Per anni abbiamo parlato soprattutto di sicurezza informatica pensando a computer, server, posta elettronica, gestionali e infrastrutture IT. Oggi, però, la sfida si sta spostando sempre di più dentro le fabbriche, negli impianti, nelle linee produttive e nei macchinari connessi.
Dall’IT all’OT: la nuova frontiera della sicurezza industriale
La parte informatica è sempre più presidiata. Ora il tema è proteggere anche le reti industriali.
Ne parliamo con Francesco Urbani, Chief Sales Officer Italy di Logbot, azienda che si occupa di cybersecurity industriale e protezione delle reti OT. Il punto è molto concreto: le imprese non possono più considerare la cybersecurity come un problema separato dalla produzione. Quando un macchinario è connesso, aggiornabile da remoto o integrato in una rete industriale, una vulnerabilità digitale può diventare un rischio operativo, economico e, in alcuni casi, anche di sicurezza fisica.
Nel video, Francesco Urbani spiega perché la protezione delle reti industriali sta diventando una priorità per le aziende. Non si tratta solo di adeguarsi a nuove norme europee, ma di comprendere che la continuità produttiva passa anche dalla capacità di prevenire, individuare e gestire i rischi cyber che coinvolgono macchine, impianti e dispositivi connessi.
Dalla marcatura CE al Cyber Resilience Act: come cambia la sicurezza delle macchine
Per capire perché questo tema è così attuale, serve guardare all’evoluzione normativa degli ultimi decenni.
Nel 1995 la marcatura CE è diventata obbligatoria per molte categorie di prodotti immessi sul mercato europeo. È stato un passaggio fondamentale: il prodotto doveva rispettare requisiti essenziali di sicurezza, salute e conformità.
Nel 2006 è arrivata la Direttiva Macchine, che ha definito per anni il quadro di riferimento per la sicurezza dei macchinari in Europa. Il tema centrale era proteggere l’utilizzatore dai rischi legati al funzionamento della macchina.
Poi lo scenario è cambiato. Le macchine sono diventate connesse. I software sono entrati nei processi produttivi. I dati hanno iniziato a guidare manutenzione, controllo, automazione e performance. La sicurezza non poteva più riguardare solo la meccanica.
Nel 2022 è stata adottata la Direttiva NIS2, pensata per rafforzare il livello comune di cybersecurity nell’Unione Europea e coinvolgere settori critici e strategici. La Commissione Europea definisce NIS2 come un quadro normativo comune per la cybersicurezza in 18 settori critici.
Nel 2023 è stato pubblicato il nuovo Regolamento Macchine, Regolamento UE 2023/1230, che sostituirà la Direttiva Macchine 2006/42/CE. Il regolamento si applicherà dal 20 gennaio 2027 e introduce una maggiore attenzione ai rischi legati alla digitalizzazione, alla connettività e alla sicurezza dei sistemi di comando.
Infine, con il Cyber Resilience Act, l’Europa ha introdotto un nuovo principio: i prodotti con elementi digitali devono essere progettati, sviluppati e mantenuti tenendo conto della cybersecurity lungo il loro ciclo di vita.
Cosa succede l’11 settembre 2026
Una delle prime scadenze importanti arriverà l’11 settembre 2026. Da quella data entreranno in applicazione gli obblighi di segnalazione previsti dal Cyber Resilience Act. La Commissione Europea conferma che la Single Reporting Platform sarà operativa entro l’11 settembre 2026, data di applicazione degli obblighi di reporting del CRA. Questo significa che i produttori di prodotti con elementi digitali non potranno più gestire in modo opaco o ritardato la comunicazione di vulnerabilità attivamente sfruttate o incidenti gravi che impattano la sicurezza dei propri prodotti.
Attenzione: non vuol dire semplicemente “pubblicare tutto online”. Vuol dire notificare vulnerabilità e incidenti attraverso una piattaforma europea centralizzata, la CRA Single Reporting Platform, istituita dal Cyber Resilience Act e sviluppata da ENISA, l’Agenzia dell’Unione Europea per la cybersicurezza. ENISA descrive la piattaforma come lo strumento per comunicare, a partire dall’11 settembre 2026, vulnerabilità attivamente sfruttate e incidenti gravi che riguardano prodotti con elementi digitali.
Le tempistiche sono stringenti: il produttore dovrà inviare un primo allarme rapido entro 24 ore da quando viene a conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave. Dovrà poi seguire una notifica più completa entro 72 ore e, successivamente, un rapporto finale secondo le tempistiche previste dal regolamento.
Per le aziende manifatturiere e industriali questo passaggio è molto importante, perché porta la cybersecurity fuori dalla dimensione puramente tecnica e la inserisce dentro la responsabilità di prodotto, la gestione del rischio e la continuità operativa.
Gennaio 2027 e dicembre 2027: due date da tenere a mente
Il secondo passaggio chiave sarà il 20 gennaio 2027, quando il nuovo Regolamento Macchine diventerà applicabile. Da quel momento il riferimento non sarà più la vecchia Direttiva Macchine, ma il Regolamento UE 2023/1230.
Il terzo passaggio sarà dicembre 2027, con la piena applicazione del Cyber Resilience Act. Il CRA porterà requisiti più strutturati per i prodotti con elementi digitali, compresi obblighi di progettazione sicura, gestione delle vulnerabilità, documentazione, supporto e conformità.
Il messaggio per le imprese è chiaro: non conviene aspettare l’ultimo momento. La cybersecurity industriale richiede tempo, competenze, analisi delle reti, mappatura degli asset, verifica dei fornitori, procedure interne e formazione del personale.
Perché proteggere le reti industriali è una questione di continuità aziendale
Quando si parla di reti industriali, il rischio non riguarda solo il furto di dati. Riguarda il fermo macchina, l’interruzione della produzione, la manipolazione dei processi, l’accesso non autorizzato a sistemi di controllo, la perdita di disponibilità degli impianti.
In un contesto produttivo, anche poche ore di blocco possono generare danni economici significativi. Per questo la sicurezza delle reti OT, cioè delle tecnologie operative che governano impianti e macchinari, non può essere trattata come un tema secondario.
La domanda che le imprese devono iniziare a porsi non è più solo: “Il mio gestionale è protetto?”. La domanda diventa: “La mia produzione è davvero protetta?”.
E questo implica una visione diversa. Serve mettere in comunicazione ufficio tecnico, IT, manutenzione, produzione, qualità, sicurezza e management. Serve capire dove sono i punti vulnerabili. Serve sapere chi può accedere ai sistemi, come vengono aggiornati i software, come vengono gestite le credenziali, come vengono monitorati i dispositivi e cosa succede in caso di incidente.
La formazione diventa una leva strategica
In questo scenario, la formazione assume un ruolo fondamentale.
Non basta installare tecnologie o adeguare documenti. Le aziende devono costruire consapevolezza interna. Chi lavora sugli impianti deve sapere riconoscere un’anomalia. Chi gestisce la manutenzione deve comprendere i rischi legati agli accessi remoti. Chi acquista macchinari deve saper valutare anche gli aspetti cyber del prodotto. Chi dirige l’impresa deve capire che la cybersecurity industriale non è solo un costo, ma una condizione per proteggere continuità, reputazione e competitività.
L’evoluzione normativa europea va in questa direzione: responsabilizzare produttori, fornitori e utilizzatori rispetto alla sicurezza dei prodotti e dei sistemi connessi perchè la parte informatica è sempre più blindata, ora bisogna alzare il livello di protezione delle reti industriali.
Scarica le Linee Guida gratuite per l’adozione della NIS 2
La Direttiva NIS 2 è entrata in vigore e introduce requisiti stringenti per la sicurezza informatica di migliaia di imprese italiane. Scadenze, obblighi di notifica, misure di sicurezza, responsabilità del management: orientarsi nel nuovo quadro normativo non è semplice.
Per questo la formazione professionale diventa indispensabile. Non basta sapere che la norma esiste: serve comprenderne gli impatti concreti sull’organizzazione, sui processi interni, sulla gestione dei fornitori, sulla sicurezza delle reti e sulle responsabilità aziendali.
Per accompagnare imprese e professionisti in questo percorso, sono state realizzate le Linee Guida per l’adozione della NIS 2, in collaborazione con Il Sole 24 Ore e con il patrocinio del Ministero delle Imprese e del Made in Italy.
Le Linee Guida sono uno strumento pratico e completo pensato per aiutare le aziende a capire da dove partire, quali obblighi rispettare e come costruire un percorso di adeguamento realmente sostenibile. Scarica gratuitamente le Linee Guida NIS 2 e scopri come preparare la tua impresa al nuovo quadro normativo.
All’interno troverai:
- gli obblighi principali e le tempistiche da rispettare;
- le misure di sicurezza richieste per soggetti essenziali e importanti;
- il sistema sanzionatorio e i controlli previsti;
- la gestione della supply chain e i requisiti per i fornitori;
- l’integrazione con gli standard IEC 62443 per gli ambienti industriali;
- raccomandazioni operative e una roadmap di adeguamento in 12-18 mesi.
Il progetto è stato realizzato da Fondazione Fenice, Logbot, WST Law & Tax Firm, Confimi Industria Veneto e 24 ORE Professionale, con il patrocinio del Ministero delle Imprese e del Made in Italy.
La conformità alla NIS 2 non è solo un obbligo normativo. È un investimento sulla competitività, sull’affidabilità e sulla continuità operativa dell’impresa.
