Vulnerabilità nei prodotti: segnalazione obbligatoria in UE

A partire da oggi viene applicato l’art. 14 del Cyber Resilience Act (CRA). Le aziende che offrono prodotti hardware e software in Europa devono obbligatoriamente segnalare le vulnerabilità attivamente sfruttate e i gravi incidenti di sicurezza all’ENISA (European Network and Information Security Agency). Ciò deve avvenire entro precise scadenze per evitare pesanti sanzioni.

Obbligo per hardware e software

Per le segnalazioni deve essere utilizzata la Single Reporting Platform (SRA) attiva da oggi. I produttori che vendono hardware e software in Europa (anche quelli già sul mercato), tra cui router, modem, dispositivi per smart home (elettrodomestici, serrature, videocamere di sicurezza, baby monitor e altri), smart toys, smartwatch e altri indossabili, sistemi operativi, firewall, VPN, browser, antivirus e password manager, devono segnalare vulnerabilità attivamente sfruttate e gravi incidenti di sicurezza.

Queste sono le scadenze da rispettare:

• Avviso preliminare entro 24 ore dal momento in cui si viene a conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave
• Notifica di vulnerabilità attivamente sfruttata/incidente grave entro 72 ore dal momento in cui se ne viene a conoscenza, fornendo informazioni generali e una valutazione iniziale
• Report finale entro 14 giorni dalla disponibilità di una misura correttiva (patch) per le vulnerabilità, entro un mese dalla notifica delle 72 ore per gli incidenti gravi

Oltre che dall’ENISA, il report verrà ricevuto dal CSIRT (Computer Security Incident Response Team) dello Stato membro (in Italia è il CSIRT dell’Agenzia per la Cybersicurezza Nazionale). L’obbligo verrà esteso ai software open source dall’11 dicembre 2027. La piattaforma consentirà in futuro anche le segnalazioni volontarie.

A fine luglio, la Commissione europea ha pubblicato le linee guida per aiutare produttori, sviluppatori e aziende a rispettare gli obblighi previsti dal CRA. È chiaro che si tratta di un onere piuttosto gravoso, soprattutto per le aziende che sviluppano software e quelle di piccole dimensioni.

In caso di violazione dell’obbligo di segnalazione sono previste sanzioni fino a 15 milioni di euro o il 2,5% del fatturato globale riferito all’anno precedente.