Vai al contenuto
EU Rules Finder
Italiano (Lingua)

Modello di politica di divulgazione coordinata delle vulnerabilità e generatore di security.txt

Il regolamento sulla ciberresilienza impone a ogni fabbricante di un prodotto con elementi digitali una politica di divulgazione coordinata delle vulnerabilità e un indirizzo di contatto per le segnalazioni. Compilate i vostri dati per ottenere il testo della politica e un file security.txt per il vostro sito. Nulla di ciò che digitate lascia il browser.

Verificato rispetto alle fonti il 2 novembre 2026

Nomi di prodotti, modelli o «tutti i nostri prodotti con elementi digitali».
Un indirizzo e-mail o l’indirizzo https di un modulo web: il vostro punto di contatto unico (articolo 13, paragrafo 17).
Una pagina https del vostro sito, ad esempio https://example.com/security.
Per la riga Canonical di security.txt.
Un numero intero da 1 a 30.

La vostra politica

Ancora da compilare

  • Indicate il nome dell’azienda.
  • Indicate un indirizzo e-mail o l’indirizzo https di un modulo web per le segnalazioni.
  • Indicate l’indirizzo https in cui sarà pubblicata la politica.
  • Indicate la data della politica.

Coordinated vulnerability disclosure policy of TO COMPLETE

TO COMPLETE welcomes reports of potential vulnerabilities in its products, including in third-party and open-source components they contain. This policy says how to report one and what we do with it.

Scope

This policy covers: TO COMPLETE.

How to report

  • Report to: TO COMPLETE. This is our single point of contact for vulnerability reports.
  • Please include the product and version, a description of the issue, the steps to reproduce it and any proof of concept, and how we can reach you.
  • You may report in English or in the language of your choice; you may stay anonymous, though we then cannot keep you informed.

What we do

  • We acknowledge your report within 5 working days and keep you informed until it is resolved.
  • We assess the report, and address and remediate a confirmed vulnerability without delay, in relation to its risk.
  • We agree a disclosure date with you. Please do not disclose the vulnerability before a fix is available or that date has passed.
  • Once a security update is available, we publish information about the fixed vulnerability: a description, the products affected, its impact and severity, and how users can remediate it. Where the security risks of publication outweigh its benefits, we may delay publication until users have had the possibility to apply the update.
  • Where the vulnerability is in a component made or maintained by someone else, we report it to them.
  • With your agreement, we credit you when we publish.

About this policy

Published at TO COMPLETE. Last updated TO COMPLETE.

security.txt

Pubblicate questo file in /.well-known/security.txt sul vostro sito. Scade un anno meno un giorno dopo la data della politica (la RFC 9116 chiede meno di un anno): rinnovatelo prima.

security.txt richiede un contatto e una data leggibili; compare qui appena entrambi sono compilati.

La politica è scritta in inglese, la lingua della maggior parte di chi segnala; traducetela se i vostri utenti ne hanno bisogno. I dati non leggibili compaiono come TO COMPLETE. È un modello, non una consulenza legale, e non dimostra che un prodotto sia conforme al regolamento (UE) 2024/2847.

L’intero set di documenti CRA, con questa politica, le procedure di gestione e segnalazione delle vulnerabilità, la documentazione tecnica e la dichiarazione di conformità UE in 9 lingue (a pagamento)

Che cosa chiede il regolamento sulla ciberresilienza

  • Attuare e far rispettare una politica di divulgazione coordinata delle vulnerabilità (allegato I, parte II, punto 5).
  • Agevolare la segnalazione delle vulnerabilità, anche fornendo un indirizzo di contatto per le segnalazioni (allegato I, parte II, punto 6).
  • Quando è disponibile un aggiornamento di sicurezza, pubblicare informazioni sulla vulnerabilità corretta: descrizione, prodotti interessati, impatto e gravità, e come gli utenti possono porvi rimedio; la pubblicazione può essere rinviata se i rischi per la sicurezza superano i benefici (allegato I, parte II, punto 4).
  • Designare un punto di contatto unico che consenta agli utenti di comunicare direttamente e rapidamente con voi, anche per segnalare vulnerabilità (articolo 13, paragrafo 17), e indicarlo, con il luogo in cui si trova la politica, nelle informazioni per gli utenti (allegato II, punto 2).

Date

I requisiti di gestione delle vulnerabilità dell’allegato I, parte II, si applicano dall’11 dicembre 2027. L’obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi si applica dall’11 settembre 2026 (articolo 71, paragrafo 2): un indirizzo pubblicato per le segnalazioni aiuta a venirne a conoscenza in tempo.

Che cos’è security.txt

Un breve file di testo in /.well-known/security.txt che indica ai ricercatori di sicurezza dove segnalare (RFC 9116). Servono una riga Contact e una data Expires; il generatore aggiunge l’indirizzo della politica, la lingua preferita e, con il vostro sito, la riga Canonical. Gli indirizzi web devono usare https.

Che cosa non fa il generatore

Non crea un canale di segnalazione, non smista le segnalazioni e non decide se qualcosa va notificato ai sensi dell’articolo 14. Per i termini di notifica usate il registro delle segnalazioni CRA; per la distinta dei componenti software il generatore di SBOM; per vedere a che punto siete il controllo di preparazione CRA.

Nulla di ciò che digitate viene salvato o inviato: ricaricando la pagina si cancella. Copiate o scaricate i file per conservarli.

Fonti