Da quando partono le 24 ore? L'ancora della consapevolezza

Il momento della consapevolezza, e perché un'autorità lo guarda per primo

L'Art. 14(1) ancora ogni termine a un unico istante: il momento in cui il fabbricante viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave con impatto sulla sicurezza del prodotto. Da quell'istante decorrono le 24 ore del preallarme, e a esso è appesa tutta la catena successiva. È quello che chiamiamo il momento di consapevolezza.

È la prima cosa che un'autorità verifica proprio perché è una data e un'ora precise, non un'interpretazione. Per decidere se un termine è stato rispettato, l'ispettore non deve entrare nel merito della vulnerabilità: gli basta confrontare due orari — l'istante della consapevolezza e l'istante del deposito. Tutto il resto discende da quella sottrazione.

Un orologio tecnico che si vince o si perde sull'organizzazione

Una volta compresa l'ancora, il problema si sposta di lato: dall'area tecnica a quella organizzativa. Le 24 ore non si consumano nel capire il bug — si consumano nell'accorgersi, in tempo, che qualcuno ti ha scritto. Perché quella finestra non si chiuda da sola servono tre cose: un canale di ricezione unico e presidiato; una regola scritta su chi valuta la segnalazione e con quali criteri; e una catena di reperibilità con soglie orarie e sostituti nominati.

Le aziende che abbiamo visto in difficoltà non mancavano di competenza: i loro ingegneri avrebbero analizzato la vulnerabilità in un'ora. Mancavano di reperibilità. La segnalazione è arrivata su un canale che nessuno guardava, oppure è finita a una persona in ferie nel weekend senza un sostituto dietro. Il termine è saltato non nel merito, ma sul turno.

Fissare e documentare l'istante, perché regga mesi dopo

Sapere che il termine decorre dalla consapevolezza vale poco se non si può provare quando la consapevolezza c'è stata. L'istante va fissato nel momento in cui accade, non ricostruito dopo a memoria. In pratica significa una ricezione che marca automaticamente l'orario di ogni segnalazione in arrivo, e una voce di registro a integrità verificabile — che annota l'arrivo, l'ora, la fonte e chi l'ha presa in carico, e che nessuno possa poi modificare senza che l'alterazione sia rilevabile.

Il senso dell'integrità verificabile è la difendibilità. A mesi di distanza, davanti a un ispettore, non vuoi discutere su quando hai saputo: vuoi un documento prodotto sul momento, la cui data non possa essere stata spostata avanti o indietro per adattarsi al racconto. Una ricezione con marca temporale e un registro a scrittura unica trasformano un ricordo contestabile in un fatto.

Le 23:40 di sabato: l'orologio, passo per passo

Una segnalazione arriva all'indirizzo pubblico alle 23:40 di sabato: un ricercatore scrive che una vulnerabilità del tuo prodotto è sfruttata in rete. Quella marca temporale — 23:40 di sabato — è l'istante che dovrai difendere. Le 24 ore non aspettano che l'ufficio riapra: il preallarme è dovuta entro le 23:40 di domenica.

Segui l'orologio. Se la catena di reperibilità funziona, alle 23:45 la segnalazione è marcata e registrata; entro le 00:30 chi è di turno ha confermato che esistono prove attendibili dello sfruttamento; entro la tarda mattinata di domenica il preallarme è depositata, con quattordici ore di margine. Se invece il messaggio resta non letto fino a lunedì alle 09:00, la consapevolezza resta comunque fissata alle 23:40 di sabato — la legge non sposta l'ancora — e sono passate trentatré ore, nove oltre il termine, prima ancora che qualcuno abbia letto una riga.

L'ancora e il registro sono la stessa disciplina

L'istante della consapevolezza è la prima voce di una catena di prove che attraversa tutta la vita di una segnalazione: consapevolezza, qualificazione, preallarme, aggiornamento a 72 ore, relazione finale. Ognuna ha il proprio termine, contato dall'ancora o dal passaggio precedente, e ognuna vale come difesa solo se è stata registrata quando è accaduta. Il registro con marca temporale non è burocrazia — è ciò che rende dimostrabile ogni termine successivo.

Le catene di termini esatte — quale si applica a una vulnerabilità sfruttata e quale a un incidente grave, e come cambiano le relazioni finali — sono descritte nel nostro pilastro sull'Art. 14. Leggi l'ancora e le catene insieme: la prima ti dice quando parte il conteggio, la seconda verso cosa scorre.