I produttori commerciali di wallet crypto interessati devono inviare una segnalazione preliminare entro 24 ore dal momento in cui vengono a conoscenza del fatto che una vulnerabilità del loro prodotto è oggetto di sfruttamento attivo ai sensi del Cyber Resilience Act dell’Unione europea. L’obbligo riguarda la segnalazione e non impone di riparare la vulnerabilità entro un giorno; inoltre, si applica solo ai wallet che rientrano nell’ambito commerciale della legge.

La misura fa parte del Cyber Resilience Act dell’UE, formalmente Regolamento (UE) 2024/2847. Il regolamento stabilisce requisiti di cybersicurezza per i prodotti dotati di elementi digitali che si connettono a dispositivi o reti. La Commissione europea fornisce ulteriori informazioni nella sua guida alle segnalazioni prevista dal Cyber Resilience Act e nel riepilogo del CRA.

Per i produttori di wallet crypto, il cambiamento più immediato è rappresentato dalla breve finestra temporale per la segnalazione, che inizia quando il produttore viene a conoscenza del fatto che è in corso un attacco.

Cosa fa partire il termine di 24 ore per la segnalazione?

Il termine inizia quando un produttore viene a conoscenza di una vulnerabilità oggetto di sfruttamento attivo o di un incidente grave che riguarda il suo prodotto. Da quel momento, il produttore ha 24 ore per inviare una segnalazione preliminare.

Il criterio di attivazione è circoscritto. Riguarda le vulnerabilità che gli attaccanti stanno effettivamente sfruttando, non ogni difetto individuato durante le normali attività di sviluppo o test. Gli esperti legali di Freshfields hanno spiegato che lo sfruttamento attivo richiede prove affidabili del fatto che un soggetto malevolo stia sfruttando la vulnerabilità senza il permesso del titolare del sistema.

Il periodo di 24 ore costituisce quindi un obbligo di informare le autorità di regolamentazione, non l’obbligo di avere già pronta una patch. Un produttore di wallet può segnalare un attacco in corso mentre continua a indagare sull’incidente e a sviluppare una misura correttiva.

La segnalazione preliminare è solo la prima fase della procedura. Una notifica completa deve essere presentata entro 72 ore dalla presa di conoscenza, separatamente dalla segnalazione iniziale entro 24 ore.

Per una vulnerabilità oggetto di sfruttamento attivo, il rapporto finale deve essere presentato entro e non oltre 14 giorni dalla disponibilità di una misura correttiva. Per un incidente grave, il rapporto finale deve essere presentato entro un mese dalla notifica a 72 ore.

Questi obblighi di segnalazione sono entrati in vigore l’11 settembre 2026. L’insieme più ampio degli obblighi previsti dal Cyber Resilience Act si applicherà dall’11 dicembre 2027. Il regolamento è entrato in vigore il 10 dicembre 2024.

Quali produttori di wallet crypto sono interessati?

La norma si applica ai prodotti dotati di elementi digitali messi a disposizione sul mercato dell’UE. Sono compresi i prodotti il cui uso previsto o ragionevolmente prevedibile comporta una connessione dati a un dispositivo o a una rete, una descrizione che include la maggior parte dei software e degli hardware wallet crypto.

Il termine “commerciale” è significativo. Mettere un prodotto a disposizione sul mercato significa fornirlo nel corso di un’attività commerciale, indipendentemente dal fatto che il prodotto sia a pagamento o fornito gratuitamente. Anche il software distribuito senza costi può rientrare nell’ambito di applicazione se viene fornito nell’ambito di un’attività commerciale.

I prodotti che non vengono forniti attraverso un’attività commerciale non rientrano in questo specifico ambito. L’applicazione della norma a un singolo wallet resta una questione da valutare caso per caso. I materiali della Commissione non classificano prodotti wallet specifici e nessuna fonte citata conferma se un determinato hardware wallet, software wallet o servizio ospitato sia soggetto alla norma o ne sia esente.

I progetti open source sono trattati separatamente. I responsabili del software open source saranno soggetti ai propri obblighi di segnalazione ai sensi dell’Articolo 24(3) dall’11 dicembre 2027. Tali responsabili non sono soggetti alle sanzioni per violazioni previste dal Cyber Resilience Act.

Il regolamento prevede inoltre una specifica legata alle dimensioni dell’impresa. Secondo il riepilogo della Commissione, i produttori qualificati come microimprese o piccole imprese potrebbero non essere multati per il mancato rispetto del termine di 24 ore. Ciò non elimina il loro obbligo di segnalare.

La norma si applica anche ai prodotti che erano già stati immessi sul mercato dell’UE prima dell’11 dicembre 2027.

Impatto operativo sui produttori di wallet

Un termine di 24 ore lascia poco tempo a un’azienda per creare una procedura di risposta agli incidenti dopo l’inizio di un attacco. Gli analisti di Freshfields hanno osservato che i brevi periodi previsti per le segnalazioni lasciano opportunità limitate per stabilire procedure dopo il verificarsi di un evento.

Il termine continua a decorrere durante i weekend e i giorni festivi. Freshfields ha spiegato che tali giornate non sospendono il periodo previsto per la segnalazione.

Di conseguenza, i team che gestiscono i wallet potrebbero dover definire in anticipo procedure per registrare il momento preciso in cui si verifica la presa di conoscenza, sottoporre la questione a un team responsabile e raccogliere rapidamente le informazioni richieste sull’incidente.

La segnalazione alle autorità, l’analisi dell’incidente e la correzione della vulnerabilità sono attività separate. Un produttore può informare le autorità mentre continua a determinare la portata dell’attacco e a sviluppare o implementare una soluzione. La procedura di segnalazione non stabilisce di per sé un termine di 24 ore per completare la correzione.

I produttori inviano le segnalazioni tramite la Cyber Resilience Act Single Reporting Platform. La segnalazione è indirizzata al Computer Security Incident Response Team nazionale competente, o CSIRT, e le informazioni vengono messe a disposizione contemporaneamente dell’Agenzia dell’Unione europea per la cybersicurezza, o ENISA, salvo circostanze particolarmente eccezionali.

Per gli utenti dei wallet, l’invio di una segnalazione non garantisce che il wallet sia sicuro o che i fondi degli utenti siano protetti. Fornisce alle autorità una notifica tempestiva di un attacco in corso. I campi obbligatori della segnalazione, le procedure di invio e gli eventuali obblighi di notifica ai clienti dovrebbero essere verificati sulla base delle indicazioni ufficiali prima di essere considerati definitivi.

Per chi detiene criptovalute e utilizza un wallet di un’azienda operante nell’UE, l’effetto pratico è che il produttore potrebbe ora dover informare rapidamente le autorità quando gli attaccanti sfruttano una vulnerabilità del prodotto. Questo livello di segnalazione è applicabile dall’11 settembre 2026.

Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.