Aggiungi Milano Finanza alle tue fonti preferite su Google per non perderti i nostri contenuti
Dall'11 settembre il Cyber Resilience Act smette di essere per le imprese una normativa da studiare in vista del 2027 e diventa una prova concreta della loro capacità di governo. I produttori di dispositivi e software con elementi digitali dovranno trasmettere entro 24 ore un primo avviso relativo alle vulnerabilità e agli incidenti gravi che incidono sulla sicurezza dei prodotti, seguito da una notifica più completa entro 72 ore. Il dato significativo non è la brevità del termine ma ciò che un'azienda deve aver costruito prima perché quelle 24 ore possano essere rispettate. Bisogna conoscere i prodotti che rientrano nel perimetro del regolamento, ricostruirne le componenti, governare le informazioni provenienti da sviluppatori e fornitori, valutare l'impatto di una vulnerabilità e stabilire chi ha il potere di decidere.
La notifica è solo l'ultimo anello visibile di una catena organizzativa molto più lunga. In questo senso l'11 settembre sarà un test non solo per i responsabili della cybersicurezza ma per l'intera governance aziendale. Un'impresa può acquistare tecnologie avanzate di protezione e rimanere vulnerabile se le informazioni non raggiungono in tempo chi deve decidere, se le responsabilità sono frammentate o se nessuno ha una visione completa della catena di fornitura digitale. È qui che il Cyber Resilience Act cambia la grammatica della sicurezza: non domanda solo se l'azienda è protetta ma se è organizzata per conoscere, valutare e comunicare tempestivamente le proprie fragilità.
