CRA : per segnalare più velocemente bisogna capire più velocemente

Dal 11 settembre 2026 è entrata in vigore una nuova fase del Cyber Resilience Act (CRA). I produttori di dispositivi con componenti digitali commercializzati nell'Unione europea devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi che compromettono la sicurezza dei loro prodotti. La prima allerta deve avvenire entro 24 ore dalla presa di conoscenza, seguita da una notifica più completa entro 72 ore. Le aziende devono presentare queste dichiarazioni tramite la piattaforma unica di segnalazione gestita da ENISA.

Dietro al limite di 24 ore si cela un problema più profondo. Prima di poter segnalare rapidamente, le organizzazioni devono prima comprendere rapidamente. Questo rappresenta probabilmente uno dei cambiamenti più strutturanti introdotti dal CRA, poiché spinge le organizzazioni a non considerare più la normativa solo come esercizio di conformità. Essa obbliga le entità interessate a interrogarsi sulla loro reale capacità di identificare una vulnerabilità, di valutarne l'impatto e di prendere le prime decisioni di rimedio in un ambiente digitale estremamente distribuito.

24 ore: un test su larga scala della visibilità cyber

Negli anni il perimetro digitale delle aziende si è ampliato considerevolmente, con applicazioni SaaS, servizi cloud, infrastrutture multiple, componenti software terzi, API, utenti remoti o catene di subappalto. In questo contesto un'organizzazione non può notificare entro 24 ore ciò che richiede giorni per comprendere.

La prima richiesta diventa quindi quella della visibilità. Quando si verifica un incidente, le squadre devono poter determinare rapidamente quali sistemi e servizi sono coinvolti, quali dati sono esposti, quali utenti o componenti sono implicati e quali dipendenze possono contribuire a diffondere il rischio.

Questa capacità di contestualizzare l'incidente è altrettanto importante della sua rilevazione. Un avviso senza contesto genera solo rumore di fondo, mentre un avviso arricchito di comprensione dei dati, degli utenti e delle applicazioni permette di prendere decisioni.

Il CRA dovrebbe quindi portare le aziende a ragionare attorno a tre capacità, ovvero vedere, comprendere e agire. Vedere significa disporre di una visibilità continua sul proprio ambiente digitale e sulle dipendenze. Comprendere consiste nel contestualizzare rapidamente una vulnerabilità o un incidente per determinarne l'impatto reale, in particolare su applicazioni, utenti e dati. Agire equivale a disporre delle capacità tecniche ma anche dei processi interni per contenere il rischio, isolare gli elementi compromessi, rimediare e attivare i circuiti di notifica senza attendere la riunione di un comitato giorni più tardi.

La tecnologia da sola non può rispondere a questi obiettivi. La velocità di reazione dipende tanto dall'architettura di sicurezza quanto dalla governance che la accompagna, probabilmente una delle principali lezioni da trarre da questa nuova normativa. Le organizzazioni che inizieranno a cercare informazioni al verificarsi dell'incidente avranno già perso una parte preziosa delle prime 24 ore.

Devono quindi preparare in anticipo i propri processi decisionali, identificare chiaramente le responsabilità, mappare le dipendenze critiche e definire i meccanismi per sollevare rapidamente le informazioni pertinenti. Questa logica deve estendersi anche all'ecosistema di fornitori e partner tecnologici. In catene digitali sempre più interdipendenti, la capacità di un'azienda di rispettare i propri obblighi dipende anche dalla rapidità con cui i partner possono fornirle informazioni affidabili.

Dal tema normativo al tema di governance

Il Cyber Resilience Act non deve essere confuso con NIS2. Mentre NIS2 rafforza soprattutto gli obblighi di sicurezza informatica e gestione del rischio di numerose organizzazioni essenziali o importanti, il CRA istituisce un quadro orizzontale di sicurezza per i prodotti con componenti digitali, dalla loro progettazione alla manutenzione.

Gli obblighi di notifica entrati in vigore l'11 settembre 2026 costituiscono solo il primo passo. La maggior parte delle richieste del CRA entrerà in vigore il 11 dicembre 2027, con obblighi di sicurezza informatica che coprono l'inter ciclo di vita dei prodotti. Le aziende hanno davanti a sé un periodo che possono considerare sia un conto alla rovescia normativo sia un'opportunità di trasformazione.

L'effettivo tema del Cyber Resilience Act supera infine la capacità di produrre una notifica nei termini normativi. Il termine di 24 ore funge da rivelatore di maturità cyber. Un'organizzazione capace di comprendere rapidamente ciò che accade nel proprio ambiente, di identificare le applicazioni e i dati coinvolti, di misurarne l'esposizione e di attivare immediatamente le azioni corrette sarà naturalmente più equipaggiata per soddisfare alle richieste normative. In sintesi, sarà più resiliente agli attacchi. Il CRA rappresenta quindi un'opportunità straordinaria, proponendo alle aziende di trasformare la conformità non in un fine ma nella conseguenza di una migliore padronanza dell'ambiente digitale. A lungo termine, le organizzazioni che riusciranno a realizzare questa trasformazione saranno quelle capaci di trasformare visibilità, contesto e rapidità d'azione in vantaggio di fiducia e resilienza.

Riportato da Maddyness.