Dall’11 settembre 2026 i produttori di wallet Bitcoin, hardware e software, devono segnalare all’Unione Europea le vulnerabilità sfruttate attivamente entro 24 ore dalla scoperta, secondo i nuovi obblighi della Cyber Resilience Act (CRA, il regolamento UE sulla sicurezza informatica dei prodotti digitali) entrati in vigore la scorsa settimana. La misura passa dalla nuova Single Reporting Platform dell’agenzia europea per la cybersicurezza ENISA e arriva mentre due tra i principali produttori di hardware wallet per Bitcoin, Trezor e BitBox, gestiscono ancora le conseguenze di violazioni dati e tentativi di phishing avvenuti nelle ultime settimane. Per chi conserva Bitcoin in autocustodia la novità promette tempi di reazione più rapidi alle falle dei dispositivi, ma introduce anche per i produttori multe fino a 15 milioni di euro o il 2,5% del fatturato globale in caso di ritardo, un costo di compliance che BitcoinLive24 analizza nel dettaglio.
Cosa è Successo
ENISA (European Union Agency for Cybersecurity, l’agenzia UE per la cybersicurezza con sede ad Atene) ha attivato l’11 settembre 2026 la prima fase della Single Reporting Platform, la piattaforma unica per la segnalazione delle vulnerabilità prevista dalla Cyber Resilience Act. Da quella data i produttori di hardware e software — wallet Bitcoin inclusi — devono seguire una procedura in tre tempi, secondo quanto confermato dall’agenzia e riportato da CoinTelegraph: un allarme preliminare entro 24 ore dalla scoperta di una vulnerabilità attivamente sfruttata o di un incidente grave, una notifica completa con valutazione iniziale entro 72 ore, e un rapporto finale entro 14 giorni dalla disponibilità di una patch (entro un mese per gli incidenti più gravi).
Il direttore esecutivo di ENISA, Juhan Lepassaar, ha dichiarato che la condivisione rapida delle informazioni sulle vulnerabilità sfruttate attivamente aiuta a costruire “un mercato unico digitale più resiliente”. Chi non rispetta le scadenze rischia una multa amministrativa fino a 15 milioni di euro o il 2,5% del fatturato globale annuo, a seconda di quale cifra sia più alta; fornire informazioni incomplete o fuorvianti comporta comunque una sanzione fino a 5 milioni di euro.
Il Contesto Geopolitico
La Cyber Resilience Act non nasce per il settore Bitcoin: è il regolamento orizzontale con cui l’UE impone requisiti minimi di sicurezza informatica a tutti i “prodotti con elementi digitali” venduti nel mercato unico, dagli elettrodomestici connessi ai software. Gli obblighi di segnalazione sono già vincolanti dall’11 settembre 2026, mentre i requisiti di sicurezza veri e propri — progettazione, aggiornamenti, gestione delle vulnerabilità — diventeranno obbligatori solo dall’11 dicembre 2027, lasciando ai produttori oltre un anno per adeguarsi.
Per i wallet Bitcoin la tempistica non è casuale. Il produttore ceco Trezor aveva già rivelato una violazione dati del fornitore logistico ShipMonk, che inizialmente coinvolgeva 11.742 clienti con esposizione completa e 1.947 con esposizione parziale. Il 2 settembre l’azienda ha comunicato che la violazione si estendeva anche a ordini più vecchi, per un totale di altri 67.000 clienti USA esposti, portando il conteggio complessivo oltre gli 80.000, secondo quanto pubblicato sul blog ufficiale di Trezor.
Nella stessa settimana Trezor e il produttore rivale BitBox hanno avvertito gli utenti di email di phishing travestite da comunicazioni di sicurezza urgenti, che sfruttavano probabilmente proprio i dati trapelati dalla violazione ShipMonk.
Le Conseguenze per i Wallet Bitcoin
Per gli utenti Bitcoin che si affidano ai wallet hardware per l’autocustodia, l’obbligo di segnalazione rapida riduce la finestra in cui un produttore può restare in silenzio su una falla attivamente sfruttata: 24 ore per il primo allarme sono molto meno dei giorni o delle settimane che spesso intercorrono, nel settore tech in generale, tra la scoperta di una vulnerabilità e la sua divulgazione pubblica.
| Aspetto | Unione Europea (Cyber Resilience Act) | Stati Uniti |
|---|---|---|
| Segnalazione falle sfruttate | Allarme entro 24h, notifica completa entro 72h, vincolante dall’11 set 2026 | Nessun obbligo federale equivalente per i produttori di wallet crypto |
| Autorità di riferimento | ENISA, tramite la Single Reporting Platform | Nessuna agenzia con mandato dedicato ai wallet crypto |
| Sanzioni per inadempienza | Fino a 15 milioni di euro o 2,5% del fatturato globale | Nessuna sanzione federale dedicata |
| Ambito della norma | Tutti i prodotti digitali, wallet hardware/software inclusi | Quadro frammentato, iniziative solo a livello statale |
La distinzione con MiCA (Markets in Crypto-Assets, il regolamento UE sui mercati delle criptovalute) è importante: MiCA disciplina gli exchange e gli emittenti di token, mentre la CRA si occupa della sicurezza dei prodotti fisici e software, wallet Bitcoin inclusi. Le due normative si sovrappongono raramente, ma insieme delineano un approccio europeo alla vigilanza sull’ecosistema Bitcoin più capillare rispetto a quello di altre giurisdizioni.
Le Reazioni Internazionali
ENISA ha ringraziato pubblicamente i team nazionali di risposta agli incidenti (CSIRT), il gruppo di esperti della CRA e “alcuni produttori selezionati” che hanno contribuito ai test della piattaforma prima del lancio. CoinTelegraph riferisce di aver contattato sia Trezor sia il concorrente Ledger per chiedere come intendano adeguarsi ai nuovi obblighi di segnalazione, senza ricevere risposta al momento della pubblicazione dell’articolo originale.
Trezor, dal canto suo, ha scelto di condividere pubblicamente sul proprio blog i dettagli della violazione ShipMonk invece di limitarsi a una comunicazione privata agli utenti coinvolti — un livello di trasparenza che il nuovo regime europeo di fatto renderà obbligatorio per l’intero settore a partire dagli episodi futuri.
Prospettive e Scenari
Da qui a dicembre 2027 il settore dei wallet Bitcoin attraverserà una fase di transizione su due binari. Nel breve termine, i produttori dovranno mettere a punto processi interni per rispettare le scadenze di 24 e 72 ore ogni volta che scoprono una vulnerabilità sfruttata attivamente — una capacità che oggi non tutte le aziende hanno, soprattutto quelle più piccole.
Tre scenari sono plausibili. Nel primo, il più probabile visto il coinvolgimento di alcuni produttori nei test della piattaforma, i grandi nomi dell’hardware wallet (Trezor, Ledger, BitBox) si adeguano senza intoppi rilevanti, e la trasparenza forzata riduce i tempi di esposizione degli utenti alle falle attive.
Nel secondo scenario, uno o più produttori mancano le scadenze in un caso concreto entro la fine del 2026, offrendo a ENISA l’occasione di un primo caso-test delle sanzioni prima che i requisiti di sicurezza pieni scattino nel 2027.
Nel terzo scenario, meno probabile nel breve periodo ma plausibile più avanti, altre giurisdizioni — a partire da Regno Unito e Stati Uniti — si ritrovano sotto pressione per adottare regole di segnalazione simili, spinte anche da casi come quello di Trezor che hanno già attirato attenzione mediatica globale.
Il vero banco di prova arriverà comunque solo con l’entrata in vigore dei requisiti di sicurezza pieni della CRA, l’11 dicembre 2027: da quel momento i wallet Bitcoin venduti nell’Unione Europea dovranno dimostrare non solo di saper segnalare le falle, ma di essere stati progettati fin dall’inizio per prevenirle. BitcoinLive24 continuerà a seguire il dossier man mano che la scadenza si avvicina.
Domande Frequenti
Cosa impone la Cyber Resilience Act ai wallet Bitcoin?
Impone ai produttori di wallet hardware e software di segnalare all’UE, tramite la Single Reporting Platform di ENISA, ogni vulnerabilità attivamente sfruttata entro 24 ore dalla scoperta, con una notifica completa entro 72 ore.
Da quando è in vigore l’obbligo di segnalazione?
Dall’11 settembre 2026. I requisiti di sicurezza più ampi della CRA, che riguardano la progettazione e gli aggiornamenti dei prodotti, diventeranno vincolanti solo dall’11 dicembre 2027.
Cosa rischia un produttore che non rispetta le scadenze?
Una multa amministrativa fino a 15 milioni di euro o al 2,5% del fatturato globale annuo, a seconda di quale importo sia più alto; fino a 5 milioni di euro per informazioni incomplete o fuorvianti.
Cosa c’entra la violazione dati di Trezor con questa norma?
Trezor ha rivelato che la violazione del fornitore ShipMonk, che inizialmente riguardava circa 13.700 clienti, si è allargata a settembre ad altri 67.000 clienti USA, per un totale di oltre 80.000 persone coinvolte — un episodio che mostra perché l’UE vuole tempi di segnalazione più rapidi.
La Cyber Resilience Act è la stessa cosa di MiCA?
No. MiCA regola gli exchange e gli emittenti di criptovalute nell’UE, mentre la Cyber Resilience Act riguarda la sicurezza informatica dei prodotti digitali, wallet Bitcoin hardware e software inclusi.
Scarica l’app BitcoinLive24 per restare aggiornato su come i produttori di wallet Bitcoin si adeguano ai nuovi obblighi europei di sicurezza.
