Dall’11 settembre 2026, ogni fabbricante che scopre una vulnerabilità attivamente sfruttata o un incidente grave su un proprio prodotto dovrà notificarlo tramite la piattaforma unica istituita da ENISA, indirizzandolo al CSIRT dello Stato in cui ha sede principale (che poi lo condivide con i CSIRT dei Paesi dove il prodotto è distribuito). È previsto anche l’obbligo di informare gli utilizzatori.
I tempi sono rigidi:
- Entro 24 ore — avviso preliminare
- Entro 72 ore — notifica dettagliata
- Relazione finale — entro 14 giorni dalla misura correttiva (per le vulnerabilità) o entro 1 mese dalla notifica delle 72 ore (per gli incidenti)
È questo che rende la data operativamente rilevante: il regime di segnalazione non aspetta che il resto del CRA diventi applicabile nel 2027.
L’aspetto più sottovalutato — e più critico sul piano commerciale: gli obblighi non riguardano solo i prodotti nuovi. Anche un software lanciato nel 2019 e ancora distribuito in Europa rientra: se una vulnerabilità grave viene sfruttata dopo l’11 settembre 2026, l’avviso entro 24 ore scatta esattamente come per un prodotto uscito il mese scorso.
E le sanzioni? Elevate. Per la mancata conformità ai requisiti essenziali (Allegato I) e agli obblighi degli artt. 13 e 14 — segnalazioni incluse — si arriva fino a 15 milioni di euro o, per le imprese, al 2,5% del fatturato mondiale annuo, se superiore.
In sintesi: la vera prima prova del CRA è settembre 2026. Serve un processo interno di rilevamento e notifica già pronto.