Articolo 14 del CRA: che cosa deve segnalare, ed entro quando

Chi deve segnalare

L'articolo 14 si rivolge ai fabbricanti e copre due eventi: una vulnerabilità attivamente sfruttata contenuta nel Suo prodotto (Art. 14(1)) e un incidente grave che ha un impatto sulla sua sicurezza (Art. 14(3)).

Tre domande. Se la risposta è sì a tutte e tre, l'articolo 14 si applica a Lei.

• ✓Immette sul mercato dell'UE hardware o software con un elemento digitale, con il Suo nome o marchio.
• ✓Non è già coperto da norme settoriali che prevalgono sul CRA, come dispositivi medici, aviazione civile o veicoli omologati.
• ✓Lo supporta ancora dopo l'11 settembre 2026. Contano anche i prodotti venduti anni fa (Art. 69(3)).

Articolo 69, paragrafo 3: gli obblighi di segnalazione si applicano anche ai prodotti immessi sul mercato prima dell'11 dicembre 2027, quindi un prodotto che ancora supporta rientra nell'ambito di applicazione per quanto datato sia. Essere stabiliti fuori dall'UE non elimina l'obbligo: cambia quale CSIRT designato come coordinatore riceve la notifica.

Le tre scadenze

• Preallarme. Art. 14(2)(a) e 14(4)(a). Indica che il fatto è avvenuto, in quali Stati membri il prodotto è disponibile e se si sospetta che vi siano atti illegittimi o malevoli.
• Notifica. Art. 14(2)(b) e 14(4)(b). La natura dello sfruttamento o dell'incidente, le misure che ha adottato, le misure che i Suoi utilizzatori possono adottare e una valutazione del grado di sensibilità.
• Relazione finale. Art. 14(2)(c): entro 14 giorni dalla messa a disposizione di una misura correttiva o di attenuazione. Per gli incidenti gravi: entro un mese dalla notifica delle 72 ore.

Destinatari: il CSIRT designato come coordinatore nel Suo Stato membro ed ENISA.

Conoscenza, non pubblicazione del CVE

Tutte e tre le scadenze dipendono da un solo istante: quello in cui viene a conoscenza. Non il rilevamento, non il giorno di pubblicazione del CVE, non il giorno in cui è stata rilasciata la correzione.

Orientamenti della Commissione C(2026) 5252 §213: si viene a conoscenza quando, dopo una prima valutazione, si ha un ragionevole grado di certezza che la vulnerabilità sia attivamente sfruttata o che si sia verificato un incidente grave. Il §214 richiede che tale valutazione sia tempestiva.

Un inserimento in CISA KEV o nell'elenco delle vulnerabilità sfruttate di ENISA EUVD di norma avvia questa valutazione; non la conclude, perché deve comunque confermare che il codice vulnerabile sia presente e raggiungibile nel Suo prodotto.

Il contatore delle 72 ore del portale e il termine di legge

FAQ Q26 di ENISA: il contatore delle 72 ore della piattaforma indica una scadenza 48 ore dopo la trasmissione del preallarme. Se trasmette il preallarme tempestivamente, il portale La segnala come in ritardo prima che siano trascorse le 72 ore di legge. Dal 21 ottobre 2026 il modulo sulle vulnerabilità ha un campo obbligatorio per il momento della conoscenza (glossario v1.6), ed ENISA ha dichiarato che una versione successiva conterà dal momento della conoscenza.

Se viene a conoscenza lunedì alle 09:00 e trasmette il preallarme lunedì alle 17:00, il portale segnala la notifica come scaduta a partire da mercoledì alle 17:00, mentre l'Art. 14(2)(b) Le dà tempo fino a giovedì alle 09:00.

Si regoli sul termine di legge e consideri il contatore del portale un promemoria; indichi a parole l'ora della conoscenza nel Suo riepilogo e ne conservi una propria registrazione datata. Verifica scadenze: inserisca i Suoi due istanti e veda entrambe le scadenze.

Trasmettere sulla Single Reporting Platform senza API

"No Application Programming Interface (API) will be provided at the initial release of the SRP, so notifications must be submitted through the platform interface." — In italiano: al rilascio iniziale della SRP non sarà disponibile alcuna interfaccia di programmazione (API), quindi le notifiche devono essere trasmesse tramite l'interfaccia della piattaforma.

In pratica il Suo Assigned Representative accede con EU Login e autenticazione a più fattori e compila il modulo. Ogni fabbricante registra un Primary Assigned Representative e fino a 20 Secondary Assigned Representatives. Può trasmettere fino a 20 notifiche prima che il Suo Assigned Representative sia convalidato, quindi registrarsi oggi non blocca nulla.

Un'e-mail a un CSIRT è un ripiego per quando la piattaforma non è raggiungibile, non una notifica formale (NCSC Irlanda, linee guida nazionali sul CRA, agosto 2026). Ogni campo richiesto dalla piattaforma, con il suo limite e il suo stato in ciascuna fase, è riportato nel Riferimento dei campi SRP.

Informare i Suoi utilizzatori

Art. 14(8): dopo essere venuto a conoscenza, e se del caso, informa senza indebito ritardo gli utilizzatori interessati della vulnerabilità o dell'incidente e, se necessario, delle misure correttive e di attenuazione del rischio che possono adottare. Questo obbligo corre parallelamente alle notifiche e non attende la trasmissione delle 72 ore.

Orientamenti della Commissione C(2026) 5252 §§219–221: che cosa comunica agli utilizzatori, e come, è basato sul rischio e proporzionato. La forma consueta è un avviso CSAF 2.0 accompagnato da una comunicazione leggibile da una persona; il regolamento non prescrive né l'uno né l'altra e non fissa alcun termine orario.

Sanzioni ed esenzione per le piccole imprese

Art. 64(2) colloca gli obblighi degli articoli 13 e 14, segnalazione compresa, nella fascia fino a 15 mln € o al 2,5 % del fatturato annuo mondiale. La soglia di 10 mln € o 2 % (Art. 64(3)) vale per gli altri obblighi degli operatori economici. Le microimprese e le piccole imprese sono esenti dalle sanzioni per un preallarme di 24 ore mancato (Art. 64(10)); l'obbligo in sé resta.

Ciò che sapeva già prima dell'11 settembre

Uno sfruttamento di cui era già a conoscenza prima dell'11 settembre non deve essere segnalato retroattivamente (orientamenti della Commissione C(2026) 5252 §217). Tutto ciò di cui viene a sapere da ora in poi sì.

La linea di demarcazione è la conoscenza dello sfruttamento, non l'età della vulnerabilità: sapere dopo l'11 settembre 2026 che una vulnerabilità nota da tempo è ora attivamente sfruttata è una nuova conoscenza.

Fonti ufficiali

• Regolamento (UE) 2024/2847 su EUR-Lex: English · Deutsch
• Orientamenti della Commissione C(2026) 5252 sugli obblighi di segnalazione
• ENISA Single Reporting Platform: domande frequenti
• ENISA Single Reporting Platform: il portale

Questa pagina non è consulenza legale. Segue il regolamento e gli orientamenti della Commissione e cita la fonte di ogni regola; il registro datato delle modifiche è la Novità normative. Le Sue trasmissioni restano dichiarazioni giuridiche Sue e andrebbero fatte verificare.