Dall’11 settembre il Cyber Resilience Act smette di essere per le imprese una normativa da studiare in vista del 2027 e diventa una prova concreta della loro capacità di governo.
I produttori di dispositivi e software con elementi digitali dovranno trasmettere entro 24 ore un primo avviso relativo alle vulnerabilità e agli incidenti gravi che incidono sulla sicurezza dei prodotti, seguito da una notifica più completa entro 72 ore.
Il dato significativo non è la brevità del termine ma ciò che un’azienda deve aver costruito prima perché quelle 24 ore possano essere rispettate.
Bisogna conoscere i prodotti che rientrano nel perimetro del regolamento, ricostruirne le componenti, governare le informazioni provenienti da sviluppatori e fornitori, valutare l’impatto di una vulnerabilità e stabilire chi ha il potere di decidere.
La notifica è solo l’ultimo anello visibile di una catena organizzativa molto più lunga.
