01Cosa deve essere notificato
L'Art. 14 del Cyber Resilience Act crea due obblighi di notifica per i fabbricanti di prodotti con elementi digitali. Sono più circoscritti di quanto sembrino a prima vista: i bug ordinari e le patch di routine non rientrano nell'ambito di applicazione. Art. 14
- Vulnerabilità attivamente sfruttate; una vulnerabilità del vostro prodotto per la quale esistono prove attendibili che un attore malevolo l'abbia sfruttata in un sistema senza l'autorizzazione del proprietario. Una vulnerabilità che scoprite e correggete prima che venga sfruttata è gestita attraverso il vostro normale processo di gestione delle vulnerabilità, non questo canale di notifica.
- Incidenti gravi; un incidente che pregiudica, o è in grado di pregiudicare, la capacità del prodotto di proteggere la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati o delle funzioni. I criteri di gravità sono fissati all'articolo 14(5).
Gli obblighi non riguardano soltanto i fabbricanti commerciali. Responsabili di software open source hanno propri obblighi di notifica nella misura in cui sono coinvolti in prodotti con elementi digitali. Art. 24(3)
Se una debolezza della sicurezza nel vostro prodotto è attivamente sfruttata, o un incidente di sicurezza lo ha gravemente compromesso, il conto alla rovescia dell'Art. 14 inizia. Tutto il resto rientra nella gestione quotidiana delle vulnerabilità.
Una vulnerabilità del cui sfruttamento attivo eravate già a conoscenza prima che l'obbligo di notifica divenga applicabile, ossia prima dell' 11 settembre 2026, non deve essere notificata. L'obbligo si ricollega al momento in cui venite a conoscenza, quindi riguarda ciò che apprendete da quella data in poi e nulla di precedente.
È questo il punto che sorprende molti, e vale la pena essere precisi. Articolo 69(2) fissa la regola transitoria generale: i prodotti immessi sul mercato prima dell' 11 dicembre 2027 rientrano nel regolamento solo se sono modificati in modo sostanziale a partire da tale data. Letto da solo, ciò suggerisce che il vostro catalogo esistente resti intoccato.
Articolo 69(3) ne estrae però subito l'articolo 14. In forza di una deroga espressa, gli obblighi di notifica si applicano a tutti i prodotti con elementi digitali rientranti nell'ambito di applicazione del regolamento che sono stati immessi sul mercato prima dell'11 dicembre 2027, a prescindere dal fatto che siano mai modificati.
Le due regole si muovono quindi su assi diversi. Un prodotto venduto nel 2025 può non richiedere mai la marcatura CE ai sensi del CRA, ma se una sua vulnerabilità viene attivamente sfruttata e ne venite a conoscenza a partire dall'11 settembre 2026, è soggetta a notifica. Il vostro parco installato rientra nell'ambito della notifica anche quando è escluso dai requisiti di prodotto. La Commissione giunge alla stessa conclusione nella sezione 5.3 delle sue FAQ sull'attuazione del CRA. Art. 69(2)–(3)
02Le tre scadenze
Ogni notifica si articola in tre fasi, calcolate dal momento in cui venite a conoscenza della vulnerabilità sfruttata o dell'incidente grave. Le finestre sono strette, ed è per questo che la preparazione conta. Art. 14(2)–(4)
- Entro 24hPreavviso. Una prima notifica del fatto che si è verificata una vulnerabilità attivamente sfruttata o un incidente grave, con l'indicazione, per gli incidenti, se si sospetti che sia causato da atti illeciti o malevoli.
- Entro 72hNotifica di vulnerabilità / incidente. Un resoconto più completo: la natura generale della vulnerabilità e dell'exploit, una valutazione iniziale e le misure correttive o di mitigazione adottate, oltre a quelle che gli utenti possono adottare.
- Rapporto finaleRapporto finale. Per una vulnerabilità, entro e non oltre 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Per un incidente grave, entro un mese dalla notifica a 72 ore. Espone la descrizione completa, la gravità, l'impatto e la correzione applicata.
Notate l'asimmetria nell'ultima riga: per le vulnerabilità il conteggio parte dall'esistenza di una correzione, per gli incidenti dalla notifica precedente. Sono meccanismi diversi e conviene inserirli separatamente nel vostro runbook.
03Quando inizia
Gli obblighi di notifica sono la prima parte principale del CRA ad entrare in vigore. Mentre la maggior parte delle disposizioni si applica dall'11 dicembre 2027, l'Art. 14 si applica dal 11 settembre 2026; 21 mesi dopo l'entrata in vigore del regolamento. ENISA prevede che la piattaforma di notifica unica sia operativa entro la stessa data. Art. 71
La piattaforma non è ancora attiva e il suo URL pubblico non è stato pubblicato. ENISA dichiara che sarà comunicato sulla sua pagina dedicata alla piattaforma di notifica unica prima dell'entrata in servizio. In precedenza sono previsti test utente e di sicurezza, con il coinvolgimento della rete dei CSIRTs.
ENISA ha però pubblicato una scheda informativa, una FAQ ampliata e due pagine di guida passo passo su registrazione e invio delle notifiche, tutte aggiornate da ultimo il 31 luglio 2026. Brevi video didattici e un webinar due settimane prima dell' entrata in servizio devono ancora arrivare. ENISA indica che le guide pubblicate sono soggette a modifiche.
Mancano ancora due elementi: l' elenco dei CSIRTs nazionali designati come coordinatori, che ENISA dichiara di voler fornire in una fase successiva, e le standard armonizzati alla base della gestione delle vulnerabilità, attese intorno al 30 agosto 2026 e non ancora citate nella Gazzetta ufficiale.
A differenza della marcatura CE, che si completa una volta sola prima di immettere un prodotto sul mercato, la notifica è un obbligo vivo e continuativo che inizia a settembre 2026 e può essere attivato in qualsiasi momento successivo. Essere pronti non è un progetto una tantum. Costruite ora il processo interno di rilevamento e notifica; l'obbligo si applica dall'11 settembre 2026, che gli strumenti siano pronti o meno.
04A chi notificare
Le notifiche vanno a ENISA e al CSIRT designato come coordinatore, attraverso un unico punto di accesso anziché con invii separati a ciascuna autorità nazionale. Tale punto di accesso è la piattaforma di notifica unica, che ENISA istituisce, gestisce e mantiene ai sensi dell'articolo 16. Art. 14 · 16
Il CSIRT competente dipende dal vostro stabilimento principale nell'Unione o, se non siete stabiliti nell'UE, da quello del vostro rappresentante autorizzato. Il CSIRT ricevente trasmette la notifica ai CSIRTs degli Stati membri in cui il prodotto è disponibile e, se necessario, alle autorità di vigilanza del mercato. Art. 14(7) · 18
Il supporto esiste su entrambi i fronti. ENISA gestisce un helpdesk, con particolare attenzione alle PMI, e i CSIRTs designati come coordinatori sono tenuti a fornire a loro volta supporto helpdesk sugli obblighi dell'articolo 14. ENISA inoltre inserisce le vulnerabilità corrette nel database europeo delle vulnerabilità, e pubblica ogni due anni una relazione tecnica sulle tendenze, la prima attesa entro 24 mesi dall'inizio degli obblighi di notifica. Art. 17(6)
La diffusione di una vulnerabilità notificata può essere sospesa dal CSIRT, ma non da voi
Il CSIRT ricevente può ritardare o sospendere la trasmissione per motivi giustificati di cibersicurezza, per il periodo strettamente necessario; ad esempio quando una vulnerabilità è oggetto di una procedura di divulgazione coordinata. La Commissione ne ha precisato le condizioni in un atto delegato adottato l' 11 dicembre 2025Quando un CSIRT trattiene una notifica deve informarne immediatamente ENISA, con una giustificazione e l'indicazione di quando procederà alla diffusione.
Separatamente, in circostanze particolarmente eccezionali potete contrassegnare una delle condizioni ristrette previste dall' Articolo 16(2) nella vostra notifica a 72 ore: che lo sfruttamento sia limitato allo Stato membro del vostro CSIRT, che un'ulteriore diffusione sarebbe contraria agli interessi essenziali di tale Stato membro, o che la diffusione comporti un rischio elevato e imminente per la cibersicurezza. In tal caso ENISA riceve solo informazioni limitate (che è stata effettuata una notifica, informazioni generali sul prodotto, la natura generale dell'exploit e il fatto che siano stati invocati motivi di sicurezza) finché il CSIRT non rilascia la notifica completa.
Nessuno dei due meccanismi sospende il vostro conteggio. Non potete ritardare l'invio; le finestre di 24 ore, 72 ore e del rapporto finale decorrono dal momento della presa di conoscenza. Quello che potete fare è segnalare la sensibilità, il che limita chi vede il contenuto. La decisione di trattenere la diffusione spetta al CSIRT ricevente.
05Registrarsi sulla piattaforma
La guida di ENISA del 31 luglio 2026 è il primo materiale a mostrare le schermate reali. Non potete registrarvi sulla piattaforma stessa finché non entra in servizio, ma potete decidere fin d'ora chi deterrà gli account e preparare le relative credenziali, e dovreste conoscere il flusso prima di affrontarlo con un conteggio di 24 ore in corso.
Nominate due persone prima di averne bisogno
La piattaforma assegna a ciascun fabbricante due tipi di account utente, e potete decidere oggi chi li ricoprirà. Un rappresentante primario si registra per primo e crea la voce del fabbricante sulla piattaforma. Tale persona invita poi un rappresentante secondario , che ricopre un ruolo di riserva per lo stesso fabbricante e può effettuare invii per suo conto. Entrambi sono persone fisiche designate nella vostra azienda. Poiché l'invio è manuale, un unico referente designato che sia in ferie, addormentato o che abbia lasciato l'azienda è un rischio operativo concreto: trattate quindi il secondo posto come necessario e non come facoltativo.
EU Login è la credenziale, ed entrambe le persone possono crearlo già oggi
Gli account della piattaforma si autenticano tramite EU Login, il servizio di accesso condiviso della Commissione europea utilizzato nei suoi sistemi online. ENISA dichiara che l'account può essere creato in anticipo, ed è la cosa più utile che potete fare in questo momento. Createne uno per il rappresentante primario e uno per il secondario su ecas.ec.europa.eu, utilizzando indirizzi e-mail aziendali che esisteranno ancora fra un anno. La Commissione spiega che cos'è EU Login e come si inserisce nel suo più ampio quadro di identità, nelle sue pagine sull' identità digitale affidabile .
Il flusso di registrazione
Al primo accesso alla piattaforma selezionate il vostro ruolo, scegliete il vostro CSIRT designato da un menu a discesa, vi autenticate tramite EU Login, leggete e accettate l'accordo legale, confermate i vostri dati personali precompilati (nome, cognome, e-mail, denominazione legale), quindi inserite denominazione, indirizzo e informazioni aggiuntive del fabbricante. L'omissione di un campo obbligatorio del fabbricante blocca il flusso. Al completamento il vostro account diventa attivo nel ruolo "AR Active", ricevete un'e-mail di conferma e l'entità fabbricante viene creata nella piattaforma.
Il secondario si aggiunge tramite invito via e-mail da parte del primario, conferma i dati personali e del fabbricante precompilati ed è registrato come utente di riserva per lo stesso fabbricante. Tale invito scade dopo 7 giorni, dopodiché il record viene contrassegnato come "Invitation Expired" e occorre inviarne uno nuovo. Configurate la riserva nella stessa sessione del primario; un invito scaduto scoperto nel mezzo di un incidente è un problema evitabile.
Il CSIRT verifica manualmente il vostro rappresentante, ma ciò non vi impedisce di notificare
Qualcuno deve confermare che una determinata persona possa davvero notificare per conto di un determinato fabbricante, e tale verifica spetta al CSIRT designato come coordinatore. È un passaggio manuale, la procedura varia da un CSIRT all'altro e ciascun CSIRT gestisce il proprio approccio. Ed è essenziale notarlo: avviene dopo il vostro primo accesso alla piattaforma e procede in parallelo con la vostra notifica: ENISA dichiara che la convalida non incide sulla vostra capacità di inviare notifiche. Un account non convalidato può comunque effettuare l'invio entro la finestra di 24 ore.
È anche per questo che ENISA consiglia di registrarsi e avviare la convalida solo quando avete effettivamente bisogno di notificare, anziché preregistrare l'intero mercato e sommergere i CSIRTs di verifiche ipotetiche. La preparazione da fare in anticipo riguarda gli account EU Login e la decisione su chi occuperà i due posti, non la registrazione sulla piattaforma.
La guida di ENISA è scritta per gli "Assigned Representatives" (AR), con utenti primari e utenti di riserva. Si tratta di un ruolo di account della piattaformaCiò non è il rappresentante autorizzato nominato con mandato scritto ai sensi dell'articolo 18 del CRA. Potete avere il primo senza il secondo. Tenete le due cose distinte nella vostra procedura interna, altrimenti finirete per discutere di una nomina giuridica quando tutto ciò che vi serve è un secondo accesso.
06Inviare una notifica
La notifica avviene da una dashboard. Create una notifica e poi integrate lo stesso record a ogni fase, anziché inviare tre cose separate. Ogni fase ha la propria scheda e ciascuna può essere prima salvata come bozza; le bozze sono visibili solo a voi.
- PreavvisoAvviate una nuova notifica dalla dashboard, compilate i campi obbligatori e selezionate un fabbricante esistente o aggiungetene uno. All'invio viene trasmessa al vostro CSIRT designato e, automaticamente, a ENISA. Le conferme via e-mail e tramite avviso arrivano a voi, al CSIRT e a ENISA.
- 72 oreDisponibile solo se esiste già un preavviso. Aprite la stessa notifica e completate la scheda delle 72 ore. ENISA la riceve automaticamente a meno che non invochiate le condizioni dell'articolo 16(2), nel qual caso il record viene contrassegnato e la visibilità di ENISA è limitata finché il CSIRT non lo rilascia.
- Rapporto finaleDisponibile solo se esistono entrambe le fasi precedenti. Gli altri CSIRTs interessati ricevono il rapporto finale solo dopo che il vostro CSIRT coordinatore lo ha diffuso manualmente.
Che cosa è obbligatorio, e quando
ENISA ha pubblicato quali campi sono obbligatori in ciascuna fase. La tabella è un utile correttivo a un'ipotesi diffusa: il preavviso a 24 ore è un allarme, non un'indagine.
- A 24 ore; il tipo e il livello della notifica, il nome del fabbricante o dello steward, il prodotto e un titolo. Per gli incidenti, se si sospettino atti illeciti o malevoli. Gli Stati membri in cui il prodotto è disponibile sono richiesti solo se ne siete già a conoscenza.
- A 72 ore; la natura generale della vulnerabilità e dell'exploit, le misure correttive o di mitigazione adottate e le misure che gli utenti possono adottare. Per gli incidenti, quando è stato rilevato e quando si è verificato, oltre a una valutazione iniziale. La sensibilità si segnala in questa fase.
- Al rapporto finale; la descrizione completa, la gravità e l'impatto, la data in cui una misura correttiva è divenuta disponibile e il dettaglio dell'aggiornamento di sicurezza. Per gli incidenti, la probabile causa principale e le mitigazioni in corso.
Tra i campi facoltativi che conviene comunque registrare figurano il CVE ID e il EUVD ID, entrambi disponibili fin dalla prima fase.
Le modifiche e il punto di non ritorno
Una notifica inviata può essere aggiornata e la piattaforma avvisa automaticamente il vostro CSIRT, ENISA e gli eventuali CSIRTs che l'hanno già ricevuta tramite diffusione. Valgono due limiti: una notifica chiusa non può essere aggiornata e il record diventa non modificabile una volta inviato il rapporto finale.
ENISA dichiara che in questa fase non sarà fornita alcuna interfaccia di programmazione delle applicazioni. Potete automatizzare internamente rilevamento, triage e stesura, ma l'invio vero e proprio è una persona che compila un modulo nel browser. Pianificate deliberatamente questo passaggio di consegne e assicuratevi che più di una persona possa eseguirlo fuori orario e nel fine settimana.
La piattaforma accetterà anche notifiche volontarie di vulnerabilità, minacce informatiche, incidenti e quasi incidenti, da parte di qualsiasi persona fisica o giuridica e non dei soli fabbricanti. ENISA afferma che questa funzionalità sarà attivata dopo l'11 settembre 2026, quindi non offre la possibilità di una prova a basso rischio prima della scadenza.
07Che cosa potete fare oggi
Rispettare una finestra di 24 ore è un problema operativo, non burocratico, e quasi tutta la preparazione è già possibile oggi. Nulla di quanto segue dipende dall'attivazione della piattaforma.
- Create i vostri account EU Login. Per il referente primario e almeno una riserva. Bastano pochi minuti su ecas.ec.europa.eu ed elimina un passaggio che non vorrete scoprire nel mezzo di un incidente.
- Individuate il vostro CSIRT designato. Dipende dal vostro stabilimento principale nell'Unione o da quello del vostro rappresentante autorizzato se siete stabiliti fuori dall'UE. L'elenco completo dei coordinatori di ENISA deve ancora essere pubblicato: mettete quindi per iscritto il vostro ragionamento e verificatelo rispetto all'elenco quando comparirà.
- Costruite internamente il modulo delle 24 ore. Un breve modello corrispondente ai campi obbligatori del preavviso di ENISA, in modo che il vostro primo invio reale sia una trascrizione e non una stesura.
- Nominate le persone, anche fuori orario. Decidete chi valuta che una notifica sia dovuta, chi la redige e chi la invia. Poiché non esiste alcuna API, l'ultimo passaggio è una persona designata davanti a una tastiera.
- Mantenete un SBOM accurato. Non potete notificare un componente che non sapevate di aver distribuito. Mantenete una distinta base del software e tenetela aggiornata al variare delle release.
- Monitoratelo di continuo. Confrontate i vostri componenti con le fonti di vulnerabilità note, così che una falla attivamente sfruttata emerga in poche ore e non in settimane. Il nostro SBOM e analizzatore di vulnerabilità confronta la vostra distinta base con l'NVD e il database europeo delle vulnerabilità (EUVD).
- Verificate che cosa rientri effettivamente nell'ambito di applicazione. La fase delle 72 ore richiede il tipo di prodotto e la categoria di cui all'allegato III o IV: definite quindi la classificazione prima di averne bisogno. Lo strumento di classificazione risponde a questa domanda, e il matrice di conformità collega la notifica ai più ampi obblighi di gestione delle vulnerabilità dell'Allegato I in cui è inserita.
- Segnate in agenda il webinar. ENISA intende tenerne uno due settimane prima dell'entrata in servizio della piattaforma e pubblicare brevi video didattici in prossimità del lancio.
08Seguitelo alla fonte
Questa pagina riflette la situazione al 6 agosto 2026. La piattaforma è ancora in evoluzione ed ENISA modifica le proprie pagine in sordina anziché annunciare ogni cambiamento: conviene quindi controllare direttamente le indicazioni di "ultimo aggiornamento" sulle pagine elencate di seguito. Queste sono le fonti primarie; tutto quanto precede è la nostra lettura di esse.
- ENISA · Piattaforma di notifica unica; la pagina principale, con la scheda informativa e una FAQ dettagliata su base giuridica, scadenze, instradamento, tabella dei campi e sicurezza della piattaforma. È qui che sarà annunciato l'URL pubblico.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- ENISA · Guida alla registrazione degli utenti SRP; il flusso di registrazione passo passo per utenti primari e di riserva, con schermate dell'interfaccia.enisa.europa.eu/cra-srp-ar-user-registration
- ENISA · Guida all'invio delle notifiche SRP; come si inviano e si aggiornano il preavviso, la notifica a 72 ore e il rapporto finale, e che cosa attiva ciascuno stato.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
- Commissione europea · Obblighi di notifica del CRA; la pagina di policy, comprese le FAQ sull'attuazione del CRA la cui sezione 5 riguarda la notifica.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Commissione europea · Guida all'applicazione del CRA (27 luglio 2026); il punto 9.1 illustra gli obblighi di notifica dei fabbricanti e degli steward open source. La nostra sintesi della guida copre il resto.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; create l'account che la piattaforma utilizzerà. Fatelo ora.ecas.ec.europa.eu/cas/login
Per il testo vincolante, gli articoli da 14 a 17 delineano l'ecosistema della notifica e l'articolo 16 istituisce la piattaforma; leggeteli nel nostro lettore del regolamento. Le date chiave sono monitorate nella pagina stato dei lavori .
09Domande comuni
Cosa devo notificare ai sensi del CRA e con quale rapidità?
Le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del vostro prodotto. Un preavviso entro 24 ore dalla presa di conoscenza, una notifica più completa entro 72 ore e un rapporto finale entro 14 giorni dalla disponibilità di una misura correttiva per una vulnerabilità, oppure entro un mese dalla notifica a 72 ore per un incidente grave. Art. 14
Quando iniziano gli obblighi di notifica?
11 settembre 2026; 21 mesi dopo l'entrata in vigore dell'Atto, e ben prima della piena applicazione dell'11 dicembre 2027.
A chi devo notificare?
ENISA e il CSIRT nazionale designato come coordinatore, attraverso la piattaforma di notifica unica istituita ai sensi dell'articolo 16. Il vostro CSIRT dipende dal vostro stabilimento principale nell'Unione o da quello del vostro rappresentante autorizzato se non siete stabiliti nell'UE.
Devo notificare ogni bug o vulnerabilità?
No. Solo le vulnerabilità attivamente sfruttate e gli incidenti gravi sono soggetti a notifica. Le vulnerabilità che scoprite e correggete prima dello sfruttamento vengono gestite attraverso il normale processo di gestione delle vulnerabilità.
La piattaforma di notifica unica di ENISA è già disponibile?
Non al 6 agosto 2026. La piattaforma non è attiva e il suo URL pubblico non è stato pubblicato; ENISA lo annuncerà sulla propria pagina SRP prima dell'entrata in servizio. È previsto che sia operativa entro l'11 settembre 2026, con test utente e di sicurezza in precedenza.
Posso registrarmi o preparare qualcosa fin d'ora?
Sì, ed è quello che dovreste fare. Create gli account EU Login che la piattaforma utilizzerà, per un referente primario e una riserva. Non potete registrarvi sulla piattaforma stessa finché non entra in servizio ed ENISA consiglia di avviare la registrazione sulla piattaforma solo quando avete effettivamente bisogno di notificare, perché il CSIRT coordinatore convalida l'account dopo il primo accesso e non prima. Tale convalida non blocca l'invio.
Posso inviare le notifiche tramite un'API?
No. ENISA dichiara che in questa fase non sarà fornita alcuna interfaccia di programmazione delle applicazioni. Potete automatizzare il rilevamento e la stesura interni, ma l'invio è una persona che compila un modulo nel browser.
Che cosa deve contenere davvero il preavviso a 24 ore?
Meno di quanto la maggior parte delle persone si aspetti. I campi obbligatori sono il tipo e il livello della notifica, il nome del fabbricante o dello steward, il prodotto, un titolo e, per gli incidenti, se si sospettino atti illeciti o malevoli. L'analisi sostanziale è dovuta a 72 ore, non il primo giorno.
Esiste già un formato standard o un modello per le notifiche?
I campi di dati sono pubblicati. Le FAQ di ENISA indicano quali sono obbligatori nelle fasi delle 24 ore, delle 72 ore e del rapporto finale, quindi potete costruire oggi un modello interno corrispondente. La Commissione potrebbe ancora precisare ulteriormente formato e procedura mediante atti di esecuzione.
Posso ritardare una notifica se la divulgazione fosse rischiosa?
Non l'invio. Le finestre di 24 ore, 72 ore e del rapporto finale decorrono dal momento della presa di conoscenza e nulla le sospende. Potete segnalare la sensibilità: ai sensi dell'articolo 16(2) potete contrassegnare condizioni ristrette che limitano ciò che ENISA vede finché il CSIRT non rilascia la notifica completa. La decisione di ritardare la trasmissione spetta al CSIRT ricevente, ai sensi dell'atto delegato adottato l'11 dicembre 2025.
Devo notificare uno sfruttamento di cui ero già a conoscenza prima di settembre 2026?
No. L'obbligo si applica dal momento in cui venite a conoscenza e non si estende alle vulnerabilità del cui sfruttamento attivo eravate già a conoscenza prima dell'11 settembre 2026.
La notifica si applica ai prodotti che ho immesso sul mercato anni fa?
Sì. L'articolo 69(2) stabilisce che i prodotti immessi sul mercato prima dell'11 dicembre 2027 rientrano nel regolamento solo se modificati in modo sostanziale a partire da tale data, ma l'articolo 69(3) vi deroga espressamente per l'articolo 14: gli obblighi di notifica si applicano a tutti i prodotti rientranti nell'ambito di applicazione immessi sul mercato prima dell'11 dicembre 2027, modificati o meno. Un prodotto può quindi essere escluso dai requisiti di prodotto del CRA pur rientrando nell'ambito della notifica. Art. 69(2)–(3)
Tutto questo si applica ai progetti open source?
Gli steward di software open source hanno obblighi di notifica nella misura in cui sono coinvolti in prodotti con elementi digitali, ai sensi dell'articolo 24(3). La guida della Commissione del 27 luglio 2026 tratta l'open source in modo più dettagliato.
Dove posso ottenere aiuto se sono una piccola impresa?
ENISA gestisce un helpdesk con particolare attenzione alle PMI e anche i CSIRTs designati come coordinatori sono tenuti a fornire supporto helpdesk sugli obblighi dell'articolo 14. ENISA prevede inoltre video didattici e un webinar due settimane prima dell'entrata in servizio della piattaforma.