Normativa · 47 giorni fa
L’articolo 14 del Cyber Resilience Act dell’UE è ora applicabile e trasforma la gestione delle vulnerabilità in una scadenza legale. I produttori di prodotti con elementi digitali offerti nell’UE devono inviare un early warning a ENISA entro 24 ore quando vengono a conoscenza di una vulnerabilità attivamente sfruttata, poi un aggiornamento entro 72 ore e, più avanti, un report finale.
Il meccanismo è semplice: il primo obbligo scatta quando l’esposizione viene scoperta, non quando il triage interno è finito. La stessa cadenza vale per gli incidenti gravi, con notifiche alla Single Reporting Platform di ENISA e al CSIRT coordinatore, più l’avviso agli utenti interessati quando serve. In pratica, la difesa non è solo correggere la falla, ma saper dimostrare in tempo quando è stata vista e come è stata comunicata.
Per i vendor dentro e fuori l’UE che vendono software, dispositivi o prodotti connessi nel mercato europeo, il rischio immediato è mancato rispetto del clock regolatorio. La norma rende la disclosure rapida parte della risposta operativa, e chi non ha processi di rilevazione e notifica già pronti si espone prima sul piano compliance che su quello tecnico.
4 fonti che coprono questa storia
EU Cyber Resilience Act reporting rules take effect, putting vulnerability disclosure and product security in focus.
EU's Cyber Resilience Act starts the 24-hour vulnerability clock
Manufacturers must now disclose actively exploited flaws and severe security incidents through ENISA's new reporting platform
EU Cyber Resilience Act to Enforce New Reporting Requirements
Starting Friday, European organizations will have just 24 hours to notify the EU government any time they discover serious product security incidents.
The EU CRA's Real Question: What Shipped, and When Did You Know?
The EU Cyber Resilience Act's vulnerability reporting requirements take effect September 11, giving software vendors as little as 24 hours to report actively exploited flaws.
Part of the PlainSec briefing for 2026-09-14