Il 27 luglio la Commissione europea ha pubblicato le linee guida applicative del Cyber Resilience Act. È l'ultimo tassello di un quadro che si sta chiudendo in fretta: nel giro di sedici mesi la cybersecurity passa da buona pratica a requisito di legge per quasi tutto quello che entra in fabbrica. I PLC, i componenti, il software, le macchine intere.
Il problema è che di norme ce ne sono tre, si somigliano nel nome e colpiscono soggetti diversi. Chi costruisce macchine legge "cybersecurity obbligatoria" e pensa alla NIS2, che magari non lo riguarda. Chi ha uno stabilimento pensa di essere a posto perché la NIS2 l'ha gestita, e non sa che dal 2027 le macchine che compra dovranno essere marcate CE anche sul fronte cyber. Mettiamo ordine.
Le tre norme europee sulla cybersecurity industriale a confronto: a chi si applicano, cosa impongono e da quando.
NIS2: tocca l'azienda
La NIS2 (in Italia D.Lgs. 138/2024) è una norma organizzativa: riguarda l'azienda in quanto tale, non i suoi prodotti. Impone a chi opera nei settori essenziali e importanti, manifattura compresa, di gestire la sicurezza informatica in modo strutturato, e questo include le reti di fabbrica e i sistemi OT. Gli obblighi pieni scattano a ottobre 2026.
Ne abbiamo scritto in dettaglio a maggio, quando mancavano cinque mesi alla scadenza: il post su NIS2 e cybersecurity OT resta valido, ripartite da lì se il vostro tema è lo stabilimento.
Cyber Resilience Act: tocca i prodotti
Il Cyber Resilience Act (Regolamento UE 2024/2847) sposta il tiro dall'azienda al prodotto. Qualsiasi "prodotto con elementi digitali" immesso sul mercato europeo dovrà rispettare requisiti di cybersecurity per ottenere la marcatura CE: vale per i PLC, per gli HMI, per i componenti industriali connessi e per il software. Il regolamento di esecuzione 2025/2392, pubblicato a dicembre, ha definito le categorie di prodotti "importanti" e "critici", che seguono percorsi di conformità più severi: in quale classe ricada il singolo prodotto va verificato caso per caso, ma che l'automazione industriale sia pienamente nel perimetro del CRA è fuori discussione.
Un punto che sorprende molti: il CRA copre anche il software sviluppato su commessa, quando viene fornito nell'ambito di un'attività commerciale. Chi scrive software di controllo per un cliente, come facciamo noi, non ne è fuori. È il motivo per cui in Contech lo sviluppo segue pratiche secure-by-design con riferimento alla IEC 62443, la famiglia di standard su cui si appoggia la sicurezza dei sistemi di automazione.
Gli obblighi che pesano di più nella pratica quotidiana sono però altri due, e se ne parla poco. Il primo è la distinta base del software, la SBOM: l'elenco documentato di componenti e librerie dentro ogni prodotto, da tenere aggiornato. Il secondo sono gli aggiornamenti di sicurezza gratuiti per tutto il periodo di supporto, che per la generalità dei prodotti è di almeno cinque anni. Per chi costruisce significa organizzare un presidio continuativo sul software venduto, non un adempimento da chiudere una volta e archiviare.
Le date sono due. Dall'11 settembre 2026 scatta l'obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, con il primo avviso entro 24 ore. Dall'11 dicembre 2027 serve la conformità piena: requisiti tecnici, gestione delle vulnerabilità per tutto il ciclo di vita, marcatura CE.
La sequenza delle scadenze tra settembre 2026 e dicembre 2027: prima le segnalazioni CRA e la piena conformità NIS2, poi il Regolamento Macchine, infine la marcatura CE cyber.
Nuovo Regolamento Macchine: tocca la marcatura CE delle macchine
Il Regolamento UE 2023/1230 sostituisce la storica Direttiva Macchine 2006/42/CE e si applica dal 20 gennaio 2027, senza periodo transitorio. La novità che ci riguarda tutti è una: la protezione contro la corruzione. I sistemi di comando con funzioni di sicurezza devono essere progettati in modo che un attacco informatico non possa generare comportamenti pericolosi della macchina, e il software rilevante per la sicurezza va identificato, protetto e tracciato nel fascicolo tecnico.
Tradotto: dal 2027 una macchina nuova senza cybersecurity non è marcabile CE. Non è un adempimento in più da delegare all'ufficio IT, è un requisito di progettazione che nasce insieme allo schema elettrico e al software di controllo.
E il parco installato?
Le tre norme guardano avanti, ma il grosso del rischio sta nelle linee che producono già oggi: PLC fermi al firmware di dieci anni fa, reti di stabilimento piatte dove l'ufficio e il campo si parlano senza barriere, teleassistenze installate ai tempi e mai più riviste. Nessuna norma obbliga a rifare una macchina del 2017, ma la NIS2 chiede comunque di gestirne il rischio, e un audit parte quasi sempre da lì.
Il lato buono: il rinnovo di queste linee raramente è solo cyber. Se l'adeguamento rientra in un investimento più ampio in beni strumentali, segmentazione, componenti nuovi, software di supervisione, può agganciarsi all'iperammortamento 2026, di cui abbiamo scritto qui sul blog. Mettere in sicurezza l'impianto e recuperare dal fisco una parte consistente dell'investimento non è una combinazione che capita spesso.
Cosa fare adesso
Per chi costruisce macchine: censire i componenti digitali che finiscono a bordo macchina e chiedere ai fornitori come si stanno muovendo sul CRA, perché un componente non conforme nel 2027 diventa un problema vostro. Poi portare la cybersecurity dentro il progetto, non dopo il collaudo: analisi del rischio cyber accanto a quella di sicurezza funzionale, software protetto e versionato, documentazione pronta per il fascicolo tecnico.
Per chi le macchine le usa: da gennaio 2027 conviene che i capitolati d'acquisto chiedano esplicitamente la conformità al nuovo regolamento, e per la NIS2 la scadenza di ottobre è dietro l'angolo.
La nostra opinione, per quello che vale dopo anni di cantieri: il rischio vero non sono le sanzioni, che arriveranno con calma. Sono i capitolati. I grandi committenti hanno già iniziato a chiedere garanzie CRA e IEC 62443 ai fornitori, e chi non sa rispondere perde la commessa molto prima di vedere una multa.
Una precisazione onesta: siamo integratori, non uno studio legale. L'inquadramento giuridico preciso di un prodotto, la classe CRA, il percorso di valutazione della conformità vanno definiti con il consulente normativo o l'ente notificato. Quello che facciamo noi è la parte tecnica: assessment di sicurezza OT, hardening di PLC e SCADA, sviluppo secure-by-design e documentazione di cybersecurity per il fascicolo tecnico.
Se hai una macchina in progettazione che uscirà nel 2027, o uno stabilimento con la NIS2 ancora a metà, scrivici: guardiamo insieme cosa manca, prima che lo decida un audit.
Argomenti trattati
