Dall'11 settembre 2026 chi distribuisce software nell'Unione europea deve segnalare entro 24 ore una vulnerabilità del proprio prodotto che qualcuno sta sfruttando. È la prima parte del Cyber Resilience Act, il regolamento (UE) 2024/2847, a entrare in applicazione; il resto si applica dall'11 dicembre 2027.
L'obbligo vale anche per i programmi che si scaricano gratis, se dietro c'è un'attività commerciale. È anche il nostro caso: Effetto, il nostro programma per stampare cambiali, è gratuito, e per il regolamento M's Works ne è il fabbricante.
Cosa va segnalato e in quanto tempo
L'articolo 14 riguarda due casi: le vulnerabilità attivamente sfruttate, cioè quelle per cui ci sono prove attendibili che qualcuno le abbia usate, e gli incidenti gravi che toccano la sicurezza del prodotto. Una falla trovata durante un test, senza segni di sfruttamento, si corregge e non si notifica.
Per una vulnerabilità sfruttata le scadenze si contano così:
24 ore
per il preallarme, da quando il fabbricante ne viene a conoscenza
72 ore
per la notifica con i dettagli sul prodotto e sulla falla
14 gg
per la relazione finale, da quando la correzione è disponibile
Per un incidente grave le prime due sono uguali, e la relazione finale va inviata entro un mese dalla notifica. Lo stesso articolo chiede di avvisare gli utilizzatori interessati e di dire loro cosa fare per limitare il danno.
A chi si segnala in Italia
La notifica si manda una volta sola, sulla piattaforma unica di segnalazione dell'ENISA. Da lì arriva al CSIRT coordinatore del paese in cui il fabbricante ha lo stabilimento principale e, salvo casi eccezionali, nello stesso momento all'ENISA. Per l'Italia il coordinatore è CSIRT Italia, dell'Agenzia per la cybersicurezza nazionale.
Per inviare qualcosa l'azienda deve prima registrare i propri referenti, che l'ENISA chiama Assigned Representatives e per cui ha pubblicato una guida. Conviene farlo adesso e provare subito l'accesso: il preallarme parte da quella piattaforma, e registrarsi mentre corrono le 24 ore è tempo tolto alla verifica della falla.
Gratis non vuol dire fuori dal CRA
L'articolo 3 definisce la messa a disposizione sul mercato come una fornitura «a titolo oneroso o gratuito», purché avvenga nel corso di un'attività commerciale. Il considerando 15 spiega quando lo è: oltre al prezzo del prodotto, basta un prezzo per l'assistenza tecnica che non serva solo a coprire i costi, l'intenzione di guadagnare attraverso il software (con una piattaforma su cui si vendono altri servizi, per esempio) o la richiesta di dati personali per scopi diversi dalla sicurezza e dalla compatibilità del programma.
Restano fuori il software libero e open source che nessuno monetizza (considerando 18), i siti web che non servono al funzionamento di un prodotto e i servizi cloud, per i quali vale la direttiva NIS2 (considerando 12). Per i casi dubbi ci sono le linee guida della Commissione, sulla pagina del Cyber Resilience Act.
Da settembre Effetto si scarica gratis, senza chiave e senza limiti, ma il codice è chiuso e quello che vendiamo sono i servizi attorno: l'avvio assistito, l'importazione degli archivi, la formazione. Programma gratuito e assistenza a pagamento: è il secondo segno del considerando 15. La nostra lettura è che M's Works sia il fabbricante di Effetto e che l'obbligo valga per noi dall'11 settembre, anche per le copie scaricate prima: l'articolo 69 applica l'articolo 14 a tutti i prodotti immessi sul mercato prima del dicembre 2027.
Cosa abbiamo fatto per Effetto
Le 24 ore partono da quando lo veniamo a sapere, quindi serviva prima di tutto un indirizzo a cui scriverci. Abbiamo pubblicato un security.txt, il file standard (RFC 9116) con cui un sito dice a chi scrivere per un problema di sicurezza. Rimanda a security@msworks.it, lo stesso indirizzo che sta nella licenza di Effetto. Il file ha una data di scadenza, il nostro il 1° ottobre 2027, e va rinnovato prima: un security.txt scaduto si considera non valido.
Poi c'è la strada con cui la correzione arriva a chi usa il programma. Quando esce una versione nuova Effetto lo segnala, ma è l'utente a decidere quando installarla. Con una falla sfruttata, quindi, l'avviso agli utilizzatori che chiede l'articolo 14 è quello che fa installare davvero la correzione.
Se la falla sta in una libreria che usiamo, l'articolo 13 ci chiede di segnalarla anche a chi la mantiene. Il resto arriva a dicembre 2027: un periodo di assistenza dichiarato, di regola di almeno cinque anni, la documentazione tecnica e la marcatura CE.
Essere una microimpresa non ci esonera. L'articolo 64 toglie alle micro e piccole imprese soltanto le sanzioni pecuniarie per un preallarme mandato oltre le 24 ore. Per la notifica a 72 ore valgono come per tutti.
Se il software te l'ha fatto un fornitore
Il fabbricante, per il CRA, è anche chi si fa progettare o sviluppare un prodotto e lo mette sul mercato con il proprio nome o marchio (articolo 3). Se un'agenzia ti ha sviluppato un'app o un programma che distribuisci ai clienti con il tuo logo, le segnalazioni toccano a te.
Prima di firmare, quindi, chiedi al fornitore l'elenco dei componenti e l'impegno ad avvisarti quando uno di questi ha una falla, e fatti spiegare come arriverebbe una correzione a chi usa il prodotto.
Cosa preparare adesso
- Elenca i programmi, le app e i dispositivi che distribuisci con il tuo nome, compresi quelli gratuiti.
- Per ciascuno, elenca librerie, framework e servizi esterni. Senza questo elenco non sai se una falla appena pubblicata ti riguarda.
- Pubblica un indirizzo per le segnalazioni e un security.txt che lo indichi, e decidi chi legge quella casella.
- Scrivi chi decide se una segnalazione riguarda una vulnerabilità sfruttata e chi manda il preallarme, con un sostituto per le ferie.
Le date e le sanzioni
Il calendario sta nell'articolo 71. L'11 giugno 2026 sono entrate in applicazione le regole sugli organismi di valutazione della conformità, l'11 settembre gli obblighi di segnalazione. L'11 dicembre 2027 arriva tutto il resto, compresi i requisiti di sicurezza, la marcatura CE e le sanzioni dell'articolo 64: fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, se superiore, per chi non rispetta i requisiti essenziali e gli obblighi degli articoli 13 e 14.
Se distribuisci un programma o un'app con il tuo nome, scrivici. Partiamo da un security audit del prodotto e dei suoi componenti e ti diciamo cosa manca per essere pronti alle 24 ore.