Dall'11 settembre, i produttori di prodotti connessi devono segnalare a ENISA le vulnerabilità attivamente sfruttate entro 24 ore dal momento in cui ne diventano consapevoli. Per i produttori italiani: il NIS2 entra in vigore il 1° ottobre con la stessa cascata di segnalazione. Noi costruiamo il processo, poi monitoriamo ogni giorno — così la prima volta che ricevi un alert, hai già tutto per rispondere.
I produttori di prodotti con elementi digitali — IoT, controller industriali, edge gateway, firmware, software standalone — devono segnalare le vulnerabilità attivamente sfruttate entro 24 ore da quando ne diventano consapevoli. L'obbligo vale per tutti i prodotti già sul mercato UE, non solo per quelli nuovi.
L'Italia ha recepito la NIS2 anticipatamente. Dal 1° ottobre sono obbligatori: segnalazione degli incidenti significativi in 24/72 ore all'ACN, misure di gestione del rischio (Art. 21), accountability personale del management (Art. 20). La struttura di segnalazione è compatibile con quella CRA — un processo ben costruito copre entrambi gli obblighi.
Per i produttori italiani di prodotti connessi: due obblighi di segnalazione, stessa cascata 24/72 ore, tre settimane di distanza.
Articolo 14 CRA — obbligatorio dall'11 settembre 2026. La finestra di 24 ore parte dal momento in cui diventi consapevole dello sfruttamento attivo — indipendentemente dalla conferma interna.
Un file SBOM è il punto di partenza, non di arrivo. L'Articolo 14 richiede che tu possa interrogare il tuo SBOM contro feed di vulnerabilità in tempo reale, determinare quali prodotti sono coinvolti, verificare se c'è sfruttamento attivo, e segnalare a ENISA — tutto entro 24 ore. Un foglio Excel non può farlo alle 2 di notte di venerdì.
Il regolamento è esplicito: "diventa consapevole" è una soglia bassa. Un'autorità di vigilanza del mercato chiederà quale processo di monitoraggio fosse in atto. "Non avevamo un processo" non è una risposta conforme — è la prova che non potevi diventare consapevole, il che è di per sé una violazione.
Due settimane per costruire un processo documentato e testato — con delega firmata, catena di escalation e template ENISA precompilati. Poi continuiamo a monitorare: scansione automatica giornaliera del tuo inventario componenti, alert immediato sulle vulnerabilità attivamente sfruttate, evidenza datata per il tuo fascicolo di audit. Tu sei proprietario del processo. Noi operiamo la sorveglianza.
Il tetto sanzionatorio è €15 milioni o il 2,5% del fatturato globale annuo. Ma il costo operativo arriva prima: una revisione legale d'emergenza per una finestra di 24 ore mancata, la corsa a ricostruire quali componenti fossero in quali prodotti, il danno reputazionale di una segnalazione tardiva. Questo servizio costa meno di un'ora di quella revisione.
Il tuo inventario componenti viene verificato contro il database vulnerabilità OSV e il catalogo CISA delle vulnerabilità attivamente sfruttate (KEV). Ogni giorno. Nessun intervento umano. I risultati sono archiviati con timestamp per il tuo audit trail.
Se un componente che utilizzi è confermato come attivamente sfruttato, il tuo designated reporter riceve un'email entro minuti — non ore, non giorni. L'email specifica il componente, il CVE, quali dei tuoi prodotti sono coinvolti, e cosa fare. Le tue 24 ore partono dal timestamp di quella email.
Un report datato che copre ogni scansione, ogni finding e ogni valutazione del mese. Archiviato nella tua cartella condivisa. Quando un'autorità di vigilanza chiede quale monitoraggio fosse in atto, consegni questo.
Non installi nulla. Non esegui nessun tool. Il monitoraggio gira che tu sia in ufficio, in ferie o a dormire.
requirements.txt, package-lock.json, un manifesto Yocto, o un foglio di calcolo — in qualunque forma esista. Se non hai nulla, anche quello è una risposta, e partiamo da lì. Noi generiamo un SBOM machine-readable e lanciamo la prima scansione vulnerabilità.
Una call di scoping per mappare i tuoi prodotti connessi e chi gestisce gli incidenti. Una sessione di lavoro per percorrere lo scenario delle 2 di notte dall'inizio alla fine — detection, triage, segnalazione 24 ore. Circa tre ore del tempo del tuo team in due settimane.
Il tuo team rivede il pacchetto documenti, firma la delega del designated reporter e lo archivia nel sistema qualità. Il monitoraggio giornaliero va live. Da quel momento: non fai nulla finché qualcosa non scatta — e quando scatta, tutto è già pronto.
Baseline datata: quali componenti spedisci, quali portano vulnerabilità note, quali sono confermate come attivamente sfruttate. Stabilisce il punto di partenza a una data specifica.
Il tuo SBOM in formato CycloneDX, interrogabile contro i feed di vulnerabilità — più la procedura per mantenerlo aggiornato ad ogni release.
La procedura core che definisce i trigger di consapevolezza, gli input di monitoraggio, le decisioni di triage e l'intera cascata di segnalazione. In formato QMS con controllo documenti e firme di approvazione.
Delega firmabile che designa chi può sottomettere una notifica ENISA senza ulteriore approvazione, con i limiti dell'autorità esplicitati. Il documento che evidenzia "senza indebito ritardo."
Una pagina, tre domande. Il componente è in un prodotto a mercato? È attivamente sfruttato? È raggiungibile nella configurazione spedita? Fatto per essere stampato e appeso al muro.
Tre template precompilati per l'early warning 24 ore, la notifica 72 ore e il report finale 14 giorni. Il reporter compila un form, non compone un documento.
Evidenza datata che la procedura è stata testata con le persone che la eseguirebbero realmente, incluse le lacune emerse e come sono state chiuse.
Una sezione drop-in per la tua documentazione tecnica CRA, formattata per affiancarsi alle evidenze CE marking esistenti.
Il registro corrente di ogni scansione, ogni finding, ogni valutazione. Popolato automaticamente dal monitoraggio giornaliero. È così che dimostri di avere avuto la capacità di diventare consapevole.
Lavoriamo un engagement alla volta. La capacità prima dell'11 settembre è limitata a sei engagement.
Il tuo team ha costruito il prodotto. Nessuno ha costruito il processo di risposta agli incidenti. Ti serve un workflow di segnalazione documentato e testato e qualcuno che monitori i feed — prima dell'11 settembre, non dopo la prima sanzione.
Hai prodotti connessi sul mercato UE. Non sei certo che il tuo SBOM sia interrogabile o che il percorso di segnalazione sia chiaro. Questo produce una gap analysis onesta, chiude le criticità, e continua a monitorare dopo la valutazione.
Ti serve l'adeguamento CRA Articolo 14 prima di settembre. Non hai un PSIRT o team di sicurezza dedicato. Questo servizio è progettato per esattamente questa situazione: un processo funzionante in due settimane, con monitoraggio continuo — senza costruire competenze interne che non ti servono ancora.
La struttura di segnalazione CRA (24/72 ore/14 giorni) è compatibile con quella NIS2. Un processo ben costruito copre entrambi gli obblighi. Per i produttori italiani di prodotti connessi, la finestra utile si chiude il 31 agosto — non il 10 settembre.
Un consulente di cybersecurity mappa le tue lacune contro una checklist e ti dice cosa sistemare.
Uno studio legale spiega cosa richiede l'Articolo 14 e a quanto ammontano le sanzioni.
Nessuno dei due costruisce il processo, monitora i tuoi componenti ogni giorno e sveglia il tuo reporter quando qualcosa scatta.
La combinazione che fa funzionare questo servizio è specifica: un fisico che ha trascorso 15 anni nello sviluppo industriale regolamentato —
all'intersezione tra ingegneria, compliance e infrastruttura dati — e che comprende sia cosa richiede operativamente il regolamento
sia come funziona realmente l'ingegneria dei prodotti connessi.
Gli SBOM firmware sono strutturalmente diversi dagli alberi di dipendenze delle web application.
Il triage vulnerabilità per un RTOS embedded è diverso dal patching di un servizio cloud.
Il processo riflette questo.
Tu sei proprietario del processo e delle evidenze. Noi operiamo la sorveglianza giornaliera. Nessun lock-in — la procedura, la delega e i documenti sono tuoi in ogni caso.
Una call di 30 minuti per capire il tuo panorama prodotti, lo stato attuale del tuo SBOM, e se questo è il passo giusto. Nessun impegno. Risposta onesta anche se non è il servizio giusto per te.
Modello AI in un dispositivo medico con scadenza EU AI Act?
RE:MARK SaMD AI Validation →