Dall'11 settembre in vigore gli obblighi di segnalazione del Cyber Resilience Act per vulnerabilità sfruttate attivamente e incidenti gravi

Cos’è successo

Dall'11 settembre 2026 sono diventati applicabili gli obblighi di segnalazione previsti dall'articolo 14 del Regolamento (Ue) 2024/2847, il Cyber Resilience Act, per le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali. La scadenza precede di oltre un anno la piena applicazione dei principali obblighi del regolamento, prevista per l'11 dicembre 2027, e arriva a poche settimane dalle linee guida pubblicate dalla Commissione europea il 27 luglio 2026 per chiarirne l'applicazione pratica.

Perché conta

• Il nuovo obbligo di segnalazione si somma a un quadro normativo europeo su cyber e AI già in rapida evoluzione: lo Statement congiunto JC 2026 25 del 31 luglio 2026 di EBA, EIOPA ed ESMA aveva già richiamato l'attenzione degli operatori finanziari, assicurazioni comprese, sui rischi ICT legati ai modelli AI di frontiera, un tema ora affiancato dagli obblighi di reporting specifici sui prodotti digitali previsti dal Cyber Resilience Act;
• Per gli assicuratori, il regolamento ha una doppia rilevanza: come utilizzatori di prodotti con elementi digitali nei propri sistemi IT, sono ora soggetti diretti agli obblighi di segnalazione; come assicuratori cyber, l'entrata in vigore di questi obblighi genera nuovi flussi di dati strutturati su vulnerabilità e incidenti che potrebbero arricchire i modelli di sottoscrizione e pricing del rischio cyber;
• Il tempismo si intreccia con il paper BIS del 9 settembre 2026 sulle minacce cyber generate da AI di frontiera, che raccomandava esplicitamente inventari, log delle attività e condivisione delle informazioni sulle vulnerabilità come misure chiave di resilienza, principi che il Cyber Resilience Act ora traduce in obblighi normativi concreti e vincolanti.

Adesso

• Le aziende produttrici di prodotti con elementi digitali, e le imprese che li utilizzano nei propri sistemi critici, dovranno strutturare processi interni di monitoraggio e segnalazione conformi ai nuovi requisiti entro la scadenza già in vigore, un adempimento operativo immediato che anticipa la piena implementazione del regolamento nel 2027;
• Per il settore assicurativo, la disponibilità di dati più strutturati su vulnerabilità e incidenti gravi, raccolti in modo sistematico grazie ai nuovi obblighi di segnalazione, potrebbe nel tempo migliorare la qualità della modellazione del rischio cyber, un'area che diversi report internazionali (Chubb, BIS, Guy Carpenter) hanno segnalato come ancora carente di dati affidabili nel corso del 2026;
• Il percorso normativo europeo su cyber resilience, AI e resilienza operativa digitale resta particolarmente denso per il resto del 2026, con la piena applicazione del Cyber Resilience Act nel dicembre 2027 e il completamento del quadro Solvency II nel gennaio 2027 come prossime scadenze chiave da monitorare per il settore assicurativo.

Fonte: https://www.paradigma.it/cyber-resilience-act-linee-guida-obblighi-2026/