Cybersecurity delle macchine: cosa cambia con il Regolamento (UE) 2023/1230

Perché la cybersecurity entra nel Regolamento Macchine

Digitalizzazione e interconnessione hanno reso gli impianti più efficienti, ma anche più esposti: un attacco informatico a una macchina non compromette solo i dati, può alterare le funzioni di sicurezza e generare situazioni di pericolo reale per le persone. Per questo il legislatore europeo ha smesso di trattare sicurezza funzionale (safety) e sicurezza informatica (security) come mondi separati: oggi sono due facce della stessa conformità.

Cosa chiede il nuovo Regolamento

Il Regolamento (UE) 2023/1230 introduce requisiti essenziali di sicurezza dedicati al digitale. In sintesi:

• Protezione dalla corruzione: la connessione o la comunicazione con altri dispositivi non deve generare situazioni pericolose (Allegato III, 1.1.9)
• Software e dati di sicurezza protetti da manipolazioni intenzionali e accessi non autorizzati
• Possibilità di registrare e conservare i dati relativi alla sicurezza
• Aggiornabilità del software per tutto il ciclo di vita, per correggere le vulnerabilità
• Documentazione tecnica e istruzioni anche in formato digitale

Il quadro completo: Regolamento, CRA e NIS2

Il Regolamento Macchine non agisce da solo. Il Cyber Resilience Act (UE) 2024/2847 fissa obblighi di cybersicurezza per i prodotti con elementi digitali immessi sul mercato europeo — sviluppo sicuro, gestione delle vulnerabilità e supporto per almeno cinque anni — con effetti pieni da dicembre 2027. La direttiva NIS2 (UE) 2022/2555, già in vigore, riguarda invece le aziende: gestione del rischio, misure organizzative e notifica tempestiva degli incidenti. Costruttori e utilizzatori sono entrambi dentro questo perimetro.

Safety + Security: un unico approccio

Una barriera fotoelettrica o un arresto di emergenza manipolabili da remoto non sono più un presidio di sicurezza. L'analisi dei rischi deve quindi diventare integrata: accanto ai pericoli meccanici, elettrici ed ergonomici valutati secondo EN ISO 12100, EN ISO 13849 e IEC 62061, il fascicolo tecnico deve considerare anche le minacce informatiche che possono compromettere le funzioni di sicurezza.

Lo standard di riferimento: IEC 62443

Per dimostrare la conformità, la famiglia di norme IEC 62443 è oggi il quadro riconosciuto a livello internazionale: definisce livelli di sicurezza (Security Level 0-4), il modello «defense in depth» con segmentazione della rete in zone e condotti, e i requisiti per componenti e sistemi. È inoltre in sviluppo la norma EN 50742, specifica per la protezione dalla corruzione richiesta dal Regolamento. A livello organizzativo, un sistema di gestione della sicurezza delle informazioni (ISO/IEC 27001) completa il quadro.

Cosa fare concretamente: checklist per i costruttori

• Integrare la valutazione dei rischi cyber nell'analisi dei rischi della macchina e nel fascicolo tecnico
• Progettare «secure by design» e «secure by default»: la sicurezza attiva fin dal primo avvio
• Definire un processo di gestione delle vulnerabilità e degli aggiornamenti per l'intero ciclo di vita
• Segmentare le reti e separare produzione e uffici, con controllo degli accessi e autenticazione
• Verificare la conformità dei componenti di automazione (PLC, azionamenti, HMI) alla IEC 62443
• Aggiornare manuali e documentazione con le istruzioni per l'uso sicuro della macchina connessa