La Sicurezza Informatica nel mondo OT – Un approccio del tutto nuovo: in che modo impatteranno i nuovi obblighi di legge?

La trasformazione digitale dell’industria ha reso macchine, impianti e sistemi di automazione sempre più connessi. PLC, HMI, sistemi SCADA, accessi remoti, reti Ethernet industriali e servizi digitali rappresentano oggi strumenti indispensabili per la produzione, ma introducono anche nuove vulnerabilità. Un attacco informatico non comporta più soltanto la perdita di dati: nel mondo OT – Operational Technology può determinare fermate della produzione, alterazioni del processo, danneggiamenti alle macchine e, nei casi più critici, conseguenze dirette sulla sicurezza delle persone.

La sicurezza informatica industriale non può essere affrontata semplicemente applicando alle macchine le soluzioni tipiche dell’Information Technology. Nel mondo OT la disponibilità dell’impianto e la continuità del processo produttivo assumono un’importanza fondamentale: sistemi con lunga vita operativa, componenti difficilmente aggiornabili, PC con sistemi operativi obsoleti e impossibilità di effettuare aggiornamenti senza fermare la produzione richiedono strategie specifiche. Il corso partirà quindi dalle differenze tra IT e OT, analizzando vulnerabilità, modalità di attacco e conseguenze sul processo produttivo e sulla sicurezza della macchina.

Articolo a cura di Marcello Paone.

L’Unione Europea ha costruito un nuovo quadro legislativo nel quale Direttiva NIS 2, Regolamento Macchine (UE) 2023/1230 e Cyber Resilience Act (UE) 2024/2847 operano in maniera

complementare. La NIS 2 interviene principalmente sulla sicurezza e sulla resilienza delle organizzazioni e dei servizi; il Regolamento Macchine considera la cybersecurity quando una compromissione può incidere sulla safety della macchina; il CRA introduce invece specifici obblighi per i prodotti con elementi digitali e quindi direttamente per numerosi prodotti e componenti utilizzati nel mondo dell’automazione industriale. Il corso analizzerà le differenze, le sovrapposizioni e soprattutto la distribuzione delle responsabilità tra utilizzatori e fabbricanti.

Con il Regolamento (UE) 2023/1230 la sicurezza informatica entra direttamente nel processo di progettazione e certificazione delle macchine. Una vulnerabilità informatica deve essere presa in considerazione quando il suo sfruttamento può alterare una funzione di sicurezza, modificare parametri, software o dati oppure determinare una situazione pericolosa. La valutazione dei rischi tradizionale secondo UNI EN ISO 12100 dovrà quindi essere integrata con l’analisi delle possibili minacce informatiche alle misure di protezione e alle funzioni di sicurezza.

Il CRA rappresenta probabilmente il cambiamento più significativo per chi sviluppa o immette sul mercato prodotti con elementi digitali. La cybersecurity dovrà essere considerata lungo l’intero ciclo di vita del prodotto: progettazione sicura, gestione delle vulnerabilità, aggiornamenti di sicurezza e attività successive all’immissione sul mercato diventeranno parte integrante degli obblighi del fabbricante. Particolare attenzione sarà dedicata anche alle nuove attività di segnalazione previste dal Regolamento. Gli obblighi dell’articolo 14 relativi al reporting dei fabbricanti si applicheranno dall’11 settembre 2026, mentre la piena applicazione del CRA è prevista dall’11 dicembre 2027.

Come si tradurranno concretamente questi obblighi nella progettazione di una macchina? Il corso introdurrà il collegamento tra safety e security e le future metodologie dedicate alla cybersecurity delle macchine. La prEN 50742 prevede, tra gli aspetti trattati, una valutazione delle minacce, la definizione del contesto di sicurezza e un approccio progressivo: eliminare le vulnerabilità quando possibile, mitigarle quando non possono essere eliminate e definire eventuali contromisure compensative per l’utilizzatore. Sarà inoltre illustrato il collegamento con la serie IEC 62443, fondamentale per sistemi, reti e componenti industriali.

La cybersecurity non può essere risolta acquistando semplicemente un firewall o un nuovo componente. I nuovi obblighi richiedono un approccio strutturato che coinvolga procedure, responsabilità, supply chain, gestione degli asset, controllo degli accessi, formazione, incident management e business continuity. Sono temi centrali anche nell’approccio NIS 2, che richiede alle organizzazioni di costruire un vero sistema di gestione del rischio cyber. Il corso avrà quindi un obiettivo concreto: comprendere come preparare aziende, fabbricanti e utilizzatori alle nuove responsabilità, trasformando la cybersecurity da problema esclusivamente informatico a requisito integrante della progettazione, sicurezza e gestione dell’intero sistema industriale.