C’è una data che, per la cybersicurezza europea, ha smesso di essere una scadenza sul calendario: l’11 settembre 2026. Da oggi, coloro che producono prodotti con elementi digitali devono segnalarne le vulnerabilità e gli incidenti, in tempi prestabiliti.
E proprio oggi il consorzio di OSCRAT ha lanciato la sua piattaforma gratuita e open source, progettata per le PMI europee. Non è una coincidenza, è una dichiarazione d’intenti.
Il nostro centro di R&S PMF Research è coordinatore del progetto e leader del Work Package 5 – Dissemination & Exploitation: a noi va il compito di portare OSCRAT alle imprese.
Continua a leggere.
Indice dei contenuti
Il CRA supera la fase teorica
Il Cyber Resilience Act (Regolamento UE 2024/2847) è in vigore dal 10 dicembre 2024, ma per molte imprese era rimasto un appuntamento lontano, fissato al dicembre 2027. Non è più così.
Dall’11 settembre 2026 si applica infatti l’art. 14, che introduce due obblighi di notifica per i fabbricanti di prodotti con elementi digitali:
- un preallarme entro 24 ore da quando si viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave;
- una notifica dettagliata entro 72 ore, con la valutazione dell’evento e le misure correttive da adottare o previste.
Le segnalazioni viaggiano attraverso la piattaforma unica europea gestita da ENISA e raggiungono contemporaneamente il CSIRT, designato come coordinatore. La logica richiama quella già introdotta da normative come NIS2 e GDPR: si tenta di ridurre al minimo la distanza fra l’evento e la consapevolezza delle autorità.
Tradotto: chi stava aspettando il 2027 per organizzarsi è già in ritardo. Perché rispettare una scadenza di 24 ore non è un adempimento documentale da improvvisare: presuppone processi di incident response, monitoraggio delle vulnerabilità, ruoli assegnati e tracciabilità. Cose che le grandi aziende hanno; le PMI quasi mai.
Cos’è OSCRAT e perché è nato
OSCRAT (Open-Source Cyber Resilience Act Tools) è un progetto europeo che sviluppa strumenti gratuiti e open source per aiutare le PMI a rispettare il Cyber Resilience Act. È cofinanziato dall’Unione Europea nell’ambito del programma Europa Digitale (Grant Agreement n. 101190180) e sostenuto dal Centro europeo di competenza per la cybersicurezza (ECCC).
Il consorzio riunisce sei organizzazioni di cinque diversi Paesi: PMF Research (Italia, coordinatore del progetto e leader della disseminazione), Oves Enterprise ed ENERSEC (Romania), EDIH Trakia (Bulgaria), Unicis.Tech (Estonia) e Łukasiewicz – AI (Polonia): ricerca, sviluppo software, consulenza in cybersicurezza e innovazione digitale allo stesso tavolo, in pratica.
Il percorso lo abbiamo raccontato passo dopo passo: dalla nascita del progetto, al completamento del WP2 e all’avvio dello sviluppo, fino alla beta e ai workshop del 2026. Oggi arriva finalmente a destinazione.
Cosa fa concretamente la piattaforma OSCRAT
OSCRAT riunisce in un unico ambiente attività che di norma un’impresa si ritrova sparse tra fogli di calcolo, e-mail e cartelle condivise:
- valutazione di applicabilità e conformità al CRA ➝ capire subito quali requisiti si applicano ai propri prodotti e come strutturare il lavoro che ne consegue;
- gestione delle SBOM e test di sicurezza ➝ la Software Bill of Materials diventa uno strumento vivo: sapere quali componenti compongono il proprio software e quali vulnerabilità portano con sé;
- gestione di vulnerabilità e incidenti ➝ registrare, valutare e seguire nel tempo problemi di sicurezza e azioni correttive. È esattamente ciò che serve per reggere il ritmo delle 24 e 72 ore;
- valutazione e trattamento del rischio ➝ identificare i rischi di sicurezza legati al prodotto e decidere come affrontarli;
- gestione della configurazione e dei task di conformità ➝ organizzazione e tracciabilità delle attività, senza perdere pezzi per strada.
- documentazione tecnica e dichiarazione di conformità ➝ raccogliere e ordinare le evidenze richieste lungo tutto il percorso;
- audit log e tracciabilità ➝ un registro delle attività svolte sulla piattaforma, perché la conformità va anche dimostrata.
A questo si aggiungono security awareness e formazione e la gestione delle informazioni su prodotti e versioni nell’arco del ciclo di vita.
Il senso è uno solo: collegare il testo del regolamento a flussi di lavoro concreti, così che la cybersicurezza diventi parte dello sviluppo del prodotto e della gestione del rischio.
Il “Final Event”: la piattaforma presentata dal vivo
La piattaforma è stata lanciata durante l’OSCRAT Final Event, l’evento conclusivo online dell’11 settembre 2026, che ha riunito esperti di cybersicurezza, stakeholder europei e organizzazioni impegnate nell’attuazione del CRA.
Dopo il racconto del percorso di sviluppo, una demo dal vivo ha mostrato la piattaforma in azione: dalla valutazione dell’applicabilità del CRA alla gestione di prodotti, vulnerabilità, incidenti, rischi, SBOM, task e documentazione tecnica.
Il programma ha inoltre messo OSCRAT in dialogo con altre iniziative europee sulla sicurezza dei prodotti digitali: l’Europa sta passando dalla preparazione normativa all’attuazione pratica e nessuno può farlo da solo.
Gratuita e open source fa la differenza
Il modello free e open source non è un dettaglio tecnico: è il cuore del progetto.
Le PMI sono la stragrande maggioranza del tessuto produttivo europeo, ma anche le realtà che meno possono permettersi licenze costose o team dedicati alla compliance. Abbattere la barriera economica significa allargare la platea di chi partecipa davvero alla transizione verso prodotti digitali più sicuri.
C’è poi un secondo effetto: l’open source garantisce trasparenza (il codice è ispezionabile) e apre alla collaborazione. Imprese, sviluppatori e community possono usare la piattaforma, adattarla e migliorarla.
A chi si rivolge OSCRAT
La piattaforma è pensata per le PMI europee e per i fabbricanti di prodotti con elementi digitali, ma è utile anche a Digital Innovation Hub, consulenti di cybersicurezza, associazioni di categoria e decisori politici.
Se progetti, sviluppi o mantieni un prodotto che contiene software (anche solo un firmware) il CRA con ogni probabilità ti riguarda.
Il progetto si chiude, ma la piattaforma resta
OSCRAT si conclude a settembre 2026, ma il risultato che lascia non ha data di scadenza: una piattaforma aperta, gratuita e disponibile a chiunque, che continuerà a vivere grazie alla community.
È questo il senso più autentico di un progetto europeo ben riuscito: non un deliverable archiviato a fine rendicontazione, ma uno strumento che resta nelle mani delle imprese. La cybersicurezza non è più un optional e da oggi non è più nemmeno un lusso.
Scopri e utilizza la piattaforma sul sito ufficiale di OSCRAT.
FAQ
Che cos’è OSCRAT?
OSCRAT (Open-Source Cyber Resilience Act Tools) è un progetto europeo che ha sviluppato una piattaforma gratuita e open source per la conformità delle PMI al Cyber Resilience Act. È cofinanziato dall’Unione Europea grazie al programma Europa Digitale (Grant Agreement n. 101190180) ed è inoltre sostenuto dall’ECCC. La piattaforma è stata lanciata l’11 settembre 2026.
La piattaforma OSCRAT è davvero gratuita?
Sì. È gratuita e distribuita in open source: nessun costo di licenza e codice ispezionabile, adattabile e migliorabile da imprese, sviluppatori e community, anche oltre la durata del progetto.
Cosa cambia dall’11 settembre 2026 con il Cyber Resilience Act?
Si applica l’art. 14 del Regolamento UE 2024/2847: i fabbricanti di prodotti con elementi digitali devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi con un preallarme entro 24 ore e una notifica dettagliata entro 72 ore, tramite la piattaforma unica di segnalazione europea. Le altre disposizioni si applicheranno dall’11 dicembre 2027.
Quali funzionalità offre la piattaforma OSCRAT?
Valutazione di applicabilità e conformità al CRA, gestione delle SBOM e scansione di sicurezza, gestione di vulnerabilità e incidenti, valutazione e trattamento del rischio, gestione della configurazione e dei task di conformità, documentazione tecnica e dichiarazione di conformità, audit log e tracciabilità. Include anche security awareness e formazione.
A chi si rivolge OSCRAT?
In primo luogo, alle PMI europee e ai fabbricanti di prodotti con elementi digitali. È utile anche a Digital Innovation Hub, professionisti della cybersicurezza, associazioni di categoria e decisori politici che supportano le imprese nell’adeguamento al nuovo quadro normativo europeo.
Il Cyber Resilience Act si applica anche alla mia PMI?
Il CRA riguarda i prodotti con elementi digitali immessi sul mercato europeo, firmware incluso, e non prevede esenzioni per dimensione d’impresa. Se progetti, sviluppi o mantieni un prodotto che contiene software, con ogni probabilità rientri nel perimetro: la valutazione di applicabilità della piattaforma OSCRAT serve a chiarire quali requisiti si applicano a ciascun prodotto.
Chi sono i partner del progetto OSCRAT?
Il consorzio riunisce sei organizzazioni di cinque Paesi: PMF Research (Italia), Oves Enterprise ed ENERSEC (Romania), EDIH Trakia (Bulgaria), Unicis.Tech (Estonia) e Łukasiewicz – AI (Polonia). PMF Research, centro di R&S del JO Group, è leader del Work Package 5 – Dissemination & Exploitation.
Cos’è una SBOM e perché serve per il CRA?
La SBOM (Software Bill of Materials) è l’inventario dei componenti software di un prodotto e librerie di terze parti (open source incluse). Serve perché consente di sapere subito se una vulnerabilità appena divulgata riguarda uno dei propri prodotti: condizione necessaria per rispettare i tempi di 24 e 72 ore.
Resta in contatto con PMF Research per partecipare a progetti simili
Se vuoi saperne di più su OSCRAT o cerchi partner per progetti europei simili, puoi contattarci:
- chiamando il numero telefono 0950936053;
- compilando il modulo di contatto in fondo alla pagina.
Per restare aggiornato, segui PMF Research e il JO Group su LinkedIn.