Dall’11 settembre il Cyber Resilience Act smette di essere per le imprese una normativa da studiare in vista del 2027 e diventa una prova concreta della loro capacità di governo. I produttori di dispositivi e software con elementi digitali dovranno trasmettere entro 24 ore un primo avviso relativo alle vulnerabilità e agli incidenti gravi che incidono sulla sicurezza dei prodotti, seguito da una notifica più completa entro 72 ore. Il dato significativo non è la brevità del termine ma ciò che un’azienda deve aver costruito prima perché quelle 24 ore possano essere rispettate. Bisogna conoscere i prodotti che rientrano nel perimetro del regolamento, ricostruirne le componenti, governare le informazioni provenienti da sviluppatori e fornitori, valutare l’impatto di una vulnerabilità e stabilire chi ha il potere di decidere.