Il nuovo Regolamento Macchine (UE) 2023/1230 introduce per la prima volta requisiti essenziali dedicati alla protezione dei sistemi informatici delle macchine dall’alterazione. Un cambiamento importante, che però va inquadrato correttamente: vediamo cosa prevede davvero e cosa devono fare i costruttori.

Attenzione al perimetro: non è cybersecurity a 360°

Un chiarimento che diamo spesso ai nostri clienti: il Regolamento considera i rischi informatici solo quando incidono sulla sicurezza delle persone, non su aspetti come disponibilità, integrità o confidenzialità dei dati in sé. Lo conferma il considerando 25:

“I fabbricanti dovrebbero essere tenuti ad adottare misure proporzionate che si limitano alla protezione della sicurezza dei prodotti rientranti nell’ambito di applicazione del presente regolamento.”

Capire questo confine evita sia di sottovalutare il tema, sia di sovradimensionare inutilmente il lavoro da fare.

Il requisito 1.1.9: sei punti chiave

Il nuovo requisito essenziale chiede che:

• il collegamento di un altro dispositivo alla macchina non generi situazioni pericolose;
• i componenti hardware che danno accesso al software di sicurezza siano protetti da alterazioni;
• la macchina raccolga prove di interventi legittimi o illegittimi su tali componenti;
• software e dati critici per la sicurezza siano identificati e protetti da alterazioni;
• le informazioni su questi software siano sempre disponibili (es. sul pannello di controllo);
• la macchina raccolga prove di interventi anche su tali software.

A questi si aggiungono, nel punto 1.2.1, due requisiti ulteriori rispetto alla vecchia Direttiva 2006/42/CE: i sistemi di comando devono resistere a tentativi di attacco ragionevolmente prevedibili, e va tenuta traccia per cinque anni delle versioni del software di sicurezza caricato.

Gli strumenti già disponibili oggi

In attesa della norma armonizzata dedicata, i costruttori possono già fare riferimento a:

• UNI CEN ISO/TR 22100-4:2021 — guida generale, non specifiche operative dettagliate;
• CEI CLC/IEC/TS 63074:2024;
• serie CEI EN IEC 62443, riferimento generale per l’automazione industriale.

Il metodo: prima la safety, poi la security

Regola fondamentale: la valutazione dei rischi secondo UNI EN ISO 12100:2010 va sempre fatta prima di ogni considerazione sulla sicurezza informatica. Solo dopo, le misure di sicurezza già individuate vanno riesaminate rispetto alle vulnerabilità informatiche.

Attenzione anche alle conseguenze non volute: un attacco può disabilitare, senza che fosse l’intento dell’attaccante, dispositivi di interblocco o altre funzioni di sicurezza. Va considerato nell’analisi.

La gerarchia di risposta al rischio ricalca quella della safety:

• eliminare il rischio in progettazione;
• mitigarlo con misure di riduzione;
• informare l’utilizzatore sul rischio residuo.

Un lavoro di squadra

Nessuno — fornitore di componenti, costruttore, integratore, utilizzatore — può delegare interamente ad altri la responsabilità della cybersecurity, perché nessuno possiede da solo tutte le informazioni necessarie lungo l’intero ciclo di vita della macchina. Comunicare tra le parti le vulnerabilità non gestibili in autonomia è parte integrante della valutazione dei rischi.

In arrivo: la prEN 50742

Il CENELEC sta sviluppando la prEN 50742 “Protection against corruption”, attesa entro fine 2026, che integrerà un threat assessment nell’analisi dei rischi EN ISO 12100, con due percorsi alternativi: uno per chi già usa la EN IEC 62443, uno costruito ad hoc sul mondo macchinario.

Le nostre raccomandazioni

Non aspettare la prEN 50742 per iniziare: gli strumenti per partire esistono già.

• Definire correttamente il perimetro dell’analisi: proteggere le persone, non costruire un sistema di cybersecurity aziendale.
• Formalizzare le responsabilità con fornitori e integratori.
• Non dimenticare le istruzioni per l’uso: la UNI EN ISO 20607:2019 richiede informazioni sulla cybersecurity per l’utilizzatore finale.