gli incidenti gravi, anche per i prodotti venduti negli anni passati. Le piccole imprese hanno un margine sul solo preallarme, non sul resto. Più che un adempimento tecnico, è una questione organizzativa: sapere cosa c’è nei propri prodotti e chi fa cosa quando qualcosa va storto. È la stessa logica che il Radar ha incontrato con l’AI: la conformità comincia dall’inventario.

Nel prossimo numero (#18):
Molte imprese condividono dataset o addestrano sistemi di intelligenza artificiale partendo dal presupposto che i dati siano anonimi. Ma rimuovere il nome non basta a renderli tali, come ha ricordato di recente il Garante privacy con una sanzione da 7 milioni di euro. Quando un dato può dirsi davvero anonimo e quali verifiche servono per esserne certi…

“Le interviste del Radar”
Mercoledì 11 novembre 2026

L’ intervista sarà con:
Cesare Gallotti, esperto in sicurezza delle informazioni, qualità e privacy.
Lavora nel settore dal 1999 ed è considerato uno dei massimi esperti in materia.
È inoltre autore di un manuale sulla sicurezza delle informazioni arrivato all’edizione 2026.

Al prossimo giovedì,
Edoardo Rinaldi

Per informazioni:

Rispondere a questa e-mail,
oppure
scrivere a: [email protected]