Le domande che ci fanno prima di firmare

Gli obblighi di segnalazione dell'Art. 14 si applicano dall'11 settembre 2026. Gli altri obblighi del fabbricante e i requisiti essenziali dell'Allegato I si applicano dall'11 dicembre 2027. Se hai già prodotti sul mercato, la segnalazione delle vulnerabilità sfruttate vale dalla prima data, indipendentemente da quando il prodotto è stato immesso.

Due categorie: le vulnerabilità attivamente sfruttate contenute nel prodotto e gli incidenti gravi con impatto sulla sicurezza del prodotto. Non vanno segnalate le vulnerabilità solo scoperte o divulgate senza prove di sfruttamento, né i malfunzionamenti privi di rilievo di sicurezza. La differenza va documentata: un «no» motivato vale come diligenza, un «no» silenzioso no.

Elementi attendibili che un soggetto abbia sfruttato la vulnerabilità in un sistema senza autorizzazione: registri di esecuzione non autorizzata, exploit funzionante in circolazione, conferma da un CSIRT o da un cliente con evidenze. Il sospetto teorico non basta; la conferma di un solo caso reale sì.

Sì. Dopo la notifica alle autorità il fabbricante informa senza indebito ritardo gli utenti del prodotto interessato e, quando opportuno, indica le misure correttive o di attenuazione che possono adottare. L'avviso va conservato: è la prova che il mercato è stato informato.

Va segnalata al manutentore del componente, oltre agli obblighi verso le autorità se il presupposto dello sfruttamento è integrato. Nell'applicativo il task compare automaticamente quando la distinta base del prodotto contiene componenti di terzi, con il contatto del manutentore già a disposizione.

No, ed è una scelta. Il deposito sulla Single Reporting Platform di ENISA è un atto del fabbricante, con le sue credenziali EU Login e la sua firma. L'applicativo prepara il testo definitivo, lo blocca con marca temporale, guida campo per campo nel formulario e conserva la ricevuta che carichi. Nessun intermediario si mette tra te e l'autorità.

Mezza giornata. Registri i prodotti, anche importandoli da CSV; designi i referenti con i gradi di escalation e le soglie di avviso; pubblichi il modulo pubblico di segnalazione; crei le credenziali EU Login. La modalità esercitazione consente di provare l'intero flusso senza produrre atti con valore legale.

Il termine decorre dal momento di consapevolezza, che nel triage si registra con data e ora esatte. Da quel momento il case mostra il tempo residuo, la barra del tempo trascorso e i solleciti a −12, −8, −4 e −1 ora, inviati al referente del grado corrispondente su Slack, Teams o posta.

Un unico PDF ordinato: anagrafica del case e del prodotto, segnalazione come è pervenuta con allegati, percorso del triage con la base normativa applicata, comunicazione predisposta e depositata, ricevute e conferme, adempimenti collegati (Art. 14(8) e 13(6)) e cronologia integrale con gli identificativi a integrità verificabile di ogni voce.

Sì. Ogni azienda ha registro, prodotti e utenze separati; lo stesso utente passa da una all'altra dal selettore e ogni cambio resta registrato. Ogni azienda conta i propri Prodotti gestiti, e la separazione può essere resa contrattuale oltre che tecnica con un accordo enterprise.

La qualificazione resta tua, ma non resta implicita. Ogni fase registra la risposta, l'articolo applicato, l'autore e l'ora: se decidi che l'obbligo non ricorre, la motivazione è scritta e difendibile. È l'opposto del silenzio, che in ispezione non si può spiegare.

No. Le integrazioni SBOM e le API sono opzionali. Chi già usa Dependency-Track, Syft, Snyk, Black Duck, FOSSA, JFrog Xray, Mend o il grafo delle dipendenze di GitHub li collega e vede i componenti di terzi comparire nei case; chi non li usa lavora con l'anagrafica prodotti compilata a mano o via CSV.

Sì, con un iframe da incollare: campi configurabili (prodotto e versione, allegati, chiave PGP, segnalazione anonima), testo introduttivo modificabile, alias di posta dedicato e aspetto white-label. Ogni invio apre un case con marca temporale e restituisce un numero di tracciamento al segnalante.

Sì: endpoint per case, triage, notifiche e registro, più webhook firmati in HMAC-SHA256 per gli eventi (case creato, triage concluso, termine in scadenza, notifica depositata). Ogni chiave ha permessi selezionabili e può essere ruotata con 24 ore di sovrapposizione.

Ruoli (amministratore, valutatore, solo fatturazione, sola lettura), richieste di accesso con approvazione dell'amministratore, verifica in due passaggi con codici di recupero, gestione delle sessioni attive e registro di ogni modifica ai permessi.

Nell'Unione europea. Il registro delle attività è conservato cinque anni, coerentemente con l'esigenza di dimostrare la diligenza. Il trattamento è regolato da un accordo ai sensi dell'Art. 28 GDPR, con elenco pubblico dei sub-responsabili.

Sì. Ogni voce porta un identificativo calcolato su momento, contenuto e riferimenti: modificare un carattere produce un identificativo diverso, quindi l'alterazione è evidente nel confronto. Il registro è esportabile in CSV e riprodotto integralmente nel fascicolo difensivo.

Solo per proporre la bozza descrittiva dell'evento a partire dalla segnalazione ricevuta, e il testo va sempre convalidato da una persona. La qualificazione, il calcolo dei termini e il deposito non sono affidati a modelli generativi. I dettagli sono nella pagina sull'uso dell'IA.

Le violazioni degli obblighi previsti dagli articoli 13 e 14 del Cyber Resilience Act possono comportare sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo, secondo la violazione, il soggetto e le circostanze previste dal regolamento. A questo si aggiungono i provvedimenti di ritiro dal mercato e il danno commerciale verso i clienti che ti chiedono conformità in gara.

Abbonamento mensile o annuale con due mensilità incluse, pagamento con carta tramite Stripe; su richiesta bonifico, fattura a 30 giorni, addebito SEPA o ordini con determina. Nessun vincolo pluriennale: la disdetta ha effetto alla fine del periodo pagato ed esporti registro e fascicoli.

Sì, con un uso diverso: tracciano le segnalazioni ricevute, le inoltrano al fabbricante e documentano di averlo fatto. Il prezzo segue i Prodotti gestiti che dichiari, quindi un catalogo piccolo costa poco; se vendi prodotti di terzi con il tuo marchio valgono gli obblighi del fabbricante.

Facciamo esercitazioni guidate sul tuo processo e affianchiamo il team durante le prime segnalazioni reali. Non siamo uno studio legale e non diamo pareri legali: sulla qualificazione dei casi limite lavoriamo con il tuo consulente.