NIS 2, Regolamento Macchine (UE) 2023/1230 e Cyber Resilience Act stanno cambiando il quadro della cybersecurity per chi costruisce macchine industriali. Hanno ambiti differenti, ma quando entrano in gioco macchine connesse, software, reti OT e accessi remoti, i punti di contatto sono molti. Ed è proprio nelle sovrapposizioni che possono nascere i disallineamenti.
La cybersecurity industriale oggi non riguarda infatti soltanto la protezione dell’infrastruttura IT. Può coinvolgere l’ambiente produttivo OT, la macchina immessa sul mercato, il software che contiene, le modalità con cui viene aggiornata e gli accessi remoti utilizzati per l’assistenza.
Per questo NIS 2, Regolamento Macchine e Cyber Resilience Act vanno prima distinti e poi letti insieme.
Direttiva NIS 2
Riguarda la cybersecurity dell’organizzazione. Per le aziende che rientrano nel suo perimetro introduce obblighi di gestione del rischio, sicurezza dei sistemi e delle reti, gestione degli incidenti, continuità operativa e sicurezza della supply chain.
Non tutti i costruttori sono automaticamente soggetti NIS 2: l’applicabilità deve essere verificata.
Regolamento Macchine
Riguarda le macchine e i prodotti correlati immessi sul mercato. Il nuovo quadro considera anche rischi derivanti da influenze esterne e tentativi malevoli quando possono generare situazioni pericolose.
Prevede requisiti relativi all’identificazione del software e alla raccolta di evidenze di interventi o modifiche al software rilevante per la sicurezza della macchina.
Cyber Resilience Act (CRA)
Riguarda i prodotti con elementi digitali, quindi hardware e software che possono essere connessi direttamente o indirettamente ad altri dispositivi o reti.
Per i fabbricanti introduce un approccio alla cybersecurity lungo il ciclo di vita del prodotto, dalla valutazione del rischio alla gestione delle vulnerabilità.
Una macchina industriale connessa può entrare in relazione con tutti questi tre scenari
Prendiamo una macchina industriale connessa alla rete aziendale. Per il costruttore è innanzitutto una macchina che dovrà rispettare i requisiti applicabili del Regolamento Macchine. Se contiene software o altri elementi digitali connessi, può inoltre rientrare nel perimetro del Cyber Resilience Act.
La stessa macchina, una volta installata nello stabilimento del cliente, entra poi nell’ecosistema OT dell’utilizzatore. Se quest’ultimo è soggetto alla NIS 2, la sicurezza della macchina, delle connessioni e degli accessi dei fornitori che possono accedervi diventa parte di un contesto più ampio di gestione del rischio informatico. Anche il costruttore stesso può essere soggetto alla NIS 2, quando rientra nel relativo perimetro.
La macchina è una sola, ma viene osservata da prospettive diverse: organizzazione, prodotto, software e infrastruttura.
Il problema non è quindi che le normative si sovrappongano in sé. Il rischio nasce quando i diversi perimetri vengono affrontati separatamente e alcuni aspetti rimangono senza un presidio chiaro.
Cybersecurity industriale e IEC 62443
Se i diversi quadri normativi incidono sullo stesso ecosistema industriale da prospettive differenti, serve un metodo tecnico che aiuti a mettere ordine tra processo, prodotto e rischio.
La famiglia di standard ISA/IEC 62443 rappresenta uno dei principali riferimenti internazionali per la cybersecurity dei sistemi di automazione e controllo industriale. Permette di lavorare in modo strutturato su aspetti come valutazione del rischio, segmentazione, architettura, livelli di sicurezza e ciclo di vita.
Questo non significa che applicare IEC 62443 equivalga automaticamente a essere conformi a NIS 2, CRA e Regolamento Macchine, ma significa avere un riferimento tecnico riconosciuto a supporto del percorso di adeguamento e della definizione delle misure di cybersecurity industriale.
Un esempio concreto: l’accesso remoto alle macchine
Un caso particolarmente evidente è la teleassistenza industriale. Per molti costruttori collegarsi da remoto alla macchina installata dal cliente è un’attività quotidiana: diagnostica, aggiornamenti, manutenzione e supporto tecnico vengono spesso eseguiti senza andare fisicamente sul posto.
Una connessione remota, però, coinvolge diversi aspetti di cybersecurity.
- Nel contesto NIS 2, per i soggetti che rientrano nel suo perimetro, sicurezza degli accessi, gestione del rischio e supply chain fanno parte del sistema complessivo di protezione dell’organizzazione.
- Nel Regolamento Macchine diventano rilevanti anche la protezione da interventi malevoli che possano incidere sulla sicurezza e la possibilità di raccogliere evidenze relative a interventi e modifiche software.
- Nel Cyber Resilience Act invece, le modalità di accesso remoto possono rappresentare uno degli elementi da considerare nella valutazione del rischio cybersecurity del prodotto e nella gestione delle vulnerabilità lungo il suo ciclo di vita.
Un solo processo operativo può quindi essere osservato da più prospettive, se lo affronti esclusivamente come un tema IT, rischi di vedere soltanto una parte del problema.
Perché è difficile accorgersi dei gap
Il problema non è la buona volontà, è che senza un approccio capace di mettere in relazione cybersecurity OT, sicurezza del prodotto e gestione del rischio, ciascun ambito può essere affrontato con la lente specifica di chi se ne occupa. Il risultato può essere un progetto tecnicamente valido, ma con un perimetro incompleto.
Un’analisi può concentrarsi sui requisiti normativi, un’altra sull’infrastruttura OT, un’altra ancora sulla safety della macchina o sulla protezione della rete. Sono tutti elementi importanti, ma prima delle singole misure serve capire quali rischi devono effettivamente essere gestiti e quali parti del perimetro sono già state considerate.
Dall’esperienza sul campo
Talvolta ci sono progetti che sulla carta affrontano correttamente diversi requisiti normativi e tecnici, ma alla verifica emerge un elemento mancante a monte: una valutazione strutturata dei rischi cybersecurity della macchina.
Non significa che il lavoro fosse sbagliato, ma che, senza partire da minacce, scenari di rischio, zone, flussi e livello di sicurezza da raggiungere, diventa più difficile stabilire se le misure previste siano sufficienti e, soprattutto, quali abbiano davvero priorità. Il Cyber Resilience Act richiede al fabbricante di effettuare una valutazione del rischio cybersecurity del prodotto e di tenerne conto nelle diverse fasi previste dal Regolamento.
Partire dal rischio permette quindi di costruire il percorso tecnico sulle caratteristiche reali della macchina, definendo misure e priorità in modo più strutturato e documentabile.
Da dove partire per la cybersecurity industriale?
La buona notizia è che non servono necessariamente tre progetti separati. Serve un percorso impostato correttamente, capace di guardare organizzazione, ambiente OT e prodotto con un metodo coerente, individuando anche le aree in cui i diversi requisiti si sovrappongono.
Il primo passo non è comprare qualcosa, ma capire dove sei davvero. Da qui è possibile costruire un percorso proporzionato alla situazione reale: dalla valutazione del rischio alle misure tecniche, fino alla governance degli accessi remoti e alla documentazione delle scelte adottate.
Che tu debba ancora iniziare o abbia già un percorso in corso, un secondo punto di vista specialistico può aiutarti a capire se il perimetro preso in considerazione è completo prima di procedere con gli interventi successivi.