L’11 settembre 2026 i fabbricanti di prodotti con elementi digitali dovranno notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi entro ventiquattro ore, come impone l’articolo 14 del Cyber Resilience Act. Il canale attraverso cui adempiere, la piattaforma unica di segnalazione gestita dall’ENISA, non ha ancora un indirizzo pubblico, non ha date per il periodo di prova e non offrirà interfacce per l’automazione. A questo quadro si è aggiunto un dettaglio che dice molto sul modo in cui l’infrastruttura sta nascendo: la pagina delle domande frequenti dell’ENISA prometteva un webinar di preparazione due settimane prima dell’entrata in servizio. Quella soglia è caduta il 28 agosto, il webinar non è stato annunciato e la frase che lo prometteva è stata cancellata dalla pagina. Nella revisione datata 31 agosto la FAQ risulta ampliata e riscritta, ma di quel webinar non è rimasta traccia.
Il webinar di preparazione e la scadenza del 28 agosto
La promessa stava nella risposta alla domanda 17 della FAQ sulla piattaforma unica di segnalazione, quella dedicata alla formazione. In quella versione l’ENISA scriveva che, per sostenere la preparazione dei soggetti tenuti a notificare, “foresees to hold a webinar two weeks before the entry into service of the SRP”. La piattaforma, secondo la stessa FAQ, deve essere operativa entro l’11 settembre 2026, data in cui l’obbligo dell’articolo 14 diventa applicabile: due settimane prima significava il 28 agosto. Era l’unico impegno con una collocazione temporale precisa in un quadro fatto altrimenti di formule aperte, e per questo aveva un valore particolare: consentiva a chi deve organizzarsi di fissare un punto sul calendario.
La rimozione della frase dalla FAQ
Il 28 agosto è passato senza annunci. La risposta alla domanda 17 è stata riscritta: restano il richiamo alle guide e alla scheda informativa pubblicate a luglio e l’annuncio di ulteriore materiale in arrivo al lancio, ora indicato in un manuale d’uso e in video tutorial, ma ogni riferimento al webinar è scomparso. Il confronto è verificabile: la copia della pagina archiviata il 27 agosto conteneva ancora la frase, la versione successiva non più. Quando la frase è sparita, fra il 27 e il 31 agosto, la pagina dichiarava ancora come ultimo aggiornamento il 3 agosto 2026: la rimozione è avvenuta senza che quella data lo segnalasse. Solo in seguito l’ENISA ha pubblicato una revisione datata 31 agosto, che porta le domande a venticinque e ne aggiunge, fra le altre, sulla scelta del CSIRT nazionale, sulle lingue della piattaforma e sulla sua indisponibilità temporanea, senza però reintrodurre il webinar.
L’indirizzo pubblico e il periodo di prova ancora mancanti
Il webinar rimosso è il dettaglio più eloquente, non il più rilevante. La FAQ continua ad affermare che la piattaforma sarà accessibile tramite un indirizzo pubblico dedicato che verrà comunicato prima dell’avvio, e la guida alla registrazione apre ancora con l’istruzione di collegarsi a un URL che sarà fornito al lancio. Il periodo di prova che dovrebbe precedere l’entrata in servizio resta annunciato senza alcuna data. Le organizzazioni che sperano di integrare le notifiche nei propri sistemi sanno dalla stessa FAQ che in questa fase non saranno fornite interfacce di programmazione. Quanto al formato delle notifiche, il modulo con i campi delle tre fasi, preallarme entro ventiquattro ore, notifica entro settantadue, relazione finale, sta in una risposta della FAQ e non in un atto di esecuzione: l’articolo 14, paragrafo 10, del regolamento attribuisce alla Commissione la facoltà, non l’obbligo, di specificarlo, e quella facoltà a oggi non è stata esercitata.
Un obbligo applicabile e un corredo ancora provvisorio
Conviene tenere distinti i piani. L’obbligo di notifica non dipende dalla completezza del corredo informativo: l’articolo 14 si applica dall’11 settembre 2026 per effetto dell’articolo 71 del regolamento, e la piattaforma che l’ENISA deve istituire ai sensi dell’articolo 16 è lo strumento del suo adempimento, come si è ricostruito su queste pagine esaminando che cosa scatta l’11 settembre. Tutto ciò che circonda quell’obbligo, però, vive in pagine di orientamento: chi può notificare e con quali limiti, come funziona la registrazione, quali campi compilare, quale preparazione aspettarsi. Sono pagine che l’ENISA espande e aggiorna di continuo, com’è fisiologico per uno strumento in costruzione. La vicenda del webinar mostra che possono anche contrarsi: un impegno può essere ritirato con la stessa discrezione con cui era stato assunto.
Profili critici: l’affidamento su pagine che cambiano
Nessuna norma impedisce all’ENISA di modificare una pagina informativa, che non è un atto giuridico e non vincola nessuno. Ma l’affidamento che gli operatori ripongono in quelle pagine non è un accidente: è il quadro stesso a determinarlo, perché per la piattaforma non esiste altra fonte operativa. Chi sta costruendo la propria procedura interna di notifica lo sta facendo, necessariamente, sulle indicazioni dell’ENISA, comprese quelle quantitative, come il tetto delle dieci notifiche per il rappresentante non ancora verificato, e quelle organizzative, come il suggerimento di registrarsi solo al momento del bisogno. Come si è visto, un’indicazione può essere ritirata senza che, nel momento in cui accade, la data di aggiornamento lo segnali, anche se la pagina viene poi ampliata alla luce del sole: la diligenza impone allora una cautela ulteriore, conservare copia datata delle pagine su cui si fondano le proprie scelte. In un sistema che, fra NIS 2, DORA e Cyber Resilience Act, chiede alle imprese di documentare ogni valutazione, sarebbe paradossale che restasse indocumentato proprio il fondamento informativo di quelle valutazioni.
Che cosa si può fare nel tempo che resta
Quel che si poteva apprendere dal webinar andrà appreso dai documenti. Le azioni possibili restano quelle consentite dal materiale disponibile: creare in anticipo gli account EU Login delle persone che materialmente segnaleranno, individuare il CSIRT coordinatore competente in base allo stabilimento principale, mappare i campi del modulo di notifica nelle tre fasi per predisporre le informazioni che serviranno nelle prime ventiquattro ore, decidere chi, nella catena interna, accerta la conoscenza della vulnerabilità da cui il termine decorre. E, alla luce di quanto visto, aggiungere un’azione che di solito non compare nelle liste di preparazione: fissare in una copia datata lo stato attuale degli orientamenti dell’ENISA. La responsabilità di questo genere di scelte, il quadro europeo lo va ripetendo da mesi, risale fino ai vertici aziendali. Se l’11 settembre la piattaforma aprirà puntuale, la preparazione fatta in questi giorni sarà servita; se non aprirà, resterà la prova che l’organizzazione aveva fatto la sua parte.
