Piattaforma unica di segnalazione

La piattaforma unica di segnalazione (Single Reporting Platform, SRP) è il portale web attraverso cui i fabbricanti inviano le notifiche richieste dal Cyber Resilience Act (CRA): vulnerabilità attivamente sfruttate e incidenti gravi che riguardano i loro prodotti. La gestisce l'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, ai sensi dell'articolo 16 del regolamento (UE) 2024/2847. È stata avviata l'11 settembre 2026, il giorno in cui gli obblighi di segnalazione del CRA hanno iniziato ad applicarsi.

Che cosa si notifica, ed entro quando

I fabbricanti notificano due tipi di eventi: una vulnerabilità attivamente sfruttata in un prodotto con elementi digitali e un incidente grave che incide sulla sicurezza di un tale prodotto. Entrambi i concetti sono definiti nel regolamento. Ciascuno segue tre passaggi:

Passaggio	Termine	Si applica a
Preallarme	Entro 24 ore dal momento in cui se ne viene a conoscenza	Entrambi
Notifica	Entro 72 ore dal momento in cui se ne viene a conoscenza	Entrambi
Relazione finale	Entro 14 giorni da quando è disponibile una correzione o mitigazione	Vulnerabilità attivamente sfruttate
Relazione finale	Entro un mese dalla notifica	Incidenti gravi

I termini sono fissati dall'articolo 14 del CRA, non dal portale, e la FAQ della SRP dell'ENISA li riprende. L'obbligo copre anche i prodotti già sul mercato, non solo quelli immessi dopo la piena applicazione del CRA. L'articolo 14 impone inoltre ai fabbricanti di informare gli utenti interessati, cosa che fanno direttamente: la piattaforma raggiunge le autorità, non i clienti.

Chi riceve una notifica

Un fabbricante presenta ogni notifica una sola volta. Questa arriva contemporaneamente al CSIRT designato come coordinatore nello Stato membro dello stabilimento principale del fabbricante e all'ENISA, salvo circostanze particolarmente eccezionali. Il coordinatore la inoltra ai CSIRT degli altri Stati membri in cui il prodotto è disponibile. L'ENISA elenca i coordinatori designati nella sua pagina SRP.

Una volta corretta una vulnerabilità notificata, l'ENISA può divulgarla nel database europeo delle vulnerabilità (EUVD), d'accordo con il fabbricante. Il rapporto tra l'EUVD e gli ID CVE è spiegato alla voce CVE.

Come funziona l'accesso

I fabbricanti operano sulla piattaforma tramite Assigned Representatives (AR). Ogni AR accede con un account EU Login personale con autenticazione a più fattori. Un fabbricante ha un Primary AR, che può invitare fino a 20 Secondary AR, e questi possono presentare e aggiornare le notifiche del fabbricante. Un fabbricante con più società nel gruppo coordina internamente chi notifica per quale entità.

Che cosa la piattaforma non fa ancora

A novembre 2026, secondo la FAQ della SRP:

• Nessuna API. La prima release non offre un'interfaccia di programmazione, quindi le notifiche si inseriscono dall'interfaccia web. L'ENISA indica che un'API potrebbe essere valutata in una fase successiva e che le organizzazioni possono automatizzare i propri flussi interni di segnalazione.
• Ancora nessuna segnalazione volontaria. Le notifiche volontarie ai sensi dell'articolo 15, ad esempio di una vulnerabilità non attivamente sfruttata, sono previste in una fase successiva. Per ora la piattaforma accetta solo le notifiche obbligatorie.

L'ENISA definisce la versione di lancio la sua capacità operativa iniziale e prevede di ampliarla. Il suo annuncio di lancio precisa inoltre che gli obblighi di segnalazione dei gestori di software open source (open-source software stewards) si applicano dall'11 dicembre 2027.

Prepararsi a notificare

Le 24 ore iniziano quando viene a conoscenza dello sfruttamento, quindi gran parte del lavoro avviene prima che qualcuno acceda:

• Registri i Suoi Assigned Representatives prima che servano, con un sostituto in un altro fuso orario.
• Concordi in anticipo chi decide che una vulnerabilità è da considerare attivamente sfruttata, e con quale rapidità.
• Tenga, per ogni versione, un registro dei componenti di ciascun prodotto, così da poter indicare in poche ore i prodotti e le versioni interessati. Veda SBOM in fase di build e siamo colpiti da una CVE?.
• Prepari l'avviso agli utenti interessati, perché la piattaforma non lo invia.
• Conservi il testo presentato e i timestamp nei Suoi archivi.

CRACI prepara il contenuto delle notifiche CRA (preallarme, notifica e relazione finale); una persona del fabbricante le invia tramite la piattaforma unica di segnalazione.

Per il regolamento nel suo insieme, veda che cos'è il CRA, la guida al CRA e la voce di glossario CRA. Come un team di sicurezza di prodotto gestisce tutto questo ogni giorno è spiegato in PSIRT.