Il 31 luglio ENISA ha pubblicato un factsheet e due guide operative per la Single Reporting Platform, lo strumento attraverso cui dall’11 settembre i produttori di software e di prodotti connessi dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi. Le guide spiegano come registrarsi, chi può farlo, quali campi compilare. Lette di seguito, restituiscono un quadro che nessun comunicato ha avuto interesse a formulare per esteso: la piattaforma diventa operativa l’11 settembre, lo stesso giorno in cui l’obbligo diventa vincolante. Nessun produttore l’avrà mai vista prima. Non esiste un ambiente di prova, non è prevista alcuna API, l’indirizzo pubblico non è stato ancora comunicato e l’elenco dei CSIRT nazionali con cui bisognerà parlare arriverà, testualmente, «at a later stage». Quando il sipario si alza, la prima replica è il debutto, e il pubblico è già seduto.
Ventiquattro ore, misurate da quando sai
Conviene richiamare cosa scatta, esattamente. L’articolo 14 del Cyber Resilience Act impone al produttore che viene a conoscenza di una vulnerabilità attivamente sfruttata in un suo prodotto, o di un incidente grave che ne tocca la sicurezza, un early warning entro 24 ore al CSIRT designato come coordinatore e a ENISA. Seguono una notifica più completa entro 72 ore e un rapporto finale. La violazione di questi obblighi sta nella fascia alta delle sanzioni del regolamento, fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, la stessa riservata ai requisiti essenziali di sicurezza.
Il dettaglio che decide tutto è il punto di partenza dell’orologio. Le 24 ore non si misurano dalla correzione, e nemmeno dalla conferma tecnica: si misurano dalla conoscenza. E la conoscenza è un fatto organizzativo prima che tecnico. Succede nel ticket di un cliente, in una email arrivata sul canale sbagliato, in un thread che qualcuno legge dodici ore dopo. Un’azienda che non ha deciso chi, al suo interno, ha l’autorità di dichiarare «lo sappiamo», non ha un problema di modulistica: ha un orologio che parte senza che nessuno lo senta ticchettare.
Il regime pieno del regolamento arriva l’11 dicembre 2027, e ho già sostenuto che quei mesi non sono una proroga. La parte che parte adesso è quella con l’orologio più corto di tutto il diritto europeo dei prodotti.
La piattaforma che apre la sera del debutto
Le guide del 31 luglio descrivono un flusso ragionevole. Registrazione tramite EU Login. Due posti per produttore: un Assigned Representative primario e uno secondario, che entra per invito via email, e l’invito scade dopo sette giorni. Il CSIRT coordinatore si sceglie da un menu a tendina. I campi minimi dell’early warning sono pochi e sensati: tipo di notifica, livello, nome del produttore, prodotto, un titolo, e per gli incidenti l’indicazione se si sospetta un atto illecito o doloso. Fin qui, burocrazia ordinaria e persino ben disegnata.
Poi c’è la FAQ, che è il documento più informativo dei tre perché parla in negativo. «No Application Programming Interfaces will be provided at this stage»: niente API, nell’epoca in cui ogni convegno sulla compliance pronuncia la parola automazione a ogni slide. La segnalazione con il termine più stretto del diritto europeo sarà una persona che compila un modulo web, possibilmente alle tre del mattino. L’indirizzo pubblico «will be communicated and published in due course», cioè non c’è. L’elenco dei CSIRT designati come coordinatori, il menu a tendina da cui dipende a chi state parlando, verrà fornito più avanti. E il collaudo della piattaforma è interno, fra ENISA e i CSIRT: per i produttori non è prevista nessuna prova. La prima segnalazione reale sarà anche il primo test di carico fatto da mani esterne.
Non è un dettaglio di cronaca amministrativa. È la differenza fra un obbligo e un servizio: l’obbligo è pronto da mesi, il servizio apre la sera del debutto.
L’onboarding è un requisito non scritto
Il regolamento dice cosa segnalare e in quanto tempo. Non dice, perché non è compito suo, che per farlo entro 24 ore bisogna essersi registrati prima: avere gli account EU Login, avere scelto i due nomi, sapere quale CSIRT selezionare nel menu. Nessuna di queste precondizioni è un obbligo giuridico. Tutte insieme sono la differenza fra rispettare l’articolo 14 e violarlo.
È una categoria che nella compliance si incontra di continuo e non ha un nome: il requisito non scritto, la condizione operativa senza la quale il requisito scritto è inesigibile. Chi arriva al 12 settembre senza essersi registrato non verrà sanzionato per questo, perché la registrazione non è dovuta. Ha semplicemente trasformato la prima vulnerabilità sfruttata nel proprio prodotto in una corsa contro due orologi, quello della segnalazione e quello dell’onboarding, e il secondo non era nel conto di nessuno. Con un’aggravante di calendario: l’invito del rappresentante secondario scade in sette giorni, e settembre è il mese in cui i primari sono appena tornati dalle ferie e hanno altro da fare.
Gli obblighi non slittano. Gli strumenti sì
Il 27 luglio la Commissione ha pubblicato la guida applicativa prevista dall’articolo 26 del regolamento: ambito di applicazione, trattamento remoto dei dati, open source, modifica sostanziale, periodo di supporto. Rispetto alla bozza in consultazione, le richieste dell’industria accolte stanno tutte sul lato prodotto, quello che scade nel dicembre 2027: i fix di sicurezza minori non fanno ripartire il periodo di supporto, la valutazione di conformità di un prodotto modificato riguarda i componenti toccati e non l’intero sistema. Sul lato segnalazioni, quello che scade fra quattro settimane, non è stato concesso niente. Non per severità: perché non c’era margine, le date dell’articolo 14 stanno nel regolamento e nessuna guida può spostarle.
Nel frattempo gli standard armonizzati, l’unico strumento che darà la presunzione di conformità, hanno preso un’altra strada: la Commissione ha proposto di spostare di due mesi le scadenze della richiesta di standardizzazione, con i primi standard orizzontali attesi ora per fine ottobre 2026 e i verticali per fine dicembre. Nessuno standard armonizzato CRA è stato citato in Gazzetta Ufficiale a oggi, quindi la presunzione di conformità non esiste ancora per nessuna categoria di prodotto. Il pattern è lo stesso che il modello di maturità di ENISA aveva già reso visibile a luglio: l’Europa tiene le date degli obblighi e manca quelle degli strumenti. Chi aspetta gli standard «per non fare il lavoro due volte» non sta risparmiando: sta scommettendo sulla clemenza delle autorità di vigilanza. È una strategia legittima, purché venga presentata al consiglio di amministrazione per quello che è, una scommessa e non un piano.
Cosa succede quando un obbligo si accende
Per sapere cosa succederà dopo l’11 settembre non serve immaginazione: è già successo, in Italia, negli ultimi sei mesi. Il 24 luglio ACN ha pubblicato il resoconto operativo del primo semestre 2026, il primo con gli obblighi di notifica NIS2 a regime: 2.171 eventi cyber gestiti, il 47% in più rispetto allo stesso periodo del 2025; 1.160 notifiche ricevute, 953 obbligatorie e 207 volontarie, da 890 soggetti, dei quali 690 non avevano mai notificato nulla prima. Nello stesso semestre il ransomware è calato del 12% e i DDoS del 32%. L’agenzia stessa, con una onestà che va riconosciuta, attribuisce la crescita all’estensione del perimetro di osservazione e non a un incremento proporzionale della minaccia.
Da quei numeri escono due lezioni. La prima: quando i volumi delle segnalazioni CRA esploderanno, e succederà, qualcuno li leggerà come la prova che l’Europa è sotto attacco. Saranno la prova che l’Europa ha acceso la luce. La seconda sta nel numero 690: seicentonovanta organizzazioni hanno parlato con la propria autorità per la prima volta nella vita perché un obbligo le ha costrette. Il primo contatto con un regolatore sotto un termine di 24 ore è il peggior primo contatto possibile, e ACN, che nella piattaforma europea sarà anche il CSIRT coordinatore per l’Italia, sta per ricevere una seconda ondata di esordienti.
Il registro che nessuno ha collaudato in pubblico
C’è un ultimo aspetto, e va maneggiato con misura. Una piattaforma che raccoglie in tempo reale le vulnerabilità attivamente sfruttate e non ancora corrette dei prodotti sul mercato europeo è, per costruzione, uno degli archivi più appetibili del continente. Il regolamento lo sa: l’articolo 16 consente ai CSIRT di ritardare la diffusione di una notifica per motivi di cybersicurezza, e l’atto delegato che disciplina quei casi è stato adottato a dicembre. Non sto sostenendo che la piattaforma sia insicura, non ne ho gli elementi. Sto osservando un’asimmetria: a chi segnala viene chiesto di fidarsi di un sistema che non ha mai potuto vedere, mentre chi raccoglie non ha dovuto dimostrare in pubblico nulla. Per un’infrastruttura che custodirà l’elenco delle porte aperte d’Europa, un periodo di esercizio visibile prima dell’obbligo non era un lusso: era il minimo sindacale della fiducia che ora viene data per scontata.
Le quattro settimane
La parte utile di tutto questo è che quasi tutto ciò che precede il modulo si può provare adesso, senza aspettare ENISA. Gli account EU Login si creano oggi, non l’11 settembre. I due nomi si scelgono guardando il calendario di settembre, perché un invito che scade in sette giorni non perdona le ferie scaglionate. La decisione su chi dichiara la conoscenza, e da quale canale, si scrive in una pagina: è la riga da cui parte l’orologio, ed è un fatto organizzativo, non tecnico. E la prova generale che nessuno offre si fa in casa: si prende l’ultimo incidente serio dell’anno passato e si compilano, su un documento qualsiasi, i sei campi dell’early warning, cronometrando quanto tempo serve non a scriverli ma a sapere le risposte. Ho già sostenuto che la compliance fallisce per mancanza di inventario: se per dire quale prodotto, quale versione e quale componente servono più di 24 ore, il problema non è il modulo di ENISA.
L’11 settembre il sipario si alza comunque, per tutti. La differenza fra chi ha provato e chi no non si vedrà quel giorno. Si vedrà la prima notte in cui un orologio parte alle tre del mattino, e in una delle due aziende qualcuno sa già quale modulo aprire, con quali credenziali, e che cosa scriverci dentro.
Cosa ti porti a casa
La Single Reporting Platform diventa operativa l’11 settembre 2026, lo stesso giorno in cui l’obbligo di segnalazione dell’articolo 14 CRA diventa vincolante. Non esiste un ambiente di prova per i produttori, la FAQ di ENISA esclude qualsiasi API «at this stage» e l’indirizzo pubblico non è ancora stato comunicato: la prima segnalazione reale sarà anche la prima prova della piattaforma.
L’obbligo è scritto nel regolamento, le sue precondizioni no: account EU Login, due Assigned Representative per produttore con invito che scade in sette giorni, il CSIRT coordinatore da scegliere in un elenco che non è ancora stato pubblicato. Chi arriva al 12 settembre senza essersi registrato ha trasformato la prima vulnerabilità sfruttata in una corsa contro due orologi.
La guidance della Commissione del 27 luglio concede margini solo sul lato prodotto, che scade nel 2027: i fix di sicurezza minori non riavviano il periodo di supporto, la ricertificazione riguarda i componenti modificati. Sul lato segnalazioni, che scade fra quattro settimane, non è stato concesso niente. E gli standard armonizzati slittano di due mesi mentre le date degli obblighi restano ferme.
Il primo semestre NIS2 in Italia è l’anteprima empirica: 2.171 eventi gestiti da ACN, il 47% in più, con ransomware e DDoS in calo. Quando dopo l’11 settembre i numeri delle segnalazioni CRA esploderanno, non sarà la prova che l’Europa è sotto attacco: sarà la prova che l’Europa ha acceso la luce.
L’orologio delle 24 ore parte dalla conoscenza, e la conoscenza è un fatto organizzativo prima che tecnico. La prova generale che nessuno offre si fa in casa: prendere l’ultimo incidente serio, compilare i campi dell’early warning su un documento e misurare quanto tempo serve solo per sapere le risposte. Se servono più di 24 ore, il problema non è il modulo.
Domande e risposte
Cosa impone l'articolo 14 del Cyber Resilience Act dall'11 settembre 2026?
Il produttore che viene a conoscenza di una vulnerabilità attivamente sfruttata in un suo prodotto con elementi digitali, o di un incidente grave che ne tocca la sicurezza, deve trasmettere un early warning entro 24 ore al CSIRT designato come coordinatore e a ENISA, seguito da una notifica più completa entro 72 ore e da un rapporto finale. L’orologio parte dal momento della conoscenza, non da quello della correzione, e la violazione di questi obblighi sta nella fascia alta delle sanzioni del regolamento: fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo.
Cos'è la Single Reporting Platform e perché non si può provare in anticipo?
È la piattaforma unica, istituita dall’articolo 16 del CRA e gestita da ENISA, attraverso cui passano tutte le segnalazioni dell’articolo 14. Diventa operativa l’11 settembre 2026, lo stesso giorno in cui l’obbligo diventa vincolante. Il collaudo è stato interno, fra ENISA e i CSIRT nazionali: per i produttori non è previsto alcun ambiente di prova, la FAQ ufficiale esclude qualsiasi API «at this stage» e l’indirizzo pubblico verrà comunicato solo a ridosso dell’avvio.
Come funziona la registrazione alla piattaforma?
Serve un account EU Login. Ogni produttore dispone di due posti: un Assigned Representative primario e uno secondario, che entra tramite un invito via email valido sette giorni. In fase di registrazione si sceglie da un menu a tendina il CSIRT nazionale designato come coordinatore, ma l’elenco dei CSIRT designati non è ancora stato pubblicato. La validazione da parte del CSIRT avviene dopo il primo accesso e corre in parallelo con l’eventuale segnalazione: si può notificare anche prima che la validazione sia conclusa, ma nessuno vorrebbe scoprire il funzionamento del flusso durante la prima vulnerabilità sfruttata.
Dopo l'11 settembre i numeri delle segnalazioni esploderanno: significa che gli attacchi aumentano?
No, e il primo semestre NIS2 italiano lo dimostra. Il 24 luglio 2026 ACN ha riferito di 2.171 eventi cyber gestiti, il 47% in più rispetto allo stesso periodo del 2025, con 1.160 notifiche ricevute da 890 soggetti, 690 dei quali alla prima segnalazione in assoluto. Nello stesso semestre il ransomware è calato del 12% e i DDoS del 32%. L’agenzia stessa attribuisce la crescita all’estensione del perimetro di osservazione, non a un incremento proporzionale della minaccia: quando un obbligo di notifica si accende, sale la visibilità, non l’attacco.
Cosa può fare un produttore nelle quattro settimane che restano?
Tutto quello che precede il modulo si può provare da subito: creare oggi gli account EU Login, scegliere i due rappresentanti guardando il calendario di settembre, dato che l’invito del secondario scade in sette giorni, e decidere per iscritto chi in azienda dichiara la conoscenza di una vulnerabilità sfruttata e attraverso quale canale, perché è da lì che parte l’orologio. Poi fare internamente la prova generale che ENISA non offre: prendere l’ultimo incidente serio e compilare su un documento i campi dell’early warning, misurando quanto tempo serve solo per sapere le risposte.
L'autore
