Quasi tutti hanno archiviato il Cyber Resilience Act sotto una data sola: dicembre 2027. È sbagliato. Il primo obbligo vincolante scatta l'11 settembre 2026: la segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi. Il 27 luglio la Commissione ha pubblicato la prima guida applicativa ufficiale, la comunicazione C(2026) 5252.
Cosa scatta l'11 settembre
Il regolamento è in vigore dal 10 dicembre 2024 e si applica in pieno dall'11 dicembre 2027. In mezzo c'è l'articolo 14, dall'11 settembre 2026. Da quel giorno il fabbricante di un prodotto con elementi digitali ha tre orologi: allerta precoce entro 24 ore dalla conoscenza del fatto, notifica completa entro 72 ore, relazione finale entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità sfruttate ed entro un mese per gli incidenti gravi.
La segnalazione passa dalla Single Reporting Platform che ENISA sta costruendo, operativa per l'11 settembre, e arriva insieme al CSIRT dello stabilimento principale e a ENISA. Per un fabbricante italiano è CSIRT Italia, lo stesso interlocutore di NIS2: chi ha già quella procedura parte avvantaggiato. E attenzione: copre anche i prodotti già sul mercato prima della piena applicazione, purché a settembre siano ancora in commercio nella UE.
Sei fabbricante anche se non ti senti tale
Qui casca la PMI manifatturiera tipo. Chi vende una macchina con dashboard web, un sensore connesso, un dispositivo con app companion, un firmware o un software in pacchetto è fabbricante ai sensi del CRA, comunque si descriva sul sito.
Dove finisce il prodotto
Sul punto più discusso la guida dà un criterio: il SaaS autonomo in generale resta fuori, ma il trattamento remoto dei dati progettato dal fabbricante e in assenza del quale il prodotto non svolge una delle sue funzioni rientra nel perimetro del prodotto. Tradotto: se la macchina non lavora senza il portale, il portale è parte della macchina. Non è un sì o un no: è un test funzione per funzione.
Cosa fare prima di settembre
- Assegnare le 24 ore: serve una persona reperibile con nome e cognome, non una casella condivisa. L'orologio parte da quando si viene a conoscenza, non da quando qualcuno apre il ticket.
- Preparare l'EU Login, non l'account SRP: le credenziali si creano in anticipo, ma ENISA chiede di registrarsi sulla piattaforma solo quando c'è una segnalazione vera da inviare.
- Generare l'SBOM in pipeline: in una build Node o PHP è lavoro di CI, non un foglio di calcolo aggiornato una volta l'anno.
- Verificare il periodo di supporto: minimo cinque anni, salvo vita attesa più breve, e va conciliato con framework dagli LTS molto più corti.
Verdetto
C(2026) 5252 non è vincolante e nessuna norma armonizzata è ancora citata in Gazzetta ufficiale: la presunzione di conformità dell'articolo 27 oggi non c'è. Ma è insolitamente leggibile per un documento della Commissione: 67 esempi pratici, microimprese e PMI come destinatario dichiarato. Le sanzioni sulla segnalazione arrivano a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, il maggiore dei due; ma per una PMI il rischio vero non è la multa, è arrivare a settembre senza sapere chi risponde al telefono. Se sviluppate software per un manifatturiero, il problema CRA del cliente diventa una clausola del vostro contratto entro l'autunno. Meglio arrivarci avendo già letto la guida.