L’obbligo di segnalazione del Cyber Resilience Act si applica dall’11 settembre 2026 e passa per un canale soltanto, la piattaforma unica di segnalazione gestita dall’ENISA. Il 14 agosto l’Agenzia ha aggiornato le istruzioni operative di quella piattaforma e vi ha inserito una regola che nelle risposte di luglio non compariva: il rappresentante la cui associazione con il fabbricante non è ancora stata verificata può trasmettere al massimo dieci notifiche. A tre settimane dalla scadenza, le condizioni d’uso del canale attraverso cui si adempie a un obbligo di legge continuano a definirsi in pagine di orientamento, e l’indirizzo di quel canale non è ancora pubblico.
Che cosa è stato aggiornato ad agosto
Il quadro normativo era già fissato a luglio, quando la Commissione ha pubblicato gli orientamenti sull’applicazione del regolamento e l’ENISA ha aggiornato le proprie risposte sulla piattaforma. Di quel passaggio, e delle tre date diverse che l’articolo 71 del regolamento (UE) 2024/2847 fissa per l’entrata in applicazione, si è già dato conto in questo blog spiegando che cosa scatta l’11 settembre e che cosa no. Quello che è cambiato nelle ultime due settimane non riguarda la norma, riguarda il modo in cui la si esegue.
L’ENISA ha infatti articolato la propria guida in tre pagine distinte, che descrivono passo per passo l’uso della piattaforma da parte del rappresentante incaricato dal fabbricante: la registrazione dell’utente, la trasmissione e l’aggiornamento delle notifiche e le funzioni dell’interfaccia. Le prime due risultano aggiornate al 3 agosto, la terza al 14 agosto. Le stesse pagine avvertono che le informazioni sono fornite secondo le migliori conoscenze disponibili e possono cambiare, con l’invito a consultare sempre la versione più recente prima di applicarle. È una clausola ragionevole per un manuale d’uso; lo è meno per il documento che, in assenza d’altro, descrive come si adempie a un obbligo assistito da sanzione.
Il limite di dieci notifiche per il rappresentante non verificato
La novità sostanziale sta nella pagina del 14 agosto, nel punto in cui si spiega come associare il proprio account a un ulteriore fabbricante. L’associazione nasce con lo stato “Unverified” e genera una richiesta di verifica indirizzata al CSIRT designato come coordinatore, che la esamina e la approva. Nel frattempo, scrive l’ENISA, “as unverified AR you can submit only up to 10 notifications”: il rappresentante non verificato può trasmettere fino a dieci notifiche e non oltre.
Il limite va letto accanto a ciò che la guida sulla registrazione, aggiornata undici giorni prima, dichiara in apertura: la validazione del rappresentante da parte del CSIRT coordinatore avviene dopo la registrazione, “is not a prerequisite for fulfilling the CRA reporting obligation”, si svolge in parallelo alla segnalazione e non incide sulla capacità di trasmettere notifiche attraverso la piattaforma. Le due affermazioni non si contraddicono, ma insieme dicono qualcosa di diverso da ciascuna presa da sola: la verifica non è una condizione per notificare, però la facoltà di notificare senza verifica è quantitativamente limitata. Nessuna delle pagine consultate precisa che cosa accada una volta raggiunta la decima notifica, né entro quale termine il CSIRT debba pronunciarsi sulla richiesta di verifica.
Quando registrarsi: le indicazioni dell’ENISA
Per non gravare sul carico di lavoro dei CSIRT designati come coordinatori, l’ENISA raccomanda di registrarsi e avviare la verifica soltanto quando occorre effettivamente trasmettere una notifica, anziché creare un account in via preventiva. La raccomandazione è coerente con l’interesse dell’amministrazione, meno con quello del destinatario dell’obbligo, perché il preallarme dell’articolo 14, paragrafo 2, lettera a), va trasmesso senza indebito ritardo e comunque entro ventiquattro ore dal momento in cui il fabbricante viene a conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave.
Chi segue la raccomandazione alla lettera si troverà a compiere, dentro quelle ventiquattro ore, l’intera sequenza descritta dalla guida: apertura del sito della piattaforma, scelta del ruolo, selezione del CSIRT designato, autenticazione tramite EU Login, accettazione dell’accordo legale, conferma dei dati personali precompilati e inserimento dei dati del fabbricante. L’unico passaggio che si può realmente anticipare è la creazione dell’account EU Login, che l’ENISA indica come attivabile fin da ora. Tutto il resto presuppone una piattaforma che non è ancora raggiungibile, e la sequenza andrà comunque percorsa mentre è in corso un incidente.
Le funzioni della piattaforma per il rappresentante
La pagina del 14 agosto descrive anche l’ambiente di lavoro, e da quella descrizione emergono vincoli che è opportuno conoscere prima e non durante. Il cruscotto mostra le notifiche accessibili al fabbricante associato, ma soltanto le bozze create dall’utente collegato: un rappresentante non vede le bozze predisposte da un altro rappresentante dello stesso fabbricante. Il rappresentante primario può invitare un rappresentante secondario per lo stesso fabbricante, e il secondario può chiedere di assumere il ruolo primario, con richiesta che viene inoltrata al CSIRT designato come coordinatore. Gli avvisi in rosso, precisa l’ENISA, compaiono solo quando si è verificata un’azione eccezionale o critica, per esempio quando un CSIRT designato ha invalidato una trasmissione.
Quest’ultimo punto merita attenzione perché la guida non dice quale effetto l’invalidazione di una trasmissione produca sul rispetto dei termini di ventiquattro e settantadue ore, né se e come la notifica debba essere rinnovata. È un’informazione che, allo stato delle fonti pubblicate, non è reperibile.
Il formato delle notifiche e la sua natura giuridica
Nelle risposte alle domande frequenti, aggiornate al 3 agosto, l’ENISA pubblica la tabella dei campi del modulo di segnalazione, indicando per ciascuno se è obbligatorio o facoltativo nella fase delle ventiquattro ore, in quella delle settantadue ore e nella relazione finale. È, nei fatti, il modello della notifica. L’articolo 14, paragrafo 10, del regolamento prevede però che sia la Commissione a poter specificare, mediante atti di esecuzione, il formato e le procedure di trasmissione delle notifiche di cui agli articoli 14, 15 e 16. Si tratta di una facoltà e non di un obbligo, sicché il mancato esercizio non integra alcuna omissione; resta che a tre settimane dalla scadenza il modello concreto della segnalazione si trova in una pagina di domande frequenti e non in un atto vincolante, e che come tale può essere modificato senza procedura e senza pubblicazione.
Sempre nelle risposte, l’ENISA chiarisce che le organizzazioni possono automatizzare i propri flussi interni di segnalazione, ma che in questa fase non sarà messa a disposizione alcuna interfaccia di programmazione. Chi gestisce un portafoglio ampio di prodotti dovrà quindi compilare a mano, uno per uno, moduli che nascono per essere trasmessi entro ventiquattro ore. È la stessa asimmetria già osservata a proposito del modello di autovalutazione per le piccole e medie imprese, dove lo strumento di supporto arriva prima degli obblighi sostanziali ma resta privo di valore giuridico proprio.
L’indirizzo pubblico ancora mancante
Il primo passo della procedura di registrazione, nella guida del 3 agosto, recita testualmente di aprire il sito della piattaforma, con l’inciso “URL to be provided at launch”. Le risposte alle domande frequenti confermano che l’indirizzo pubblico sarà comunicato sulla stessa pagina prima dell’avvio, e che un periodo di prova è previsto prima dell’11 settembre senza però indicarne le date. L’unico appuntamento datato in senso relativo è il seminario in rete che l’ENISA prevede di tenere due settimane prima dell’entrata in servizio della piattaforma, mentre la sicurezza sarà verificata con test d’uso e di sicurezza prima del lancio e con controlli periodici successivi. La sola data certa, in tutto questo, resta quella dell’obbligo.
Ciò che resta da fare in queste settimane non dipende dalla piattaforma. Occorre stabilire chi, dentro l’organizzazione, ha il potere di qualificare un fatto come vulnerabilità attivamente sfruttata o come incidente grave e di far partire la notifica, perché le ventiquattro ore decorrono dalla conoscenza e non dalla correzione; individuare il CSIRT designato come coordinatore competente in base allo stabilimento principale nell’Unione, secondo l’articolo 14, paragrafo 7; creare per tempo gli account EU Login delle persone che materialmente segnaleranno. E occorre decidere, alla luce del tetto delle dieci notifiche, se convenga davvero attendere il primo incidente per avviare la verifica dell’associazione, come l’ENISA suggerisce guardando al carico dei CSIRT, o se sia più prudente avviarla prima, sapendo che il rischio dell’attesa grava sul fabbricante. È una decisione di organizzazione e di responsabilità interna, dello stesso tipo di quelle che il quadro europeo sta spostando verso i vertici aziendali, e va presa adesso, perché l’11 settembre non si sposta.
