// PUNTO INFORMATICO — MOBILE & WEB
Vulnerabilità nei prodotti: segnalazione obbligatoria in UE
A partire da oggi viene applicato l’art. 14 del Cyber Resilience Act (CRA). Le aziende che offrono prodotti hardware e software in Europa devono obbligatoriamente segnalare le vulnerabilità attivamente sfruttate e i gravi incidenti di sicurezza all’ENISA (European Network and Information Security Agency). Ciò deve avvenire entro precise scadenze per evitare pesanti sanzioni.
Per le segnalazioni deve essere utilizzata la Single Reporting Platform (SRA) attiva da oggi. I produttori che vendono hardware e software in Europa (anche quelli già sul mercato), tra cui router, modem, dispositivi per smart home (elettrodomestici, serrature, videocamere di sicurezza, baby monitor e altri), smart toys, smartwatch e altri indossabili, sistemi operativi, firewall, VPN, browser, antivirus e password manager, devono segnalare vulnerabilità attivamente sfruttate e gravi incidenti di sicurezza.
Oltre che dall’ENISA, il report verrà ricevuto dal CSIRT (Computer Security Incident Response Team) dello Stato membro (in Italia è il CSIRT dell’Agenzia per la Cybersicurezza Nazionale). L’obbligo verrà esteso ai software open source dall’11 dicembre 2027. La piattaforma consentirà in futuro anche le segnalazioni volontarie.
A fine luglio, la Commissione europea ha pubblicato le linee guida per aiutare produttori, sviluppatori e aziende a rispettare gli obblighi previsti dal CRA. È chiaro che si tratta di un onere piuttosto gravoso, soprattutto per le aziende che sviluppano software e quelle di piccole dimensioni.
In caso di violazione dell’obbligo di segnalazione sono previste sanzioni fino a 15 milioni di euro o il 2,5% del fatturato globale riferito all’anno precedente.