Regolamento Macchine, quando il rischio cyber entra in fabbrica
Dal 20 gennaio 2027 cambiano le regole europee per le macchine. Matteo Pettenuzzo, amministratore delegato di 3P Safety, spiega perché la cybersecurity riguarda chi progetta gli impianti e chi li acquista.
Un accesso da remoto a un impianto di refrigerazione consente a un tecnico di intervenire senza recarsi sul posto. Se quello stesso accesso viene usato per alterare la temperatura o le soglie di allarme, le conseguenze si misurano sui prodotti conservati. Gli attacchi ai sistemi di refrigerazione commerciale segnalati in Europa, con episodi anche in Italia, mostrano come un’intrusione informatica possa incidere sul funzionamento di un impianto. A inizio novembre l’Agenzia per la cybersicurezza nazionale (ACN) ha richiamato l’attenzione sulla protezione degli accessi e delle interfacce di controllo esposte a internet. Il fenomeno va oltre la refrigerazione. Nei primi nove mesi del 2026 l’ACN ha individuato quasi 45.000 sistemi e servizi a rischio e oltre 3.200 risorse informatiche potenzialmente compromesse. Il dato, riferito durante l’audizione del 13 ottobre al Senato, offre un quadro generale dell’esposizione al rischio informatico.
Cosa cambia per chi fabbrica le macchine
Il 20 gennaio 2027 il Regolamento (UE) 2023/1230 sostituirà la direttiva 2006/42/CE. Nell’intervista, Pettenuzzo richiama l’attenzione sul rischio cyber, sulla gestione del software di sicurezza e sull’intelligenza artificiale. L’allegato III prevede, tra l’altro, requisiti specifici per i sistemi di comando con logiche in grado di evolvere autonomamente. Il regolamento chiede ai fabbricanti di proteggere da alterazioni accidentali o intenzionali il software e i dati da cui dipende la sicurezza della macchina. Un collegamento con un altro dispositivo, anche da remoto, deve inoltre essere progettato in modo da evitare situazioni pericolose.
L’altro riferimento è il Cyber Resilience Act (CRA), che stabilisce requisiti di cybersicurezza per i prodotti con elementi digitali, dalla progettazione alla gestione delle vulnerabilità. La sua applicazione generale è prevista per l’11 dicembre 2027, mentre gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi si applicano già dall’11 settembre 2026. Per una macchina che rientra nell’ambito di entrambi i regolamenti, il fabbricante dovrà considerare sia la sicurezza di funzionamento della macchina sia i requisiti di cybersicurezza del prodotto digitale.
La sicurezza si valuta già prima dell’acquisto
Per Pettenuzzo, la formazione serve anche a chi dovrà scegliere, accettare e usare il macchinario. Per chi lo utilizza, sottolinea, «è fondamentale fare degli acquisti consapevoli». Le competenze interne aiutano a formulare domande già in fase di acquisto. Chi potrà collegarsi alla macchina per la teleassistenza? Come saranno tracciate le modifiche al software di sicurezza? Per quanto tempo il fornitore renderà disponibili gli aggiornamenti? Le risposte aiutano l’impresa a valutare come il nuovo macchinario si inserirà nelle procedure di manutenzione e nella rete di stabilimento.
Le Linee guida sullo standard IEC 62443
Per approfondire i requisiti del Regolamento (UE) 2023/1230 e il loro legame con la cybersicurezza industriale, sono disponibili le Linee guida sullo standard IEC 62443. La guida offre un percorso chiaro per comprendere e applicare lo standard internazionale IEC 62443, il riferimento più riconosciuto a livello globale per la sicurezza dei sistemi di automazione e controllo industriale (IACS). Il documento accompagna OEM, system integrator, responsabili IT/OT e manager attraverso i principi fondamentali della norma, i processi operativi, i domini di sicurezza e le prospettive di adozione sostenibile per le PMI. L’obiettivo è trasformare la cybersecurity da vincolo burocratico a leva strategica per la competitività e la resilienza del Made in Italy.
Clicca qui per ottenere la tua copia gratuita.
Newsletter realizzata da 24 ORE Professionale in collaborazione con Fondazione Fenice, Logbot, Confimi Industria Veneto, Sportello Italia 5.0, con il patrocinio del Ministero delle Imprese e del Made in Italy.
FAQ
Quando entra in applicazione il nuovo Regolamento Macchine?
Il Regolamento (UE) 2023/1230 si applicherà dal 20 gennaio 2027, sostituendo la direttiva 2006/42/CE. La normativa introduce requisiti aggiornati per la sicurezza delle macchine, con particolare attenzione ai sistemi di comando, al software e ai rischi derivanti dalle connessioni digitali.
Che cosa cambia per la cybersecurity delle macchine industriali?
Il nuovo regolamento richiede che il software e i dati da cui dipende la sicurezza delle macchine siano protetti contro alterazioni accidentali o intenzionali. Anche i collegamenti con dispositivi esterni e i sistemi di accesso remoto devono essere progettati in modo da evitare situazioni pericolose.
Quali rischi comporta l’accesso remoto ai macchinari?
Un collegamento remoto non adeguatamente protetto può consentire modifiche non autorizzate ai parametri di funzionamento, alle soglie di allarme o ai sistemi di comando. Le conseguenze possono riguardare la continuità operativa, la sicurezza delle persone e l’integrità dei prodotti.
Quali requisiti riguardano le macchine che utilizzano l’intelligenza artificiale?
L’allegato III del Regolamento (UE) 2023/1230 contempla anche i sistemi di comando con comportamenti o logiche in grado di evolvere autonomamente. I fabbricanti devono considerare i rischi per la sicurezza derivanti da queste caratteristiche e garantire il rispetto dei requisiti applicabili.
Qual è la differenza tra Regolamento Macchine e Cyber Resilience Act?
Il Regolamento Macchine riguarda la sicurezza delle macchine, compresi i rischi collegati ai sistemi digitali. Il Cyber Resilience Act (CRA) stabilisce invece requisiti di cybersicurezza per i prodotti con elementi digitali. Quando una macchina rientra nell’ambito di applicazione di entrambi, il fabbricante deve considerare gli obblighi previsti dalle due normative.
Che cosa dovrebbe verificare un’azienda prima di acquistare un nuovo macchinario?
L’acquirente dovrebbe valutare le modalità di accesso remoto, la protezione del software di sicurezza, la tracciabilità delle modifiche e la disponibilità degli aggiornamenti. Queste informazioni aiutano a comprendere come il macchinario potrà essere integrato nella rete aziendale e gestito durante il suo ciclo di vita.
A che cosa serve lo standard IEC 62443 per la sicurezza industriale?
La serie di standard IEC 62443 fornisce un riferimento per affrontare la cybersecurity dei sistemi di automazione e controllo industriale. Include indicazioni relative alla gestione dei rischi, ai requisiti di sicurezza e alle responsabilità dei soggetti coinvolti. Le Linee guida IEC 62443 disponibili gratuitamente offrono un approfondimento utile per professionisti e imprese che devono affrontare la protezione dei sistemi industriali.
Vuoi capire come applicare concretamente lo standard EC 62443 alla sicurezza dei sistemi industriali?
Scarica la nostra guida: “Linea Guida Internazionale IEC 62443. Un framework applicativo della direttiva NIS 2 per la sicurezza dei sistemi di automazione industriale (IACS)”. Clicca qui per ricevere la tua copia gratuita.
