La CRA mette un orologio legale sulle vulnerabilità
L’articolo 14 del Cyber Resilience Act dell’UE è ora applicabile e trasforma la gestione delle vulnerabilità in una scadenza legale. I produttori di prodotti con elementi digitali offerti nell’UE devono inviare un early warning a ENISA entro 24 ore quando vengono a conoscenza di una vulnerabilità attivamente sfruttata, poi un aggiornamento entro 72 ore e, più avanti, un report finale.
Il meccanismo è semplice: il primo obbligo scatta quando l’esposizione viene scoperta, non quando il triage interno è finito. La stessa cadenza vale per gli incidenti gravi, con notifiche alla Single Reporting Platform di ENISA e al CSIRT coordinatore, più l’avviso agli utenti interessati quando serve. In pratica, la difesa non è solo correggere la falla, ma saper dimostrare in tempo quando è stata vista e come è stata comunicata.
Per i vendor dentro e fuori l’UE che vendono software, dispositivi o prodotti connessi nel mercato europeo, il rischio immediato è mancato rispetto del clock regolatorio. La norma rende la disclosure rapida parte della risposta operativa, e chi non ha processi di rilevazione e notifica già pronti si espone prima sul piano compliance che su quello tecnico.