La cybersecurity entra tra i requisiti di legge per chi costruisce macchine e impianti industriali: una scadenza europea è già passata e altre due arrivano nel 2027.
Un impianto connesso non è più un sistema isolato
PLC, HMI, controllori, azionamenti e sensori comunicano tra loro e con la rete aziendale. Il collegamento porta diagnostica remota, dati di produzione e manutenzione programmata. Porta anche un’esposizione che le macchine isolate non avevano. Il rapporto ENISA Threat Landscape 2025, costruito su 4.875 incidenti osservati tra luglio 2024 e giugno 2025, colloca il settore manifatturiero tra i più colpiti. Su una linea produttiva un attacco non significa soltanto perdita di dati: può fermare la produzione o alterare condizioni che garantiscono la sicurezza delle persone.
IT e automazione industriale hanno priorità diverse
In un ufficio la priorità è la riservatezza dei dati, e un aggiornamento software si programma di notte. In un impianto la priorità è la continuità del processo insieme alla sicurezza funzionale. Un aggiornamento deve risultare compatibile con ogni componente e non può alterare il comportamento di una funzione di sicurezza. Per questo la cybersecurity industriale richiede competenze che uniscono informatica, automazione e sicurezza delle macchine.
Tre norme europee, tre scadenze
La Direttiva (UE) 2022/2555, nota come NIS 2, fissa misure per un livello comune elevato di cybersicurezza nell’Unione. Riguarda la gestione del rischio e la notifica degli incidenti nelle organizzazioni e include alcune imprese manifatturiere, tra cui i costruttori di macchinari, secondo dimensione e attività.
Il Cyber Resilience Act (CRA) fissa requisiti obbligatori di cybersicurezza per tutti i prodotti hardware e software immessi sul mercato europeo. Dall’11 settembre 2026 i produttori devono segnalare all’ENISA e al CSIRT nazionale le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti. L’11 dicembre 2027 scatta la maggior parte dei restanti requisiti, con documentazione tecnica e marcatura CE.
Il Regolamento Macchine (UE) 2023/1230 si applica dal 20 gennaio 2027. Richiede di proteggere dalla corruzione, accidentale o intenzionale, i sistemi di controllo legati alla sicurezza. Un costruttore non può più trattare la protezione informatica come un tema separato dalla sicurezza funzionale della macchina.
Cosa cambia per costruttori, integratori e manutentori
Il costruttore include le minacce informatiche nella valutazione dei rischi e conserva la documentazione tecnica relativa. Per il progettista conta la provenienza dei componenti: ReeR, per esempio, ha ottenuto da TÜV SÜD la certificazione IEC 62443-4-1 per il proprio processo di sviluppo sicuro. Chi installa e mantiene l’impianto gestisce ogni giorno accessi, aggiornamenti e configurazioni di dispositivi connessi. MGA Automation, Service Partner Danfoss dal 2010, svolge messa in servizio, manutenzione, assistenza e riparazione di azionamenti e vede il problema da questa parte.
Il workshop del 12 novembre a Casabianca di Fermo
ReeR e MGA Automation organizzano il 12 novembre, all’Hotel Royal di Casabianca di Fermo, un workshop esclusivo dedicato a questi temi, nell’ambito della ReeR Academy.
Il programma occupa la giornata dalle 9:00 alle 17:00.
La registrazione apre alle 9:00, il welcome coffee segue alle 9:15 e l’apertura dei lavori con la presentazione di ReeR Safety alle 9:30. Dalle 9:45 Adolfo Fiaccadori, consulente di sicurezza macchinari e marcatura CE, tratta in due parti, con coffee break alle 11:00, l’evoluzione della norma EN 62046 sull’applicazione dei dispositivi di protezione per il rilevamento della presenza di persone. Dopo il business lunch delle 12:30, alle 13:30 lo stesso relatore affronta il tema “Cyber Security, cosa cambia per i costruttori di macchine”, con NIS 2 e Cyber Resilience Act.
Alle 14:30 il team Pre Sales di ReeR presenta approfondimenti tecnici e casi applicativi. Tra i relatori figura Stefano Criscuoli, Technical Marketing and Sales di ReeR Safety. Il primo tema è MOSAIC, il controllore di sicurezza configurabile: gestione dei livelli di accesso ai progetti, CRC Reader da PLC e nuovo log diagnostiche. Segue SafeReady, la nuova barriera fotoelettrica di sicurezza multifunzione, con gamma prodotti e caratteristiche tecniche. Dopo il coffee break delle 15:45, alle 16:00 si svolge una dimostrazione pratica con SafeApp e SafeReady. I lavori chiudono alle 17:00 con il rilascio degli attestati.
Il workshop si rivolge a industrializzatori, progettisti meccanici, progettisti elettrici-hardware e a chi calcola il Performance Level delle macchine. Per ogni azienda non c’è un numero massimo di partecipanti.