L’Europa ha aperto uno sportello per i bug. E non è una cattiva idea
Con il Cyber Resilience Act entra in funzione la piattaforma europea per segnalare vulnerabilità e incidenti gravi. Una piccola novità burocratica che racconta un cambiamento molto più grande.
Immaginiamo un lunedì mattina.
Alle 8.43 qualcuno, in un’azienda che produce software, scopre che una vulnerabilità del proprio prodotto non è più soltanto una vulnerabilità.
Qualcuno la sta usando davvero.
A quel punto comincia la parte divertente (si fa per dire)!
Bisogna capire cosa sta succedendo, quanto è grave, quali versioni sono coinvolte, preparare una correzione, avvisare chi deve essere avvisato e possibilmente evitare che nel frattempo Internet prenda fuoco.
Da qualche giorno, in Europa, a questa lista si è aggiunta una cosa molto precisa: entro 24 ore bisogna comunicarlo!
Non su un foglio Excel mandato alla persona giusta dopo aver chiesto a tre colleghi quale fosse l’indirizzo email corretto, ma attraverso una piattaforma web.
Si chiama Single Reporting Platform, abbreviata naturalmente in SRP, perché nessuna istituzione europea rinuncerebbe mai volontariamente a un acronimo quando può averne uno.
L’ha messa online ENISA l’11 settembre 2026, ed è uno dei primi momenti nei quali il Cyber Resilience Act smette di essere un regolamento di cui discutere e comincia a diventare qualcosa che qualcuno deve effettivamente fare.
Quando una norma diventa un pulsante da premere
Il Cyber Resilience Act, o CRA, è il Regolamento europeo 2024/2847.
È entrato in vigore nel dicembre 2024 e introduce una serie di obblighi relativi alla sicurezza dei cosiddetti prodotti con elementi digitali.
Espressione elegante per dire: una quantità considerevole delle cose che utilizziamo ogni giorno: software, dispositivi connessi, componenti hardware, sistemi operativi, applicazioni e molti altri prodotti nei quali, da qualche parte, c’è del codice che può funzionare bene.
Oppure no.
L’idea alla base del regolamento è quasi disarmante nella sua semplicità: chi mette sul mercato un prodotto digitale dovrebbe occuparsi della sua sicurezza anche dopo averlo venduto.
Per molto tempo, però, il modello dell’industria tecnologica è stato un po’ diverso: il prodotto viene sviluppato, distribuito, comprato e poi, prima o poi, qualcuno scopre che dentro c’è qualcosa che non dovrebbe esserci.
Una porta aperta. Una password scritta dove non andava scritta. Un servizio accessibile da Internet che nessuno ricordava fosse accessibile da Internet.
A quel punto iniziano gli aggiornamenti, gli avvisi, le patch e quel particolare genere di email che contiene frasi come “la sicurezza dei nostri utenti è da sempre la nostra priorità”.
Il CRA prova a spostare il problema un po’ più indietro. Come insegnano all’università, la sicurezza dovrebbe essere pensata prima, mantenuta durante il ciclo di vita del prodotto e gestita in modo strutturato quando qualcosa va storto.
Non è una rivoluzione concettuale (erano concetti alla base dei corsi che seguivo oltre 30 anni fa).
Il problema non è scoprire il bug
Torniamo al nostro lunedì mattina. La vulnerabilità è stata individuata; il problema, però, non è soltanto correggerla: bisogna anche capire se è una vulnerabilità attivamente sfruttata.
Bisogna stabilire quali prodotti coinvolge. Bisogna raccogliere le prime informazioni. Bisogna decidere chi, dentro l’organizzazione, ha la responsabilità di procedere.
E poi bisogna comunicarlo: e qui entra in scena la nuova piattaforma di ENISA.
La Single Reporting Platform nasce per permettere al produttore di effettuare una sola segnalazione attraverso un punto comune europeo.
Il sistema indirizza poi le informazioni verso il CSIRT coordinatore competente e, secondo quanto previsto dal regolamento, verso gli altri soggetti interessati.
Ventiquattro ore
Il numero importante è questo: 24.
Se un produttore viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave che riguarda la sicurezza di un proprio prodotto digitale, deve inviare un primo avviso entro 24 ore.
Non significa che in 24 ore debba aver capito tutto (sarebbe ottimistico!) Significa però che deve essere già in grado di riconoscere l’evento, attivare una procedura e comunicare le prime informazioni.
Poi arriva una seconda scadenza: 72 ore.
Entro quel termine deve essere trasmessa una notifica più completa. E successivamente arriva la relazione finale.
Non ci resta che attendere, osservare e sperare che il sistema funzioni in modo agevole ed efficace.
Fonti: ENISA – The CRA Single Reporting Platform is launched