Cyber Resilience Act: nuove regole UE per router e smart home
Da oggi, 11 settembre 2026, cambia una regola concreta per chi vende router, smart TV, smartwatch, videocamere e altri dispositivi connessi in Europa. Con il Cyber Resilience Act, i produttori devono segnalare alle autorità europee le vulnerabilità già sfruttate e gli incidenti gravi: un primo avviso entro 24 ore, una notifica completa entro 72 ore. Per gli eventi coperti dal CRA, il produttore è obbligato a effettuare le notifiche previste dalla normativa.
La Commissione europea ha pubblicato la comunicazione ufficiale sull'entrata in vigore degli obblighi di reporting del Cyber Resilience Act (articolo 14) a decorrere dall'11 settembre 2026. Le tempistiche e i dettagli sono confermati anche da ENISA e da fonti specializzate in cybersecurity.
Questo articolo è informativo. ScelgoIo non riceve compensi da produttori o autorità per questa notizia. Eventuali consigli o link commerciali saranno sempre indicati in modo trasparente.
In breve
Dall'11 settembre 2026, i produttori di dispositivi con elementi digitali venduti in UE (router, smart TV, smartwatch, videocamere, baby monitor, serrature smart, ecc.) devono segnalare tramite la Single Reporting Platform gestita da ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi. Primo preallarme entro 24 ore, notifica completa entro 72 ore, report finale entro 14 giorni (vulnerabilità) o 1 mese (incidenti). Le prescrizioni complete di sicurezza e conformità del Cyber Resilience Act diventeranno pienamente applicabili dall'11 dicembre 2027. Il regolamento prevede in generale almeno cinque anni di gestione delle vulnerabilità, salvo prodotti con una vita prevista inferiore.
Se hai un router, una smart TV, una videocamera Wi‑Fi o uno smartwatch, da oggi c'è una regola in più che protegge chi compra: se un produttore scopre una vulnerabilità già sfruttata o un incidente grave, non può più far finta di niente. Deve avvisare le autorità entro 24 ore e dare dettagli entro 72 ore. Non significa che tutti i dispositivi siano automaticamente sicuri, ma che per gli eventi coperti dal CRA il produttore è obbligato a effettuare le notifiche previste.
✍️ Rocco Caiazza — Fondatore di ScelgoIo | Settembre 2026
Hai router, smart TV o videocamere Wi‑Fi? Da oggi in Europa cambia una regola importante
Il Cyber Resilience Act non è una legge astratta: da oggi tocca prodotti che molte famiglie italiane hanno già in casa. La domanda pratica è semplice: se un'azienda scopre una falla grave in un dispositivo che ho comprato, può ancora tenere la bocca chiusa? Dal 11 settembre 2026, per gli eventi coperti dalla norma, la risposta è no.
Cosa cambia da oggi per chi compra dispositivi smart
Il Cyber Resilience Act (CRA) è il regolamento europeo che stabilisce requisiti di cybersecurity per i prodotti con elementi digitali venduti nell'UE. Da oggi, 11 settembre 2026, entra in vigore una parte specifica: l'obbligo per i produttori di segnalare vulnerabilità attivamente sfruttate e incidenti gravi alle autorità competenti.
La Commissione europea cita esplicitamente prodotti di uso quotidiano come router, smart TV, smartwatch, videocamere Wi‑Fi, baby monitor, serrature smart e giocattoli connessi. Il CRA copre in generale i prodotti con elementi digitali commercializzati nell'UE che possono collegarsi direttamente o indirettamente a un dispositivo o a una rete, salvo le categorie escluse o disciplinate da normative settoriali specifiche (es. alcuni dispositivi medici, automotive, aeronautica, difesa).
Per chi compra, il cambiamento concreto è questo: se un'azienda scopre che una vulnerabilità in un dispositivo è già stata sfruttata per attaccare gli utenti, o che si è verificato un incidente grave, non può più limitarsi a correggere la falla in silenzio. Deve notificare l'accaduto tramite la Single Reporting Platform gestita da ENISA, con tempistiche precise, e informare gli utenti interessati.
Come funziona il reporting: 24 ore, 72 ore e report finale
Se un produttore scopre una falla già usata dagli hacker o un incidente grave, deve avvisare subito: un primo messaggio entro 24 ore, poi i dettagli entro 72 ore. Infine, quando la correzione è pronta, deve inviare un report finale. Non è più possibile scoprire un attacco e non dirlo a nessuno.
Il sistema di reporting previsto dal CRA funziona a cascata:
- Entro 24 ore — preallarme (early warning): il produttore invia un primo avviso con le informazioni essenziali (prodotto coinvolto, tipo di problema, eventuali segnali di attacco in corso);
- Entro 72 ore — notifica completa: il produttore fornisce una valutazione iniziale della gravità, la natura della vulnerabilità o dell'incidente, le misure di mitigazione già adottate e le azioni raccomandate per gli utenti;
- Report finale — entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità attivamente sfruttate, o entro 1 mese per gli incidenti gravi.
Le notifiche vengono presentate attraverso la Single Reporting Platform del CRA, sviluppata e gestita da ENISA e operativa dall'11 settembre 2026. La segnalazione viene indirizzata al CSIRT designato come coordinatore ed è resa disponibile anche a ENISA.
Per i tecnici: chi è considerato "fabbricante" e quali prodotti sono inclusi
Cosa entra in vigore oggi e cosa dal dicembre 2027
Un dettaglio importante per non creare confusione: oggi non entra in vigore tutto il Cyber Resilience Act. Dal 11 settembre 2026 si applica specificamente l'articolo 14, cioè il sistema obbligatorio di reporting per vulnerabilità sfruttate e incidenti gravi.
Le principali prescrizioni di sicurezza, la valutazione di conformità e gli altri obblighi del CRA diventeranno pienamente applicabili solo dall'11 dicembre 2027. Questo significa che oggi non scatta automaticamente l'obbligo di garantire cinque anni di aggiornamenti per tutti i dispositivi, né tutti i requisiti tecnici più pesanti.
La distinzione è importante per due motivi:
- evita titoli fuorvianti tipo "Da oggi tutti i dispositivi devono garantire 5 anni di aggiornamenti", che non corrispondono a ciò che entra in vigore oggi;
- aiuta a capire che il CRA è un percorso progressivo: prima il reporting (da oggi), poi la piena applicazione delle regole di sicurezza (dal dicembre 2027).
ScelgoIo Verifica: come controllare 5 prodotti di una famiglia tipo
Per rendere concreta una norma europea apparentemente noiosa, ecco come puoi verificare tu stesso 5 prodotti che una famiglia italiana possiede normalmente (router Wi‑Fi, smart TV, videocamera Wi‑Fi, smartwatch, serratura smart). Per ciascuno, controlla:
- chi è il produttore;
- per quanto tempo dichiara aggiornamenti;
- dove pubblica gli avvisi di sicurezza;
- come si segnala una vulnerabilità;
- se dispone già di una pagina dedicata al Cyber Resilience Act.
Ecco la checklist operativa che puoi usare anche tu per valutare quanto un brand è trasparente sulla sicurezza:
- Router Wi‑Fi — cerca sul sito del produttore la pagina "Security" o "Product Security"; verifica se indica un periodo minimo di aggiornamenti e un contatto per segnalare vulnerabilità.
- Smart TV — controlla nelle impostazioni o sul sito se il brand pubblica avvisi di sicurezza per i modelli in commercio e da quando.
- Videocamera Wi‑Fi — verifica se esiste un programma di bug bounty o una mail dedicata alla sicurezza (es. security@brand.com).
- Smartwatch — guarda se il produttore specifica per quanti anni garantisce aggiornamenti di sicurezza per il modello che possiedi.
- Serratura smart — controlla se il brand ha già pubblicato informazioni sul CRA o su come gestisce le vulnerabilità scoperte dopo la vendita.
Se il tuo brand non ha una pagina security, non indica la durata degli aggiornamenti o non mette a disposizione un contatto per le vulnerabilità, è un campanello d'allarme. Con il CRA, dal 2027 ci si aspetta maggiore trasparenza e supporto prolungato.
- Commissione europea — Safer and more secure digital products (11 settembre 2026) — comunicazione ufficiale sull'entrata in vigore degli obblighi di reporting del CRA
- Commissione europea — Cyber Resilience Act reporting — pagina dedicata al sistema di notifica delle vulnerabilità
- Cybersecurity360 — CRA: dall'11 settembre obblighi di segnalazione — approfondimento sulle tempistiche 24h/72h e report finale
- Agenda Digitale — Cyber Resilience Act: tutto ciò che bisogna sapere — panoramica su perimetro, open source e obblighi
Domande frequenti
Il Cyber Resilience Act non è una bacchetta magica, ma da oggi rende obbligatorio per gli eventi coperti dal CRA effettuare le notifiche previste dalla normativa nei dispositivi connessi venduti in Europa. Per chi compra router, smart TV, videocamere, smartwatch e altri prodotti smart, è un passo in più verso una maggiore trasparenza. La verifica più utile resta comunque quella di sempre: scegliere brand che pubblicano avvisi di sicurezza, dichiarano per quanto tempo aggiornano e mettono a disposizione contatti chiari per le vulnerabilità. E tu: il tuo router o la tua smart TV hanno una pagina security dedicata? Scrivilo nei commenti — aiuta a capire quali brand sono più trasparenti.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
