# Che cosa richiede il CRA quando una vulnerabilità viene sfruttata?

L'articolo 14 del regolamento sulla ciberresilienza obbliga i fabbricanti di prodotti con elementi digitali a notificare, in più fasi, le vulnerabilità attivamente sfruttate nei loro prodotti e gli incidenti gravi che incidono sulla sicurezza di tali prodotti. Per le fasi, i relativi termini e i destinatari delle notifiche si veda il regolamento (UE) 2024/2847, articolo 14. Questi obblighi di notifica si applicano dall'11 settembre 2026. Riguardano i fabbricanti, non le aziende che si limitano a usare i prodotti, anche se l'incidente proprio di un utente può dover essere notificato ai sensi della NIS2 o del GDPR.

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

FAQ: [Scadenze di notifica](https://netsenx.com/it/faq/reporting) · https://netsenx.com/it/faq/what-does-the-cra-require-when-a-vulnerability-is-exploited

## Da leggere dopo

- https://netsenx.com/it/nis2-incident-reporting-deadlines
- https://netsenx.com/it/nis2-network-monitoring

## Domande correlate

- [Il DORA si applica a noi?](https://netsenx.com/it/faq/does-dora-apply-to-us)
- [Che cosa conta come incidente significativo secondo la NIS2?](https://netsenx.com/it/faq/what-counts-as-a-significant-incident-under-nis2)
- [Un attacco fallito o bloccato va notificato secondo la NIS2?](https://netsenx.com/it/faq/is-a-blocked-attack-reportable-under-nis2)
- [Come può un piccolo team rispettare il termine di 24 ore del preallarme NIS2?](https://netsenx.com/it/faq/how-can-a-small-team-meet-the-nis2-24-hour-deadline)
- [Che cosa dobbiamo avere pronto prima che scada il termine di 24 ore della NIS2?](https://netsenx.com/it/faq/what-should-we-have-ready-before-the-nis2-24-hour-deadline)