Il «no» documentato vale quanto il «sì»: come si difende un fabbricante

L'asimmetria: l'autorità verifica il processo, non solo l'esito

Quando un ispettore esamina un caso, non si chiede «hai segnalato o no?». Si chiede se eri nelle condizioni di decidere e se hai deciso in modo tracciabile. È il punto che quasi tutti mancano: un fascicolo difendibile con un «no» scritto batte sempre un «sì» non documentato, perché il primo dimostra un processo che funziona e il secondo dimostra solo fortuna.

Un fabbricante che ha segnalato tutto, per prudenza, ma non sa spiegare perché, è in una posizione più debole di uno che non ha segnalato nulla perché — caso per caso — nessun evento superava la soglia, e sa dimostrarlo. L'obbligo non è segnalare: è qualificare correttamente ogni evento e agire di conseguenza. Gli obblighi di segnalazione dell'Art. 14 presuppongono una valutazione; la valutazione è ciò che l'autorità ispeziona.

Cosa contiene un buon fascicolo

Un fascicolo che regge non è un documento lungo. È un documento breve che risponde a sei domande senza giri di parole. L'evento: cosa è arrivato e attraverso quale canale. Il momento della consapevolezza: il timestamp da cui decorre ogni termine, registrato quando è accaduto. La qualificazione: sfruttata o no, incidente o no — con accanto l'articolo applicato, perché è quell'articolo a fissare le scadenze.

Poi la motivazione: due o tre frasi sul perché l'evento è stato qualificato così. La prova: il log, la mail, l'output dello scanner, la nota dell'analista — ciò su cui la motivazione si regge. E infine i termini calcolati: anche quando la conclusione è «nessun obbligo», scrivere le scadenze che avresti affrontato dimostra che sapevi dell'orologio. Se salta il passaggio della qualificazione non si calcola nulla, ed è il difetto più frequente nei processi interni che ci vengono mostrati.

L'autorità può chiedere con poco preavviso

L'autorità di vigilanza del mercato può richiedere la documentazione che dimostra la conformità, e può farlo con poco preavviso e senza dover spiegare il perché. Un fascicolo difensivo esiste proprio perché tu risponda con ciò che già c'è, invece di ricostruire mesi di decisioni sotto pressione — una ricostruzione che, per quanto onesta, si legge sempre come postuma.

La differenza tra le due situazioni non è la qualità della tua ingegneria. È se la decisione è stata catturata nel momento in cui è stata presa. Un fascicolo scritto in giornata è una prova; lo stesso contenuto digitato la settimana dell'ispezione è un racconto, e gli ispettori la differenza la conoscono.

Diligenza e cooperazione riducono l'esposizione

Le sanzioni non sono teoriche. La violazione degli obblighi degli Art. 13 e 14 può arrivare a quindici milioni di euro o al 2,5% del fatturato annuo mondiale, se superiore. Ma il regolamento chiede alle autorità di ponderare la natura e la gravità della violazione, se colposa o dolosa, e il grado di cooperazione dimostrato. Un processo documentato è la forma concreta che assume la «diligenza».

Due fabbricanti con la stessa segnalazione mancata non vengono trattati allo stesso modo. Quello che può dimostrare di aver valutato l'evento, di essere arrivato in buona fede a una conclusione difendibile e di aver cooperato una volta emerso l'errore, argomenta da una posizione che l'altro non ha. Il fascicolo non previene soltanto l'omissione — modella la risposta quando qualcosa va storto lo stesso.

Un esempio concreto: la dipendenza giudicata «non sfruttata»

Uno scanner segnala una vulnerabilità nota in una libreria di terzi inclusa nel tuo prodotto. L'ingegnere la esamina e conclude che non è sfruttabile nella tua configurazione: il percorso di codice vulnerabile non viene mai raggiunto. La conclusione è probabilmente giusta. Non registrata da nessuna parte, tra sei mesi non vale nulla.

Ecco l'unico paragrafo che reggerebbe. «CVE-XXXX-NNNN segnalata dalla scansione SBOM il 5 agosto 2026, 09:12, nella libreria X v2.3, componente del prodotto Y. Valutata in giornata: nessuna prova attendibile di sfruttamento reale; la funzione interessata non è invocata nella nostra build (call graph allegato). Qualificata come vulnerabilità non sfruttata ai sensi dell'Art. 3(42): obbligo di preallarme dell'Art. 14 non attivato. Patch pianificata per la prossima release di manutenzione. Revisore: [nome].» Basta questo. Nomina l'evento, la consapevolezza con il suo timestamp, la qualificazione con il suo articolo, la motivazione, la prova, e il fatto che l'orologio delle scadenze è stato consapevolmente controllato e trovato non partito.

Moltiplica quel paragrafo per la manciata di eventi che attraversano il tuo canale ogni mese e avrai un fascicolo difensivo che costa minuti da tenere e risponde a un'ispezione senza una sola ricostruzione. Il «no» è documentato, e un «no» documentato vale quanto un «sì».