Segnalazione delle vulnerabilità ai sensi della legge sulla ciberresilienza dell'UE

Quando è obbligatorio notificare

Il criterio di attivazione non dipende dalla categoria del prodotto, dal punteggio CVSS o dalla sola esistenza di una vulnerabilità. L’articolo 14 richiede di stabilire se il fabbricante è venuto a conoscenza di un evento soggetto a notifica in un prodotto con elementi digitali.

Altre vulnerabilità, minacce informatiche, incidenti sfiorati e incidenti di impatto minore possono comunque essere rilevanti per la gestione delle vulnerabilità o per le notifiche volontarie. Non costituiscono automaticamente notifiche obbligatorie ai sensi dell’articolo 14.

Vulnerabilità attivamente sfruttata

Per «vulnerabilità attivamente sfruttata» si intende una vulnerabilità per la quale esistono prove attendibili che un attore malevolo l’ha sfruttata in un sistema senza il permesso del proprietario del sistema;

Regolamento (UE) 2024/2847, articolo 3(42)

La definizione ha tre elementi: deve esistere una vulnerabilità, devono esservi prove attendibili dello sfruttamento e lo sfruttamento deve essere malevolo e non autorizzato. Un percorso di exploit teorico o il risultato di uno scanner non sono sufficienti, da soli.

Una vulnerabilità zero-day può essere soggetta a notifica, ma solo se il fabbricante dispone di prove attendibili che un attore malevolo l’abbia sfruttata. Una segnalazione in buona fede tramite bug bounty o un riscontro di laboratorio senza prove di precedente sfruttamento malevolo non attiva l’obbligo di notifica dell’articolo 14, sebbene possa essere possibile una notifica volontaria.

La conoscenza attendibile può derivare da diverse fonti:

• un cliente o un partner segnala una compromissione e fornisce prove dello sfruttamento della vulnerabilità del prodotto;
• un ente pubblico, un ricercatore di sicurezza o un rapporto di threat intelligence identifica lo sfruttamento nel prodotto;
• la telemetria, il monitoraggio o l’indagine del fabbricante rileva prove di sfruttamento.

La vulnerabilità deve inoltre essere contenuta nel prodotto con elementi digitali. Se un componente integrato presenta una vulnerabilità non sfruttabile nel prodotto del fabbricante, tale vulnerabilità non diventa attivamente sfruttata nel prodotto solo perché il componente è interessato altrove.

Incidente grave che incide sulla sicurezza del prodotto

Anche l’incidente grave deve riguardare il prodotto. Un incidente generico dei sistemi IT aziendali, da solo, non basta. L’incidente deve incidere sulla sicurezza del prodotto con elementi digitali.

L’articolo 14 considera grave un incidente quando si verifica una delle condizioni seguenti:

• incide negativamente, o può incidere negativamente, sulla capacità del prodotto di proteggere disponibilità, autenticità, integrità o riservatezza di dati o funzioni sensibili o importanti;
• ha comportato, o può comportare, l’introduzione o l’esecuzione di codice malevolo nel prodotto o nelle reti e nei sistemi informativi di un utente.

24 ore, 72 ore e rapporto finale

L’articolo 14 prevede notifiche per fasi. La prima è una segnalazione iniziale e non deve essere un dossier tecnico completo. Le fasi successive aggiungono le informazioni disponibili mentre il fabbricante indaga e mitiga l’evento.

1. Segnalazione iniziale: senza indebito ritardo ed entro 24 ore da quando il fabbricante ne viene a conoscenza.
2. Notifica principale: senza indebito ritardo ed entro 72 ore dalla conoscenza, a meno che le informazioni pertinenti non siano già state fornite.
3. Rapporto finale per una vulnerabilità attivamente sfruttata: non oltre 14 giorni dalla disponibilità di una misura correttiva o di mitigazione.
4. Rapporto finale per un incidente grave: entro un mese dalla notifica dell’incidente di 72 ore.

I termini di 24 e 72 ore decorrono dalla conoscenza dell’evento soggetto a notifica. Non sono periodi di attesa: le notifiche devono essere inviate senza indebito ritardo. I termini per il rapporto finale hanno punti di partenza diversi: la disponibilità di una misura correttiva o di mitigazione per una vulnerabilità e l’invio della notifica dell’incidente per un incidente grave.

Piattaforma unica di notifica

Ai fini delle notifiche di cui all’articolo 14(1) e (3) e all’articolo 15(1) e (2), e per semplificare gli obblighi di notifica dei fabbricanti, l’ENISA istituisce una piattaforma unica di notifica. L’ENISA gestisce e mantiene le operazioni quotidiane della piattaforma. La sua architettura consente agli Stati membri e all’ENISA di predisporre i propri punti di accesso elettronici per le notifiche.

Regolamento (UE) 2024/2847, articolo 16(1)

Le notifiche previste dall’articolo 14 vengono presentate tramite la piattaforma unica di notifica. L’ENISA ha avviato la capacità operativa iniziale l’11 settembre 2026; la piattaforma è ora disponibile per le notifiche obbligatorie.

Preparazione alle notifiche

Per inviare le notifiche in tempo, i fabbricanti hanno bisogno di un canale di notifica SRP, di un CSIRT coordinatore, di informazioni sugli Stati membri in cui il prodotto è fornito e di dati interni sul prodotto facilmente accessibili. La pagina sulla preparazione alle notifiche illustra tali attività.

Consultare Preparazione alle notifiche dell’articolo 14 dopo aver chiarito i criteri di attivazione.

Casi limite