DORA vi ha risparmiato NIS2. Non vi risparmierà il CRA.

TL;DR. L'11 settembre il CRA avvia un termine di 24 ore. Grava sui prodotti: l'esenzione DORA che neutralizza NIS2 non lo raggiunge mai.

Punti chiave

Cosa comincia davvero l'11 settembre. Il CRA è entrato in vigore il 10 dicembre 2024 con un calendario di applicazione scaglionato, ed è proprio lo scaglionamento a perdersi per strada.
Perché l'esenzione DORA non lo raggiunge. Qui la precisione conta più del solito, perché il ragionamento che produce la risposta sbagliata è un ragionamento autenticamente valido, portato un regolamento troppo in là.
Siete fabbricanti? Nessuno ha deciso al posto vostro. Qui la posizione onesta è che la questione è aperta anziché risolta, e che una banca che aspetti la sua risoluzione aspetterà oltre la data.
La collisione degli orologi. Supponiamo per un momento che l'analisi concluda per l'inclusione di almeno un artefatto.

Fra trentanove giorni il regolamento sulla ciberresilienza avvia un termine di segnalazione di ventiquattro ore, e l'esenzione a cui ogni banca si aggrappa non lo ferma. Chiedete a un ente finanziario se si applica NIS2 e la risposta arriva senza esitazioni: DORA è lex specialis, l'articolo 4 di NIS2 arretra quando un atto settoriale copre lo stesso terreno, e la banca segnala gli incidenti ICT alla propria autorità competente anziché a un CSIRT. Quella risposta è corretta. Ed è anche sul punto di essere data, erroneamente, a una domanda che riguarda un altro regolamento. Il CRA non disciplina enti. Disciplina prodotti, e impone i suoi obblighi a chi li fabbrica. Nel suo articolo sull'ambito di applicazione non esiste alcuna esclusione per i servizi finanziari, perché un'esclusione redatta per il diritto degli enti non ha nulla a cui aggrapparsi nel diritto dei prodotti. Dall'11 settembre 2026, una banca che mette software a disposizione sul mercato deve all'ENISA un preallarme entro ventiquattro ore — e lo deve in aggiunta a DORA, non al suo posto.

Sintesi per la direzione

Una data viva, non un orizzonte. L'articolo 14 si applica dall'11 settembre 2026. Il resto del CRA attende l'11 dicembre 2027, e l'errore di pianificazione abita nella distanza fra questi due fatti.

L'ambito lo decide ciò che consegnate, non ciò che siete. Le esclusioni del CRA sono altri regimi di prodotto: dispositivi medici, veicoli, aviazione, equipaggiamento marittimo. Il settore bancario non figura, e non vi sarebbe mai figurato.

L'innesco è lo sfruttamento, non la gravità. Una vulnerabilità attivamente sfruttata avvia il conteggio anche se nessun cliente è colpito e anche se nulla configurerebbe un incidente grave ai sensi di DORA.

Oggi non ne è titolare nessuno. La segnalazione DORA vive nella resilienza operativa. La segnalazione CRA vive presso chi è considerato fabbricante — un ruolo che la maggior parte delle banche non ha mai assegnato.

Cosa comincia davvero l'11 settembre

Il CRA è entrato in vigore il 10 dicembre 2024 con un calendario di applicazione scaglionato, ed è proprio lo scaglionamento a perdersi per strada.

L'applicazione piena — requisiti essenziali di cibersicurezza dell'allegato I, valutazione della conformità, marcatura CE, documentazione tecnica — cade l'11 dicembre 2027. La notifica degli organismi di valutazione della conformità è aperta dall'11 giugno 2026. In mezzo si colloca la data che conta in questo trimestre: l'11 settembre 2026, quando decorrono gli obblighi di segnalazione dell'articolo 14.

La struttura di segnalazione è in tre fasi ed è più stretta di quanto sembri a prima lettura.

Preallarme entro 24 ore da quando il fabbricante viene a conoscenza di una vulnerabilità attivamente sfruttata, o di un incidente grave con impatto sulla sicurezza del prodotto.
Notifica completa entro 72 ore, con il dettaglio tecnico e le misure correttive o di attenuazione adottate.
Relazione finale entro 14 giorni da quando è disponibile una misura correttiva per una vulnerabilità attivamente sfruttata, oppure entro un mese dalla notifica per un incidente grave.

Le segnalazioni transitano dalla piattaforma unica di segnalazione del CRA gestita dall'ENISA. Il fabbricante deposita una sola volta, presso il CSIRT designato come coordinatore nello Stato membro del proprio stabilimento principale; la piattaforma rende la notifica disponibile all'ENISA simultaneamente, e il CSIRT ricevente la propaga agli altri CSIRT nei territori in cui il prodotto è distribuito. Questo deposito unico elimina un alibi amministrativo, ma non ammorbidisce il termine.

Osservate l'innesco. Non la gravità, non l'impatto sul cliente — lo sfruttamento. Una vulnerabilità attivamente sfruttata apre un obbligo di 24 ore, che qualcuno sia stato danneggiato o meno, e a prescindere dal fatto che gli stessi fatti si qualifichino come incidente grave altrove.

Perché l'esenzione DORA non lo raggiunge

Qui la precisione conta più del solito, perché il ragionamento che produce la risposta sbagliata è un ragionamento autenticamente valido, portato un regolamento troppo in là.

L'articolo 4 di NIS2 contiene un meccanismo di rinvio: quando un atto settoriale dell'Unione impone a soggetti di adottare misure di gestione dei rischi di cibersicurezza o di notificare incidenti significativi, e tali requisiti sono almeno equivalenti negli effetti, le corrispondenti disposizioni di NIS2 non si applicano. DORA è esattamente uno di questi atti. Un ente creditizio gestisce dunque il rischio ICT e notifica gli incidenti gravi ai sensi di DORA, e i doveri paralleli di NIS2 arretrano. Qualsiasi funzione affari regolamentari sa recitarlo.

Tre cose spezzano l'analogia quando la si trasporta al CRA.

Il meccanismo abita dentro NIS2. L'articolo 4 è una disposizione della direttiva (UE) 2022/2555 che disapplica disposizioni della direttiva (UE) 2022/2555. Non è un principio generale per cui il regime settoriale di un ente finanziario prevalga su tutto il resto. Non può entrare nel regolamento (UE) 2024/2847 e disattivarvi alcunché, perché nulla del CRA gli è soggetto.

Il CRA disciplina prodotti, non enti. DORA e NIS2 chiedono entrambi che tipo di organizzazione siete. Il CRA chiede che cosa avete immesso sul mercato. Sono domande diverse, e gli argomenti di equivalenza fra esse non reggono: il regime di segnalazione di DORA non è in alcun senso «equivalente negli effetti» al dovere di un fabbricante di avvertire un CSIRT che un artefatto consegnato è sotto sfruttamento, perché proteggono popolazioni diverse. DORA protegge il sistema finanziario tramite il supervisore. L'articolo 14 protegge chiunque faccia girare il prodotto, tramite la rete dei CSIRT.

Le esclusioni hanno la forma sbagliata. L'articolo sull'ambito del CRA esclude i prodotti coperti da altra legislazione settoriale di prodotto — dispositivi medici ai sensi dei regolamenti (UE) 2017/745 e 2017/746, veicoli ai sensi del regolamento (UE) 2019/2144, aviazione civile ai sensi del regolamento (UE) 2018/1139, equipaggiamento marittimo ai sensi della direttiva 2014/90/UE — oltre ai pezzi di ricambio fabbricati secondo specifiche identiche e ai prodotti sviluppati esclusivamente per finalità di sicurezza nazionale o difesa. Non esiste un'esclusione per i servizi finanziari, né per i prodotti fabbricati da enti regolati da DORA. Non è una svista che gli orientamenti verranno a correggere. È ciò che accade quando un legislatore scrive diritto dei prodotti: non esclude settori industriali, esclude altri regimi di prodotto.

Tabella 1: tre regimi, e quale arretra

	DORA	NIS2	CRA
Disciplina	Gli enti finanziari	I soggetti essenziali e importanti	I prodotti con elementi digitali
L'obbligo grava su	L'ente	L'ente	Il fabbricante
Innesco della segnalazione	Incidente classificato come grave	Incidente significativo	Vulnerabilità attivamente sfruttata o incidente grave
Destinatario	Autorità competente	CSIRT o autorità competente	CSIRT dello stabilimento principale, ed ENISA
Neutralizzato per le banche?	No — è la lex specialis	Sì, via articolo 4 di NIS2	No — nulla lo neutralizza

Siete fabbricanti? Nessuno ha deciso al posto vostro

Qui la posizione onesta è che la questione è aperta anziché risolta, e che una banca che aspetti la sua risoluzione aspetterà oltre la data.

Il CRA raggiunge i prodotti con elementi digitali messi a disposizione sul mercato — forniti per la distribuzione o l'uso nell'ambito di un'attività commerciale. Da questa formulazione discendono immediatamente due conseguenze.

Il prezzo non è il criterio. Il software fornito gratuitamente rientra nell'ambito se è fornito nell'ambito di un'attività commerciale. L'impostazione della Commissione sull'open source ruota attorno all'attività commerciale e non al pagamento, e una banca che distribuisce un'applicazione per acquisire e servire clienti paganti non agisce fuori dall'ambito di un'attività commerciale. L'istinto secondo cui «regaliamo l'app, quindi non vendiamo un prodotto» è la ragione più frequente per cui questo fascicolo non è stato aperto, ed è il più debole degli argomenti disponibili.

Il software strettamente interno ne resta davvero fuori. I prodotti non messi a disposizione sul mercato — la piattaforma di core banking, la strumentazione interna, tutto ciò che non viene mai fornito oltre l'ente — non sono raggiunti. È un'esclusione reale e sostanziale, ed è per questo che l'esposizione è più stretta di quanto suggerisca la versione allarmistica di questa analisi.

La domanda non è dunque se una banca rientri nell'ambito in quanto ente. È quali specifici artefatti essa fornisca. Quattro categorie meritano una ricognizione prima che chiunque giunga a una conclusione:

L'applicazione di mobile banking, distribuita al pubblico tramite gli app store. Se un'app rivolta al cliente sia un prodotto fornito per l'uso, o soltanto l'interfaccia di un servizio reso dalla banca, è la questione realmente controversa — ed è controversa, non risolta a favore della banca.
Gli artefatti rivolti agli sviluppatori: SDK, librerie client, strumentazione di API e implementazioni di riferimento pubblicate per clienti corporate o partner. Questi somigliano molto più a prodotti forniti e molto meno a un'interfaccia di servizio.
I progetti open source che l'ente pubblica e mantiene nell'ambito della propria attività commerciale, dove possono attivarsi anche le disposizioni sul curatore.
Il software in white label o incorporato che la banca riconsegna a partner sotto il proprio nome, la via più rapida per passare da utilizzatore a fabbricante in qualsiasi regime di prodotto dell'UE.

La postura di pianificazione onesta non consiste nell'affermare una conclusione. Consiste nel censire gli artefatti, mettere per iscritto una posizione motivata su ciascuno ed essere in grado di esibire il ragionamento se un CSIRT chiede perché non sia arrivata alcuna segnalazione.

La collisione degli orologi

Supponiamo per un momento che l'analisi concluda per l'inclusione di almeno un artefatto. Ciò che cambia sul piano operativo non è l'esistenza di un processo di incidente — le banche ce l'hanno — ma il fatto che ora due processi girano sullo stesso evento con parametri diversi.

Una vulnerabilità in un SDK pubblicato da una banca passa sotto sfruttamento attivo. DORA chiede se si tratti di un incidente grave connesso alle ICT che colpisce l'ente e, in caso affermativo, la notifica iniziale va all'autorità competente entro quattro ore da tale classificazione e comunque entro 24 ore dalla presa di conoscenza, con una relazione intermedia e una finale a seguire. L'articolo 14 pone una domanda del tutto diversa — è sotto sfruttamento un prodotto che questo ente ha fabbricato — e avvia il proprio preallarme di 24 ore verso un CSIRT e l'ENISA.

I due possono divergere in entrambe le direzioni, ed è questo a rendere insicuro qualsiasi processo unificato.

Una vulnerabilità sfruttata in un SDK consegnato, che non provochi alcuna interruzione dei servizi propri della banca, può non essere affatto un incidente grave ai sensi di DORA e ricadere in pieno nell'articolo 14. E un guasto grave di una piattaforma costruita internamente è una notifica DORA priva di qualsiasi dimensione CRA, perché nulla è stato immesso sul mercato. Costruire un flusso unico che presuma che i due scattino sempre insieme produce insieme falsi negativi e inutile rumore regolamentare.

Tabella 2: cosa stabilire prima dell'11 settembre

Domanda	Cosa determina nella vostra esposizione
Quali artefatti forniamo al di fuori dell'ente?	L'ambito è per prodotto; non esiste una risposta a livello di ente
Per ciascuno, abbiamo una posizione documentata sullo status di fabbricante?	Un'assunzione non documentata non è una difesa
Dov'è il nostro stabilimento principale ai fini del CSIRT?	Determina quale CSIRT nazionale riceve il deposito
Siamo registrati sulla piattaforma unica di segnalazione dell'ENISA?	24 ore non bastano a scoprire un passaggio di accreditamento
«Attivamente sfruttata» ha un titolare nel triage?	L'innesco differisce da ogni scala di gravità già in uso
Chi deposita alle 3 di notte di domenica?	Entrambi gli orologi girano in tempo reale, non in orario d'ufficio

Il numero che fissa la priorità

L'inosservanza dei requisiti essenziali dell'allegato I e degli obblighi degli articoli 13 e 14 comporta sanzioni amministrative fino a 15 milioni di euro o al 2,5 % del fatturato mondiale totale annuo, se superiore. Gli altri obblighi di fabbricanti, importatori e distributori si collocano un gradino sotto, a 10 milioni o al 2 %, e la comunicazione di informazioni inesatte o fuorvianti alle autorità a 5 milioni o all'1 %.

Leggete il gradino più alto a fronte del lavoro cui è agganciato. Determinare se quattro categorie di artefatti rientrino nell'ambito, registrarsi su una piattaforma di segnalazione e aggiungere un ramo a un manuale di triage esistente è un impegno modesto, con un titolare designato e cinque settimane davanti. Non è paragonabile al programma di valutazione della conformità e documentazione tecnica che attende a dicembre 2027. L'asimmetria fra l'esposizione e il costo di rimedio è l'intero argomento, ed è il raro argomento di conformità che sopravvive al contatto con una riunione di prioritizzazione.

Il manuale operativo

Cinque mosse, e la prima non è un parere legale.

Censite ciò che esce dall'edificio. Non sistemi — artefatti. Tutto ciò che l'ente fornisce a chiunque all'esterno, comprese le applicazioni gratuite, le librerie pubblicate e i repository open source. La maggior parte delle banche non ha questo elenco, perché nessuna normativa precedente lo aveva chiesto.
Assumete una posizione per artefatto, per iscritto. Fabbricante, o no, e perché. Il valore non sta nell'avere ragione su ogni riga; sta nell'avere un ragionamento che precede l'incidente anziché essere costruito dopo.
Accreditatevi ora sulla piattaforma unica di segnalazione. Registrazione, credenziali e un depositante designato sono esattamente il tipo di prerequisito invisibile finché un orologio di 24 ore non sta già girando.
Sdoppiate l'innesco nel triage. Aggiungete una domanda esplicita — un prodotto che fabbrichiamo è attivamente sfruttato — valutata indipendentemente dalla classificazione di incidente grave ai sensi di DORA. L'indipendenza è il punto: un controllo annidato eredita la soglia sbagliata.
Avviate il lavoro sull'SBOM contro la data di dicembre 2027. L'allegato I richiede una distinta base del software in un formato diffuso leggibile dalla macchina, che copra almeno le dipendenze di primo livello. Quell'obbligo è a sedici mesi, ed è lo stesso problema di enumerazione che gli enti stanno già fallendo sul versante crittografico.

Lo schema non è nuovo. Un regime viene redatto pensando a un determinato settore, gli enti finanziari leggono il nome del settore e concludono che il fascicolo appartenga a qualcun altro. Il CRA è stato scritto per i fabbricanti di dispositivi e i fornitori di software. Raggiunge comunque la banca, nello spazio stretto in cui la banca si trova a esserne uno — e l'esenzione a cui tutti si aggrapperanno per prima è stata scritta in un'altra legge, per un altro scopo, e non si applica.

Domande frequenti

Segnaliamo ai sensi di DORA. Non basta?
No. DORA neutralizza gli obblighi paralleli di NIS2 tramite il meccanismo di rinvio dello stesso articolo 4 di NIS2. Tale meccanismo è interno a NIS2 e non produce effetti sul regolamento (UE) 2024/2847. Il CRA impone doveri ai fabbricanti di prodotti, non agli enti finanziari: non c'è dunque nulla che un argomento di lex specialis possa neutralizzare.

La nostra app di mobile banking rientra nell'ambito?
È la questione realmente aperta, e va risolta deliberatamente anziché presunta. L'app è software con connessione dati, fornito al pubblico nell'ambito di un'attività commerciale, che è la formulazione normativa. L'argomento contrario è che sia l'interfaccia di un servizio regolamentato anziché un prodotto fornito per l'uso. Documentate una posizione; non fate leva sul fatto che sia gratuita, perché il prezzo non è il criterio.

Che cosa innesca esattamente il termine di 24 ore?
La conoscenza di una vulnerabilità del vostro prodotto attivamente sfruttata, o di un incidente grave con impatto sulla sicurezza del prodotto. L'innesco è lo sfruttamento, non la gravità né l'impatto sul cliente — ed è per questo che non si sovrappone alla classificazione di incidente grave di DORA.

A chi depositiamo concretamente?
Attraverso la piattaforma unica di segnalazione del CRA dell'ENISA, indirizzata al CSIRT designato come coordinatore nello Stato membro del vostro stabilimento principale. L'ENISA la riceve simultaneamente, e il CSIRT ricevente la condivide con i CSIRT degli altri territori in cui il prodotto è distribuito. Un deposito, non più d'uno.

Comincia altro a settembre?
No. Solo gli obblighi di segnalazione dell'articolo 14. I requisiti essenziali di cibersicurezza, l'obbligo di SBOM, la valutazione della conformità, la documentazione tecnica e la marcatura CE si applicano tutti dall'11 dicembre 2027. Trattare settembre come l'intero fascicolo è l'immagine speculare dell'ignorarlo.

Quanto costa sbagliare il perimetro?
Le violazioni degli articoli 13 e 14 e dei requisiti essenziali dell'allegato I comportano sanzioni fino a 15 milioni di euro o al 2,5 % del fatturato mondiale totale annuo, se superiore. Il costo più immediato è procedurale: un preallarme mancato non si sana retroattivamente, e il momento in cui un ente scopre di essere stato fabbricante non dovrebbe essere quello in cui un CSIRT chiede perché non sia arrivata alcuna segnalazione.

Riferimenti

Parlamento europeo e Consiglio dell'Unione europea, 2024. Regolamento (UE) 2024/2847 relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali (regolamento sulla ciberresilienza). Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile all'indirizzo: Parlamento europeo e Consiglio dell'Unione europea, 2024..
Commissione europea, 2026. Regolamento sulla ciberresilienza — Obblighi di segnalazione. Bruxelles: Direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie. Disponibile all'indirizzo: Commissione europea, 2026..
Commissione europea, 2026. Il regolamento sulla ciberresilienza — Sintesi del testo legislativo. Bruxelles: Direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie. Disponibile all'indirizzo: Commissione europea, 2026..
Parlamento europeo e Consiglio dell'Unione europea, 2022. Direttiva (UE) 2022/2555 relativa a misure per un livello comune elevato di cibersicurezza nell'Unione (direttiva NIS 2). Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile all'indirizzo: Parlamento europeo e Consiglio dell'Unione europea, 2022..
Parlamento europeo e Consiglio dell'Unione europea, 2022. Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale per il settore finanziario (DORA). Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile all'indirizzo: Parlamento europeo e Consiglio dell'Unione europea, 2022..

Ultima revisione 2026-08-16.

Ripubblica questo articolo

DORA vi ha risparmiato NIS2. Non vi risparmierà il CRA. — Sebastien Rousseau

L'11 settembre il CRA avvia un termine di 24 ore. Grava sui prodotti: l'esenzione DORA che neutralizza NIS2 non lo raggiunge mai.

Questo articolo è pubblicato con licenza Creative Commons Attribution 4.0 International. La ripubblicazione richiede l'attribuzione all'URL canonico.

DORA vi ha risparmiato NIS2. Non vi risparmierà il CRA. — Sebastien Rousseau

L'11 settembre il CRA avvia un termine di 24 ore. Grava sui prodotti: l'esenzione DORA che neutralizza NIS2 non lo raggiunge mai.

Originally published at https://sebastienrousseau.com/it/2026-08-03-cyber-resilience-act-article-14-reporting-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER