Le risposte alle domande frequenti sulla Single Reporting Platform, il portale con cui i produttori di hardware e software venduti nell’Unione devono segnalare le vulnerabilità sfruttate e gli incidenti gravi previsti dal Cyber Resilience Act, sono state riviste dall’Agenzia dell’Unione europea per la cybersicurezza. La nuova versione, datata 15 ottobre 2026, conta 35 voci tra regole di base e istruzioni operative, con due domande inedite e una risposta riscritta rispetto alla versione precedente.
Le novità delle FAQ ENISA sulla piattaforma di segnalazione
La prima voce nuova riguarda le notifiche inviate per sbaglio. L’agenzia ricorda che la segnalazione costituisce un obbligo di legge e va compilata solo dopo aver letto il manuale utente, precisando che a chiudere e invalidare un report può essere esclusivamente il CSIRT designato come coordinatore, cioè la squadra nazionale di risposta agli incidenti informatici dello Stato membro a cui la notifica è stata indirizzata. L’azienda può contattarlo con i recapiti pubblicati da ENISA oppure inserire la richiesta nel campo delle note aggiuntive, mentre l’agenzia si riserva di bloccare gli account di chi viola i termini e le condizioni d’uso.
La seconda novità spiega perché un’impresa, dopo aver notificato una vulnerabilità, possa ricevere un messaggio direttamente da ENISA. Il contatto trova la sua base nell’articolo 17, paragrafo 5, del regolamento, secondo cui l’agenzia, d’accordo con il fabbricante, inserisce nella banca dati europea delle vulnerabilità le falle già note al pubblico che sono state segnalate attraverso la piattaforma. Questo archivio, indicato con la sigla EUVD, è gestito da ENISA in base alla direttiva NIS2 e funziona come un catalogo consultabile delle debolezze di sicurezza dei prodotti informatici, per cui prima di pubblicare l’agenzia può chiedere al produttore se e quando le informazioni possano entrarvi. Siccome ENISA è anche una CVE Numbering Authority, cioè uno degli enti autorizzati ad attribuire i codici con cui le vulnerabilità vengono identificate a livello internazionale, può inoltre aiutare l’azienda a ottenere un identificativo CVE nel rispetto delle regole del programma.
Cambia infine la risposta sulle lingue. Il portale resta disponibile soltanto in inglese e l’introduzione di altre versioni linguistiche è ancora allo studio, mentre la scheda informativa viene tradotta progressivamente in tutte le lingue dell’Unione.
Chi deve segnalare e cosa va comunicato
Gli obblighi dell’articolo 14 si applicano ai fabbricanti di prodotti con elementi digitali dall’11 settembre 2026, mentre per gli steward del software open source, le organizzazioni che sostengono in modo stabile progetti aperti destinati a usi commerciali, scatteranno l’11 dicembre 2027. Vanno segnalate le vulnerabilità attivamente sfruttate, quelle per cui esistono prove affidabili che un soggetto malintenzionato le abbia usate su un sistema senza il permesso del proprietario, insieme agli incidenti gravi, cioè gli eventi che compromettono o possono compromettere la capacità del prodotto di proteggere disponibilità, autenticità, integrità o riservatezza di dati e funzioni. Il preallarme va trasmesso entro 24 ore da quando l’azienda ne viene a conoscenza e la notifica con una prima valutazione entro 72 ore, mentre la relazione finale scade 14 giorni dopo la disponibilità di una correzione, per esempio una patch, nel caso delle vulnerabilità e un mese dopo la notifica delle 72 ore per gli incidenti. L’obbligo copre anche i prodotti immessi sul mercato prima che il regolamento diventi pienamente applicabile, ma chi era già al corrente dello sfruttamento prima dell’11 settembre può evitare di segnalarlo a posteriori. Per un gruppo con più filiali nell’Unione, o con la capogruppo fuori dall’Europa, basta una sola notifica per ciascun evento e spetta all’impresa coordinarsi al proprio interno; sulle falle contenute in componenti di terze parti le FAQ rinviano invece ai chiarimenti della Commissione europea.
Il CSIRT a cui rivolgersi è quello dello Stato membro in cui si trova lo stabilimento principale, inteso come il luogo dove si prendono prevalentemente le decisioni sulla sicurezza informatica dei prodotti, oppure, se questo non è individuabile, quello della sede con il maggior numero di dipendenti nell’Unione. Le imprese senza stabilimento europeo seguono un ordine preciso che parte dal Paese in cui opera il rappresentante autorizzato per il maggior numero di prodotti e prosegue con importatore, distributore e infine bacino di utenti. La scelta spetta al fabbricante e un errore può portare all’invalidazione della notifica.
Come funziona la registrazione sulla Single Reporting Platform
L’accesso avviene dall’indirizzo portal.cra-srp.enisa.europa.eu con un account personale EU Login, il sistema di autenticazione della Commissione europea, dotato di verifica a più fattori e senza ulteriori meccanismi di autenticazione aziendale. Ogni fabbricante ha un solo rappresentante principale, che sceglie il CSIRT coordinatore, inserisce i dati dell’impresa e, una volta ottenuto lo stato di verificato, può invitare fino a 20 rappresentanti secondari. Tutti possono inviare e aggiornare le notifiche dell’azienda e proseguire una pratica avviata da un collega, con l’eccezione delle bozze, che restano salvate solo nel profilo di chi le ha create. Un rappresentante secondario può chiedere di diventare principale previa approvazione del CSIRT, al quale spetta anche la convalida delle associazioni con tempi e procedure che variano da Paese a Paese. La verifica procede in parallelo alle segnalazioni e consente di inviarne fino a 20 prima di diventare obbligatoria, per cui ENISA suggerisce di registrarsi solo quando occorre davvero; chi sbaglia il nome del fabbricante può semplicemente registrarlo di nuovo con la denominazione corretta.
La versione attuale presenta alcuni limiti dichiarati. Il contatore delle 72 ore fissa la scadenza 48 ore dopo l’invio del preallarme, quindi può mostrare in ritardo una notifica ancora nei termini, e per ora mancano API per l’invio automatico.
Una volta inviata, la segnalazione arriva contemporaneamente al CSIRT coordinatore e a ENISA, mentre il CSIRT la inoltra senza ritardo ai team degli altri Stati membri in cui il prodotto è venduto e condivide alcune informazioni con le autorità di vigilanza del mercato. Nella notifica delle 72 ore relativa a una vulnerabilità il fabbricante può indicare le circostanze particolarmente eccezionali previste dall’articolo 16, paragrafo 2. In quel caso ENISA riceve informazioni parziali finché il CSIRT non rende disponibile la notifica completa, secondo le condizioni fissate da un atto delegato della Commissione dell’11 dicembre 2025. Se il portale è irraggiungibile il fabbricante può contattare direttamente il proprio CSIRT, con l’obbligo di presentare comunque la notifica appena la piattaforma torna operativa, mentre per le domande non coperte dalle FAQ è attivo l’helpdesk cra-srp-helpdesk@enisa.europa.eu.
