normakte / Obbligo di segnalazione CRA
L'obbligo di segnalazione del CRA vale dall'11 settembre 2026. Due percorsi di segnalazione, quattro termini, e un obbligo verso gli utenti che corre separatamente.
Novità: le segnalazioni passano dalla piattaforma CRA di ENISA →
Il CRA per tutti i prodotti con elementi digitali: panoramica →
Tutti gli obblighi del CRA per i costruttori di macchine
Che cosa è accaduto?
Non sono soggette a segnalazione le vulnerabilità individuate in buona fede, senza intento malevolo, a fini di verifica, indagine, correzione o divulgazione (considerando 68). La segnalazione volontaria è prevista dall'art. 15 – verifica sul sito di ENISA se la piattaforma le accetta già.
La Commissione precisa gli obblighi di segnalazione con atti delegati, e l'elenco dei CSIRT designati come coordinatori viene aggiornato. Ti scriviamo se qualcosa cambia.
Dall'11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi: preallarme entro 24 ore, notifica entro 72 ore, poi una relazione finale.
Il fabbricante, anche per i prodotti immessi sul mercato prima dell'11 dicembre 2027. L'obbligo riguarda quindi già i prodotti oggi in commercio.
Tramite la CRA Single Reporting Platform di ENISA: il fabbricante sceglie il CSIRT coordinatore dello Stato membro del suo stabilimento principale nell'Unione, ed ENISA riceve la notifica contemporaneamente.
No. Vanno segnalate le vulnerabilità attivamente sfruttate. Le altre si correggono nell'ambito della gestione delle vulnerabilità; l'art. 15 prevede segnalazioni volontarie.
Registro, classificazione, SBOM, segnalazioni con scadenze e pagina per gli utilizzatori: un fascicolo di prova gratis fino al 20.01.2027.