01Cosa deve essere notificato
L'Art. 14 del Cyber Resilience Act crea due obblighi di notifica per i fabbricanti di prodotti con elementi digitali. Sono più circoscritti di quanto sembrino a prima vista: i bug ordinari e le patch di routine non rientrano nell'ambito di applicazione. Art. 14
- Vulnerabilità attivamente sfruttate; una vulnerabilità del vostro prodotto per la quale esistono prove attendibili che un attore malevolo l'abbia sfruttata in un sistema senza l'autorizzazione del proprietario. Una vulnerabilità che scoprite e correggete prima che venga sfruttata è gestita attraverso il vostro normale processo di gestione delle vulnerabilità, non questo canale di notifica.
- Incidenti gravi; un incidente che pregiudica, o è in grado di pregiudicare, la capacità del prodotto di proteggere la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati o delle funzioni. I criteri di gravità sono fissati all'articolo 14(5).
Gli obblighi non riguardano soltanto i fabbricanti commerciali. Responsabili di software open source hanno propri obblighi di notifica nella misura in cui sono coinvolti in prodotti con elementi digitali. Art. 24(3)
Se una debolezza della sicurezza nel vostro prodotto è attivamente sfruttata, o un incidente di sicurezza lo ha gravemente compromesso, il conto alla rovescia dell'Art. 14 inizia. Tutto il resto rientra nella gestione quotidiana delle vulnerabilità.
Una vulnerabilità del cui sfruttamento attivo eravate già a conoscenza prima che l'obbligo di notifica divenga applicabile, ossia prima dell' 11 settembre 2026, non deve essere notificata. L'obbligo si ricollega al momento in cui venite a conoscenza, quindi riguarda ciò che apprendete da quella data in poi e nulla di precedente.
È questo il punto che sorprende molti, e vale la pena essere precisi. Articolo 69(2) fissa la regola transitoria generale: i prodotti immessi sul mercato prima dell' 11 dicembre 2027 rientrano nel regolamento solo se sono modificati in modo sostanziale a partire da tale data. Letto da solo, ciò suggerisce che il vostro catalogo esistente resti intoccato.
Articolo 69(3) ne estrae però subito l'articolo 14. In forza di una deroga espressa, gli obblighi di notifica si applicano a tutti i prodotti con elementi digitali rientranti nell'ambito di applicazione del regolamento che sono stati immessi sul mercato prima dell'11 dicembre 2027, a prescindere dal fatto che siano mai modificati.
Le due regole si muovono quindi su assi diversi. Un prodotto venduto nel 2025 può non richiedere mai la marcatura CE ai sensi del CRA, ma se una sua vulnerabilità viene attivamente sfruttata e ne venite a conoscenza a partire dall'11 settembre 2026, è soggetta a notifica. Il vostro parco installato rientra nell'ambito della notifica anche quando è escluso dai requisiti di prodotto. La Commissione giunge alla stessa conclusione nella sezione 5.3 delle sue FAQ sull'attuazione del CRA. Art. 69(2)–(3)
02Le tre scadenze
Ogni notifica si articola in tre fasi, calcolate dal momento in cui venite a conoscenza della vulnerabilità sfruttata o dell'incidente grave. Le finestre sono strette, ed è per questo che la preparazione conta. Art. 14(2)–(4)
- Entro 24hPreavviso. Una prima notifica del fatto che si è verificata una vulnerabilità attivamente sfruttata o un incidente grave, con l'indicazione, per gli incidenti, se si sospetti che sia causato da atti illeciti o malevoli.
- Entro 72hNotifica di vulnerabilità / incidente. Un resoconto più completo: la natura generale della vulnerabilità e dell'exploit, una valutazione iniziale e le misure correttive o di mitigazione adottate, oltre a quelle che gli utenti possono adottare.
- Rapporto finaleRapporto finale. Per una vulnerabilità, entro e non oltre 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Per un incidente grave, entro un mese dalla notifica a 72 ore. Espone la descrizione completa, la gravità, l'impatto e la correzione applicata.
Notate l'asimmetria nell'ultima riga: per le vulnerabilità il conteggio parte dall'esistenza di una correzione, per gli incidenti dalla notifica precedente. Sono meccanismi diversi e conviene inserirli separatamente nel vostro runbook.
03Quando inizia
Gli obblighi di notifica sono la prima parte principale del CRA ad entrare in vigore. Mentre la maggior parte delle disposizioni si applica dall'11 dicembre 2027, l'Art. 14 si applica dal 11 settembre 2026; 21 mesi dopo l'entrata in vigore del regolamento. ENISA prevede che la piattaforma di notifica unica sia operativa entro la stessa data. Art. 71
La piattaforma non è ancora attiva e il suo URL pubblico non è stato pubblicato. ENISA dichiara che sarà comunicato sulla sua pagina dedicata alla piattaforma di notifica unica prima dell'entrata in servizio. In precedenza sono previsti test utente e di sicurezza, con il coinvolgimento della rete dei CSIRTs.
ENISA has, however, published a factsheet, an FAQ and two step-by-step guidance pages covering registration and notification submission, all last updated 3 August 2026. On that date ENISA also moved its whole SRP section to new addresses under Topics, Product Security; the older addresses still serve the superseded 31 July text, so use the links in section 08 below. Short instructional videos and a webinar due settimane prima dell' entrata in servizio devono ancora arrivare. ENISA indica che le guide pubblicate sono soggette a modifiche.
Mancano ancora due elementi: l' elenco dei CSIRTs nazionali designati come coordinatori, che ENISA dichiara di voler fornire in una fase successiva, e le standard armonizzati alla base della gestione delle vulnerabilità, attese intorno al 30 agosto 2026 e non ancora citate nella Gazzetta ufficiale.
A differenza della marcatura CE, che si completa una volta sola prima di immettere un prodotto sul mercato, la notifica è un obbligo vivo e continuativo che inizia a settembre 2026 e può essere attivato in qualsiasi momento successivo. Essere pronti non è un progetto una tantum. Costruite ora il processo interno di rilevamento e notifica; l'obbligo si applica dall'11 settembre 2026, che gli strumenti siano pronti o meno.
04A chi notificare
Le notifiche vanno a ENISA e al CSIRT designato come coordinatore, attraverso un unico punto di accesso anziché con invii separati a ciascuna autorità nazionale. Tale punto di accesso è la piattaforma di notifica unica, che ENISA istituisce, gestisce e mantiene ai sensi dell'articolo 16. Art. 14 · 16
Il CSIRT competente dipende dal vostro stabilimento principale nell'Unione o, se non siete stabiliti nell'UE, da quello del vostro rappresentante autorizzato. Il CSIRT ricevente trasmette la notifica ai CSIRTs degli Stati membri in cui il prodotto è disponibile e, se necessario, alle autorità di vigilanza del mercato. Art. 14(7) · 18
Il supporto esiste su entrambi i fronti. ENISA gestisce un helpdesk, con particolare attenzione alle PMI, e i CSIRTs designati come coordinatori sono tenuti a fornire a loro volta supporto helpdesk sugli obblighi dell'articolo 14. ENISA inoltre inserisce le vulnerabilità corrette nel database europeo delle vulnerabilità, e pubblica ogni due anni una relazione tecnica sulle tendenze, la prima attesa entro 24 mesi dall'inizio degli obblighi di notifica. Art. 17(6)
La diffusione di una vulnerabilità notificata può essere sospesa dal CSIRT, ma non da voi
The receiving CSIRT may delay or withhold onward dissemination on justified cybersecurity grounds, for a period strictly necessary; for example where a vulnerability is inside a coordinated disclosure procedure. The Commission specified the terms in Delegated Regulation (EU) 2026/881, adopted on 11 dicembre 2025Quando un CSIRT trattiene una notifica deve informarne immediatamente ENISA, con una giustificazione e l'indicazione di quando procederà alla diffusione.
Separatamente, in circostanze particolarmente eccezionali potete contrassegnare una delle condizioni ristrette previste dall' Articolo 16(2) nella vostra notifica a 72 ore: che lo sfruttamento sia limitato allo Stato membro del vostro CSIRT, che un'ulteriore diffusione sarebbe contraria agli interessi essenziali di tale Stato membro, o che la diffusione comporti un rischio elevato e imminente per la cibersicurezza. In tal caso ENISA riceve solo informazioni limitate (che è stata effettuata una notifica, informazioni generali sul prodotto, la natura generale dell'exploit e il fatto che siano stati invocati motivi di sicurezza) finché il CSIRT non rilascia la notifica completa.
Nessuno dei due meccanismi sospende il vostro conteggio. Non potete ritardare l'invio; le finestre di 24 ore, 72 ore e del rapporto finale decorrono dal momento della presa di conoscenza. Quello che potete fare è segnalare la sensibilità, il che limita chi vede il contenuto. La decisione di trattenere la diffusione spetta al CSIRT ricevente.
05Registrarsi sulla piattaforma
ENISA's guidance, last updated 3 August 2026, is the first material to show the actual screens. You cannot register on the platform itself until it goes live, but you can decide now who will hold the accounts and get their credentials ready, and you should know the flow before you meet it under a 24-hour clock.
Nominate due persone prima di averne bisogno
La piattaforma assegna a ciascun fabbricante due tipi di account utente, e potete decidere oggi chi li ricoprirà. Un rappresentante primario si registra per primo e crea la voce del fabbricante sulla piattaforma. Tale persona invita poi un rappresentante secondario , che ricopre un ruolo di riserva per lo stesso fabbricante e può effettuare invii per suo conto. Entrambi sono persone fisiche designate nella vostra azienda. Poiché l'invio è manuale, un unico referente designato che sia in ferie, addormentato o che abbia lasciato l'azienda è un rischio operativo concreto: trattate quindi il secondo posto come necessario e non come facoltativo.
EU Login è la credenziale, ed entrambe le persone possono crearlo già oggi
Gli account della piattaforma si autenticano tramite EU Login, il servizio di accesso condiviso della Commissione europea utilizzato nei suoi sistemi online. ENISA dichiara che l'account può essere creato in anticipo, ed è la cosa più utile che potete fare in questo momento. Createne uno per il rappresentante primario e uno per il secondario su ecas.ec.europa.eu, utilizzando indirizzi e-mail aziendali che esisteranno ancora fra un anno. La Commissione spiega che cos'è EU Login e come si inserisce nel suo più ampio quadro di identità, nelle sue pagine sull' identità digitale affidabile .
Il flusso di registrazione
Al primo accesso alla piattaforma selezionate il vostro ruolo, scegliete il vostro CSIRT designato from a drop-down, authenticate through EU Login, read and accept the legal agreement, confirm your pre-filled personal details (first name, last name, email, legal name), then enter the manufacturer's name, address and additional information. Omitting a mandatory manufacturer field blocks the flow. On completion your account status is "Active" and you hold the "AR Primary User" role, you receive a confirmation email, and the manufacturer entity is created in the platform.
Il secondario si aggiunge tramite invito via e-mail from the primary, confirms the pre-filled personal and manufacturer details, and is registered in the "AR Backup User" role against the same manufacturer. That invitation expires after 7 giorni, dopodiché il record viene contrassegnato come "Invitation Expired" e occorre inviarne uno nuovo. Configurate la riserva nella stessa sessione del primario; un invito scaduto scoperto nel mezzo di un incidente è un problema evitabile.
Il CSIRT verifica manualmente il vostro rappresentante, ma ciò non vi impedisce di notificare
Someone has to confirm that a given person really may report on behalf of a given manufacturer, and that check falls to the CSIRT designated as coordinator, which ENISA now abbreviates CDaC. It is a manual step, the procedure varies between CSIRTs, and each CSIRT owns its own approach. Crucially, it happens dopo il vostro primo accesso alla piattaforma e procede in parallelo with your report. In its update of 3 August 2026 ENISA put this beyond doubt: validation by the CDaC is not a prerequisite for fulfilling the CRA reporting obligation, and does not affect your ability to submit notifications. An unvalidated account can still file inside the 24-hour window.
È anche per questo che ENISA consiglia di registrarsi e avviare la convalida solo quando avete effettivamente bisogno di notificare, anziché preregistrare l'intero mercato e sommergere i CSIRTs di verifiche ipotetiche. La preparazione da fare in anticipo riguarda gli account EU Login e la decisione su chi occuperà i due posti, non la registrazione sulla piattaforma.
La guida di ENISA è scritta per gli "Assigned Representatives" (AR), con utenti primari e utenti di riserva. Si tratta di un ruolo di account della piattaformaCiò non è il rappresentante autorizzato nominato con mandato scritto ai sensi dell'articolo 18 del CRA. Potete avere il primo senza il secondo. Tenete le due cose distinte nella vostra procedura interna, altrimenti finirete per discutere di una nomina giuridica quando tutto ciò che vi serve è un secondo accesso.
06Inviare una notifica
La notifica avviene da una dashboard. Create una notifica e poi integrate lo stesso record a ogni fase, anziché inviare tre cose separate. Ogni fase ha la propria scheda e ciascuna può essere prima salvata come bozza; le bozze sono visibili solo a voi.
- PreavvisoStart a new notification from the dashboard, complete the mandatory fields, and select an existing manufacturer or add one. On submission it is accessible to your designated CSIRT and, automatically, to ENISA. Email and alert confirmations go to the CSIRT, to ENISA, and to every representative registered for that manufacturer, not only the person who submitted.
- 72 oreDisponibile solo se esiste già un preavviso. Aprite la stessa notifica e completate la scheda delle 72 ore. ENISA la riceve automaticamente a meno che you invoke the Article 16(2) conditions, in which case the record is flagged "72h Submitted under PEC" and ENISA's view is limited until the CSIRT releases it.
- Rapporto finaleOnly available once both earlier stages exist. ENISA receives it automatically unless the Article 16(2) conditions were invoked.
La guida di ENISA del 3 August 2026 states that the other concerned CSIRTs receive the early warning, il 72-hour notification e il final report only after manual dissemination by the CSIRT designated as coordinator. The 31 July text said this of the final report alone. Nothing about your duty changes, and the CDaC is still bound by Article 16(2) to disseminate without delay, but it is worth knowing that a person at one national CSIRT sits between your report and the other markets where your product is sold.
Che cosa è obbligatorio, e quando
ENISA ha pubblicato quali campi sono obbligatori in ciascuna fase. La tabella è un utile correttivo a un'ipotesi diffusa: il preavviso a 24 ore è un allarme, non un'indagine.
- A 24 ore; il tipo e il livello della notifica, il nome del fabbricante o dello steward, il prodotto e un titolo. Per gli incidenti, se si sospettino atti illeciti o malevoli. Gli Stati membri in cui il prodotto è disponibile sono richiesti solo se ne siete già a conoscenza.
- A 72 ore; la natura generale della vulnerabilità e dell'exploit, le misure correttive o di mitigazione adottate e le misure che gli utenti possono adottare. Per gli incidenti, quando è stato rilevato e quando si è verificato, oltre a una valutazione iniziale. La sensibilità si segnala in questa fase.
- Al rapporto finale; la descrizione completa, la gravità e l'impatto, la data in cui una misura correttiva è divenuta disponibile e il dettaglio dell'aggiornamento di sicurezza. Per gli incidenti, la probabile causa principale e le mitigazioni in corso.
Tra i campi facoltativi che conviene comunque registrare figurano il CVE ID e il EUVD ID, entrambi disponibili fin dalla prima fase.
Le modifiche e il punto di non ritorno
A submitted notification can be updated, and the platform automatically sends an alert and an email to your CSIRT plus ENISA and any CSIRTs that already received it through dissemination. Two limits apply: a chiusa non può essere aggiornata e il record diventa non modificabile una volta inviato il rapporto finale.
ENISA dichiara che in questa fase non sarà fornita alcuna interfaccia di programmazione delle applicazioni. Potete automatizzare internamente rilevamento, triage e stesura, ma l'invio vero e proprio è una persona che compila un modulo nel browser. Pianificate deliberatamente questo passaggio di consegne e assicuratevi che più di una persona possa eseguirlo fuori orario e nel fine settimana.
La piattaforma accetterà anche notifiche volontarie di vulnerabilità, minacce informatiche, incidenti e quasi incidenti, da parte di qualsiasi persona fisica o giuridica e non dei soli fabbricanti. ENISA afferma che questa funzionalità sarà attivata dopo l'11 settembre 2026, quindi non offre la possibilità di una prova a basso rischio prima della scadenza.
07Che cosa potete fare oggi
Rispettare una finestra di 24 ore è un problema operativo, non burocratico, e quasi tutta la preparazione è già possibile oggi. Nulla di quanto segue dipende dall'attivazione della piattaforma.
- Create i vostri account EU Login. Per il referente primario e almeno una riserva. Bastano pochi minuti su ecas.ec.europa.eu ed elimina un passaggio che non vorrete scoprire nel mezzo di un incidente.
- Individuate il vostro CSIRT designato. Dipende dal vostro stabilimento principale nell'Unione o da quello del vostro rappresentante autorizzato se siete stabiliti fuori dall'UE. L'elenco completo dei coordinatori di ENISA deve ancora essere pubblicato: mettete quindi per iscritto il vostro ragionamento e verificatelo rispetto all'elenco quando comparirà.
- Costruite internamente il modulo delle 24 ore. Un breve modello corrispondente ai campi obbligatori del preavviso di ENISA, in modo che il vostro primo invio reale sia una trascrizione e non una stesura.
- Nominate le persone, anche fuori orario. Decidete chi valuta che una notifica sia dovuta, chi la redige e chi la invia. Poiché non esiste alcuna API, l'ultimo passaggio è una persona designata davanti a una tastiera.
- Mantenete un SBOM accurato. Non potete notificare un componente che non sapevate di aver distribuito. Mantenete una distinta base del software e tenetela aggiornata al variare delle release.
- Monitoratelo di continuo. Confrontate i vostri componenti con le fonti di vulnerabilità note, così che una falla attivamente sfruttata emerga in poche ore e non in settimane. Il nostro SBOM e analizzatore di vulnerabilità confronta la vostra distinta base con l'NVD e il database europeo delle vulnerabilità (EUVD).
- Verificate che cosa rientri effettivamente nell'ambito di applicazione. La fase delle 72 ore richiede il tipo di prodotto e la categoria di cui all'allegato III o IV: definite quindi la classificazione prima di averne bisogno. Lo strumento di classificazione risponde a questa domanda, e il matrice di conformità collega la notifica ai più ampi obblighi di gestione delle vulnerabilità dell'Allegato I in cui è inserita.
- Segnate in agenda il webinar. ENISA intende tenerne uno due settimane prima dell'entrata in servizio della piattaforma e pubblicare brevi video didattici in prossimità del lancio.
08Seguitelo alla fonte
Questa pagina riflette la situazione al 13 August 2026. The platform is still moving, and ENISA edits its pages quietly rather than announcing every change, so the "last updated" stamps on the pages below are worth checking directly. ENISA moved these pages to new addresses on 3 August 2026; the links below are the current ones. These are the primary sources; everything above is our reading of them.
- ENISA · Piattaforma di notifica unica; the hub page, with the factsheet, the helpdesk address and links to the guidance. Where the public URL will be announced.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- ENISA · SRP frequently asked questions; legal basis, deadlines, routing, the field table and platform security.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
- ENISA · Guida alla registrazione degli utenti SRP; il flusso di registrazione passo passo per utenti primari e di riserva, con schermate dell'interfaccia.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
- ENISA · Guida all'invio delle notifiche SRP; come si inviano e si aggiornano il preavviso, la notifica a 72 ore e il rapporto finale, e che cosa attiva ciascuno stato.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
- Commissione europea · Obblighi di notifica del CRA; la pagina di policy, comprese le FAQ sull'attuazione del CRA la cui sezione 5 riguarda la notifica.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Commissione europea · Guida all'applicazione del CRA (27 luglio 2026); il punto 9.1 illustra gli obblighi di notifica dei fabbricanti e degli steward open source. La nostra sintesi della guida copre il resto.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; create l'account che la piattaforma utilizzerà. Fatelo ora.ecas.ec.europa.eu/cas/login
Per il testo vincolante, gli articoli da 14 a 17 delineano l'ecosistema della notifica e l'articolo 16 istituisce la piattaforma; leggeteli nel nostro lettore del regolamento. Le date chiave sono monitorate nella pagina stato dei lavori .
09Domande comuni
Cosa devo notificare ai sensi del CRA e con quale rapidità?
Le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del vostro prodotto. Un preavviso entro 24 ore dalla presa di conoscenza, una notifica più completa entro 72 ore e un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva per una vulnerabilità, oppure entro un mese dalla notifica a 72 ore per un incidente grave. Art. 14
Quando iniziano gli obblighi di notifica?
11 settembre 2026; 21 mesi dopo l'entrata in vigore dell'Atto, e ben prima della piena applicazione dell'11 dicembre 2027.
A chi devo notificare?
ENISA e il CSIRT nazionale designato come coordinatore, attraverso la piattaforma di notifica unica istituita ai sensi dell'articolo 16. Il vostro CSIRT dipende dal vostro stabilimento principale nell'Unione o da quello del vostro rappresentante autorizzato se non siete stabiliti nell'UE.
Devo notificare ogni bug o vulnerabilità?
No. Solo le vulnerabilità attivamente sfruttate e gli incidenti gravi sono soggetti a notifica. Le vulnerabilità che scoprite e correggete prima dello sfruttamento vengono gestite attraverso il normale processo di gestione delle vulnerabilità.
La piattaforma di notifica unica di ENISA è già disponibile?
Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its SRP page before go-live. It is scheduled to be operational by 11 September 2026, with user and security testing beforehand.
Posso registrarmi o preparare qualcosa fin d'ora?
Sì, ed è quello che dovreste fare. Create gli account EU Login accounts the platform will use, for a primary reporter and a backup. You cannot register on the platform itself until it goes live, and ENISA advises starting the platform registration only when you actually need to file, because the coordinating CSIRT validates the account after first access rather than ahead of it. ENISA confirmed on 3 August 2026 that this validation is not a prerequisite for meeting the reporting obligation and does not block submission.
Posso inviare le notifiche tramite un'API?
No. ENISA dichiara che in questa fase non sarà fornita alcuna interfaccia di programmazione delle applicazioni. Potete automatizzare il rilevamento e la stesura interni, ma l'invio è una persona che compila un modulo nel browser.
Che cosa deve contenere davvero il preavviso a 24 ore?
Meno di quanto la maggior parte delle persone si aspetti. I campi obbligatori sono il tipo e il livello della notifica, il nome del fabbricante o dello steward, il prodotto, un titolo e, per gli incidenti, se si sospettino atti illeciti o malevoli. L'analisi sostanziale è dovuta a 72 ore, non il primo giorno.
Esiste già un formato standard o un modello per le notifiche?
I campi di dati sono pubblicati. Le FAQ di ENISA indicano quali sono obbligatori nelle fasi delle 24 ore, delle 72 ore e del rapporto finale, quindi potete costruire oggi un modello interno corrispondente. La Commissione potrebbe ancora precisare ulteriormente formato e procedura mediante atti di esecuzione.
Posso ritardare una notifica se la divulgazione fosse rischiosa?
Not the filing. The 24-hour, 72-hour and final-report windows run from awareness and nothing pauses them. You may flag sensitivity: under Article 16(2) you can mark narrow conditions that limit what ENISA sees until the CSIRT releases the full notification. The decision to delay onward dissemination belongs to the receiving CSIRT, under Delegated Regulation (EU) 2026/881, adopted on 11 December 2025.
Devo notificare uno sfruttamento di cui ero già a conoscenza prima di settembre 2026?
No. L'obbligo si applica dal momento in cui venite a conoscenza e non si estende alle vulnerabilità del cui sfruttamento attivo eravate già a conoscenza prima dell'11 settembre 2026.
La notifica si applica ai prodotti che ho immesso sul mercato anni fa?
Sì. L'articolo 69(2) stabilisce che i prodotti immessi sul mercato prima dell'11 dicembre 2027 rientrano nel regolamento solo se modificati in modo sostanziale a partire da tale data, ma l'articolo 69(3) vi deroga espressamente per l'articolo 14: gli obblighi di notifica si applicano a tutti i prodotti rientranti nell'ambito di applicazione immessi sul mercato prima dell'11 dicembre 2027, modificati o meno. Un prodotto può quindi essere escluso dai requisiti di prodotto del CRA pur rientrando nell'ambito della notifica. Art. 69(2)–(3)
Tutto questo si applica ai progetti open source?
Gli steward di software open source hanno obblighi di notifica nella misura in cui sono coinvolti in prodotti con elementi digitali, ai sensi dell'articolo 24(3). La guida della Commissione del 27 luglio 2026 tratta l'open source in modo più dettagliato.
Dove posso ottenere aiuto se sono una piccola impresa?
ENISA gestisce un helpdesk con particolare attenzione alle PMI e anche i CSIRTs designati come coordinatori sono tenuti a fornire supporto helpdesk sugli obblighi dell'articolo 14. ENISA prevede inoltre video didattici e un webinar due settimane prima dell'entrata in servizio della piattaforma.