Del CRA (cyber resilience act) ho già scritto in abbondanza, ma ricordo che regolamento tutti i prodotti "con elementi digitali", quindi quasi tutto il software venduto a pacchetto e l'hardware con possibilità di connessione (ho semplificato parecchio, ma so bene che districarsi sull'applicabilità non è materia facile).

Dal venerdì 11 settembre, i produttori devono notificare gli incidenti "severi" e le vulnerabilità sfruttate dei propri prodotti.

Per questo va usata la Single Reporting Platform (SRP) messa a disposizione da ENISA: https://portal.cra-srp.enisa.europa.eu/.

Rimando alla pagina di ENISA dove sono spiegate meglio le cose: https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp.

Purtroppo tutto il testo è in inglese.

Al momento, però, in Italia manca un decreto attuativo. Questo vuol dire che non ci sono sanzioni, ma ci possono sempre essere richieste di danni. Per questo ringrazio Massimiliano Giovannini che mi ha mandato un articolo del Sole 24 Ore di Ivan Cimmarusti.