L'articolo 14 del CRA dell'UE: obblighi di segnalazione dal 11 settembre 2026

Dal 11 settembre 2026 entrano in vigore i primi obblighi di segnalazione previsti dal Cyber Resilience Act (CRA) dell'Unione Europea per i produttori di software e prodotti connessi, compresi i manutentori open source considerati steward open source. Il CEO di Patchstack, Oliver Sild, ha illustrato i nuovi obblighi dell'articolo 14 in un post pubblicato l'11 settembre 2026, spiegando che le regole si applicano non solo ai produttori commerciali ma anche ai progetti open source senza intento commerciale. La legge richiede la segnalazione di due situazioni: vulnerabilità che gli attaccanti stanno attivamente sfruttando e incidenti di sicurezza gravi che colpiscono i prodotti. Le segnalazioni devono essere inviate alle autorità nazionali di cybersicurezza e all'agenzia europea ENISA attraverso un'unica piattaforma UE.

La distinzione tra produttore e steward open source è importante perché determina le possibili sanzioni. Patchstack usa come esempio un plugin WordPress. Un plugin il cui codice è con licenza GPL e open source ma che ha una versione premium o un altro modello di ricavi rende il suo venditore un produttore, non uno steward open source. Un plugin WordPress completamente gratuito e open source, senza intento commerciale, mantenuto da dipendenti di una persona giuridica, sarebbe invece considerato uno steward open source. Gli obblighi dell'articolo 14 si applicano a entrambi i gruppi, ma gli steward open source non possono essere multati; l'UE può comunque usare altri mezzi per rimuovere un prodotto non conforme dal mercato europeo. Questo vale in tutti gli ecosistemi di software open source, non solo WordPress, e la regola copre tutti i prodotti e i software anche se sono stati resi disponibili sul mercato europeo prima dell'11 settembre 2026.

Devono essere segnalati due casi distinti: vulnerabilità attivamente sfruttate e incidenti di sicurezza gravi. Ogni segnalazione è composta da tre moduli con scadenze separate. Un preavviso deve essere inviato senza indebito ritardo ed entro 24 ore dalla presa di conoscenza. Una notifica più completa è dovuta senza indebito ritardo ed entro 72 ore, con informazioni generali e una valutazione iniziale. Per le vulnerabilità attivamente sfruttate, una relazione finale è dovuta non oltre 14 giorni dopo che una misura correttiva come una patch diventa disponibile. Per gli incidenti gravi, la relazione finale è dovuta entro un mese dalla notifica delle 72 ore. I produttori devono anche informare gli utenti colpiti su cosa è successo e su come proteggersi.

Le segnalazioni devono passare attraverso la Piattaforma Unica di Segnalazione dell'UE, spesso chiamata SRP. I manutentori devono prima creare un account personale EU Login, che richiede l'autenticazione a più fattori (MFA). L'SRP non ha un'API e la piattaforma richiede che tre moduli diversi siano compilati manualmente per ogni segnalazione. Poiché la prima scadenza è di sole 24 ore, Patchstack consiglia di creare subito gli account EU in modo che i manutentori possano rispettare la scadenza quando si verifica una vulnerabilità attivamente sfruttata o un incidente grave.

Per aiutare i manutentori open source a gestire questi obblighi, Patchstack ha lanciato una piattaforma ad accesso gratuito per la gestione delle segnalazioni dell'articolo 14 del CRA. Il servizio include tre capacità principali. Patchstack monitora lo sfruttamento attivo delle singole vulnerabilità, raccoglie prove e avvisa il manutentore quando scattano i requisiti dell'articolo 14. Patchstack può agire come Rappresentante Designato ufficiale, o AR, per il manutentore, adempiendo agli obblighi di segnalazione e garantendo il rispetto delle scadenze per ciascun modulo. La piattaforma fornisce anche un programma gestito di divulgazione delle vulnerabilità (mVDP) a canale unico e un programma di bug bounty per uno o più prodotti software. Patchstack afferma che la sua piattaforma mVDP è stata costruita per questo scopo in collaborazione con il Consiglio Europeo per l'Innovazione (EIC) dell'Unione Europea, e che l'azienda è conforme al GDPR e certificata ISO 27001 e SOC 2 Type 2. Più di 1000 prodotti e progetti open source utilizzano già il mVDP di Patchstack per il coordinamento delle vulnerabilità. L'azienda dichiara di aver coordinato oltre il 50 percento di tutte le vulnerabilità note nell'ecosistema WordPress ed è una delle CVE Numbering Authority (CNA) più attive. Patchstack dichiara inoltre che le sue partnership con importanti aziende di web hosting e la sua tecnologia RapidMitigate la mettono in condizione di offrire un rilevamento rapido e dettagliato delle vulnerabilità note sfruttate (KEV). L'azienda osserva che potrebbe introdurre una tariffa in futuro per coprire la segnalazione dell'articolo 14 su base per-segnalazione se il volume diventa troppo elevato e la Piattaforma Unica di Segnalazione non introduce un'API.

Per i proprietari di siti web e le imprese, le nuove regole UE sono un promemoria del fatto che il software da cui dipendono, compresi i plugin WordPress, fa parte di un sistema formale di segnalazione quando gli attaccanti lo sfruttano. Se un manutentore riceve un preavviso su una vulnerabilità attivamente sfruttata, gli utenti dovrebbero aspettarsi una divulgazione tempestiva e correzioni da parte di progetti responsabili. AEU Hosting, un servizio di hosting WordPress gestito, può aiutare i proprietari di siti web a gestire la manutenzione e gli aggiornamenti di sicurezza WordPress di routine, il che è un complemento pratico a questi nuovi obblighi di segnalazione; i lettori dovrebbero consultare la pagina di AEU Hosting per l'esatta portata di quel servizio.