https://www.punto-informatico.it/vulnerabilita-prodotti-segnalazione-obbligatoria-ue/

È entrato in vigore nell'Unione Europea l'obbligo di segnalare tutte le vulnerabilità informatiche individuate nei prodotti digitali, con l'obiettivo di rendere più sicuro l'ecosistema tecnologico europeo. Dal 12 settembre è infatti attiva la piattaforma unica CRA Single Reporting Platform, gestita da ENISA (l'agenzia UE dedicata alla cybersicurezza), che consente alle aziende di notificare in modo centralizzato le falle di sicurezza scoperte nei propri dispositivi e software. La misura rientra nel Cyber Resilience Act, approvato nel 2024 e operativo dal 2026, che impone nuovi standard di sicurezza per i produttori di tecnologie connesse. La Commissione Europea spiega che il nuovo sistema di segnalazione rappresenta un passo decisivo verso una maggiore trasparenza e coordinamento nella gestione delle vulnerabilità. Le aziende che producono o distribuiscono prodotti digitali nell'UE dovranno comunicare entro 24 ore dalla scoperta ogni vulnerabilità che possa compromettere la sicurezza degli utenti o dei dati. L'obbligo riguarda sia i produttori di hardware sia gli sviluppatori di software, inclusi i fornitori di servizi cloud e IoT.

La piattaforma ENISA è progettata per semplificare il processo di notifica e garantire una risposta coordinata tra autorità nazionali e operatori privati. Ogni segnalazione viene automaticamente inoltrata alle autorità competenti degli Stati membri e, se necessario, ai centri di risposta europei per la cybersicurezza. L'obiettivo è ridurre i tempi di reazione e prevenire la diffusione di exploit prima che le vulnerabilità vengano corrette. Il Cyber Resilience Act stabilisce che i produttori debbano garantire la sicurezza dei propri prodotti per almeno cinque anni dopo la loro immissione sul mercato. Le aziende dovranno inoltre fornire aggiornamenti di sicurezza tempestivi e mantenere un registro delle vulnerabilità note. La mancata segnalazione o la non conformità agli obblighi può comportare sanzioni fino al 2,5% del fatturato annuo globale.

La Commissione ha sottolineato che la misura nasce dalla necessità di affrontare l'aumento delle minacce informatiche legate alla digitalizzazione. Nel 2025, gli incidenti di sicurezza segnalati nell'UE sono aumentati del 45% rispetto all'anno precedente, con un impatto crescente su infrastrutture critiche e dispositivi connessi. L'obiettivo del CRA è creare un quadro normativo uniforme che obblighi i produttori a integrare la sicurezza fin dalla progettazione. ENISA ha dichiarato che la piattaforma unica di segnalazione è stata sviluppata in collaborazione con gli Stati membri e con il settore privato. Il sistema utilizza protocolli standardizzati per la trasmissione dei dati e garantisce la riservatezza delle informazioni sensibili. Le segnalazioni saranno analizzate per individuare vulnerabilità ricorrenti e migliorare la prevenzione a livello europeo.

La Commissione Europea ha definito il lancio della piattaforma «una pietra miliare per la sicurezza digitale europea». In una nota ufficiale, ha affermato che «la segnalazione obbligatoria delle vulnerabilità contribuirà a proteggere cittadini e imprese, rafforzando la fiducia nei prodotti digitali». L'iniziativa si inserisce nel più ampio piano di resilienza cibernetica dell'UE, che include anche la creazione di un registro europeo delle vulnerabilità e la cooperazione con i CERT nazionali. Il CRA introduce inoltre un sistema di classificazione dei prodotti digitali in base al livello di rischio. I dispositivi connessi, come router, videocamere e sistemi di automazione domestica, rientrano nella categoria ad alto rischio e saranno soggetti a controlli più rigorosi. I produttori dovranno dimostrare la conformità alle norme di sicurezza prima di poter commercializzare i prodotti nel mercato europeo.

Proposte di lettura:

GPT-5.6 Sol cancella file e database senza permesso

I Baschi Grigi della Cybersicurezza

Louvre, sistemi obsoleti e password banali. Quella della sorveglianza era "Louvr...

Italia prima in UE con la legge sulla IA: recepisce l'AI Act europeo adattan...

La nuova normativa si applica anche ai software open source utilizzati in ambito commerciale. Gli sviluppatori dovranno garantire che le versioni distribuite rispettino gli standard di sicurezza previsti dal regolamento. ENISA ha chiarito che la piattaforma di segnalazione accetterà notifiche anche da ricercatori indipendenti, favorendo la collaborazione tra pubblico e privato nella gestione delle vulnerabilità.

Leggi anche:

Milano Linate sospende il riconoscimento facciale FaceBoarding: dubbi sulla sicu...

Microsoft omaggia la UE con strumenti di cybersicurezza

Il database europeo delle vulnerabilità digitali

Open Source, una proposta di legge mette a rischio lo sviluppo in Europa