La nuova metodologia di valutazione colma il divario tra requisiti tecnici e prove documentali richieste dal regolamento europeo
La metodologia che mancava: valutazioni ripetibili per la cybersecurity industriale
La IEC 62443‑4‑2:2019 aveva già definito, all’interno del quadro della serie 62443, i requisiti tecnici di controllo per i componenti IACS, collegandoli ai sette requisiti fondamentali (fondational requirements – FR) descritti nella TS 62443‑1‑1 (dall’identificazione e controllo degli accessi fino alla risposta agli incidenti). La specifica tecnica IEC TS 62443‑6‑2:2025 aggiunge il tassello che consente di passare dal “che cosa” al “come”: una metodologia strutturata che guida il valutatore nella verifica dei requisiti della 4‑2 e che, punto essenziale, assicura che due laboratori diversi, applicando lo stesso metodo sullo stesso componente, ottengano risultati confrontabili. Senza questa ripetibilità, ogni certificazione restava un esercizio interno, poco spendibile nei rapporti con gli organismi notificati o con i committenti che, a breve, dovranno esibire evidenze di conformità ai sensi del Cyber Resilience Act.
Il contrasto con la situazione precedente è netto. Fino a oggi, chi sviluppava un controllore logico programmabile, un gateway IIoT o un sistema di diagnostica embedded poteva dichiarare la conformità alla 62443‑4‑2 solo sulla base di autovalutazioni o di audit costruiti su misura, con il rischio di disallineamenti interpretativi. La 6‑2 introduce invece criteri di campionatura, soglie di accettazione e procedure documentali che trasformano la valutazione in un processo ingegneristico, non in una negoziazione. Già nel 2023 iniziative come il programma di valutazione della sicurezza dei siti operativi di ISASecure, allineato a ISA/IEC 62443, avevano mostrato la direzione di marcia del mercato: standardizzazione, evidenze tracciabili, mutuo riconoscimento.
Se ora esiste un metodo riconosciuto per stabilire se un componente soddisfa i requisiti della 4‑2, la domanda successiva è immediata: quanto questo metodo può semplificare l’allineamento agli obblighi che l’Europa sta introducendo?
Dal componente al mercato: il Cyber Resilience Act chiama
Il Cyber Resilience Act dell’Unione europea – il Regolamento 2024/2847 – sarà applicato a partire da dicembre 2027. La data è certa, così come l’obbligo per i fabbricanti di prodotti con elementi digitali di dimostrare che i requisiti essenziali di sicurezza e salute (RESS) sono rispettati lungo l’intero ciclo di vita del prodotto, dalla progettazione al fine supporto. I componenti IACS, anche quando non sono dispositivi finali rivolti al consumatore, rientrano pienamente nell’ambito di applicazione: se incorporano software o firmware, sono “prodotti con elementi digitali”.
Ecco la giustapposizione che rende la TS 62443‑6‑2 uno strumento di presunzione di conformità. Il regolamento europeo non nomina esplicitamente la serie 62443, ma rimanda alla possibilità di utilizzare norme armonizzate; la 62443, pur essendo uno standard internazionale, gode di ampio riconoscimento tra gli organismi notificati ed è già stata adottata come base per schemi di certificazione volontaria. Chi oggi segue la metodologia della 6‑2 per valutare i propri componenti rispetto alla 4‑2 produce un fascicolo tecnico che documenta in modo strutturato le scelte progettuali, le analisi dei rischi, le misure di mitigazione e le prove di sicurezza. Questo fascicolo è esattamente ciò che il Cyber Resilience Act richiederà per la dichiarazione di conformità: non un elenco di caratteristiche, ma una tracciabilità completa tra requisito, decisione ingegneristica e verifica.
L’iniziativa ISASecure, che dal 2023 ha esteso il proprio schema di certificazione ai siti operativi, e l’aggiornamento ANSI/ISA‑62443‑2‑1‑2024 pubblicato dall’ISA nel gennaio 2025 confermano che l’ecosistema industriale sta muovendo le proprie regole proprio in questa direzione. Non si tratta più di aspettare un’armonizzazione formale: chi anticipa l’adozione della 6‑2 oggi costruisce le evidenze che tra poco più di un anno potranno essere presentate senza affanno a un organismo notificato, mentre chi attende l’ultimo momento rischia di trovarsi con componenti tecnicamente solidi ma privi della documentazione necessaria per superare la valutazione di conformità.
Il conto alla rovescia per dicembre 2027 è già iniziato, ma il percorso per arrivarci è ora molto più chiaro. E non riguarda soltanto i produttori.
Tre passi per il 2027: costruttori, utilizzatori, organismi notificati
Dalla teoria alla pratica: cosa significa adeguarsi davvero? La timeline regolamentare e gli standard tecnici disegnano un piano d’azione che coinvolge tre categorie di soggetti, ciascuna con obblighi e opportunità differenti.
Per i costruttori di componenti IACS (PLC, sensori intelligenti, switch rugged, gateway, sistemi SCADA embedded). Il passaggio indispensabile è integrare la metodologia della TS 62443‑6‑2 all’interno del ciclo di sviluppo, già a partire dalla fase di requisiti. Significa non limitarsi a verificare la conformità ai singoli CR della 4‑2, ma documentare secondo le procedure della 6‑2 ogni test, ogni evidenza di sicurezza, ogni decisione di mitigazione del rischio. Questa documentazione costituisce la porzione centrale del fascicolo tecnico che, con il Cyber Resilience Act, diventerà obbligatorio. L’azione concreta è immediata: per ogni nuovo prodotto o revisione sostanziale a partire da oggi, strutturare i piani di test secondo la 6‑2; per i prodotti già in commercio, avviare un gap assessment rispetto alla 4‑2 e produrre le evidenze mancanti entro la metà del 2026, in modo da avere margine per eventuali iterazioni prima di dicembre 2027. Non è un obbligo di legge oggi, ma è la buona prassi che trasforma un requisito futuro in un vantaggio competitivo presente.
Per gli utilizzatori finali e gli integratori di sistemi. Chi acquista componenti per un impianto industriale dovrebbe iniziare a richiedere ai fornitori la documentazione di valutazione redatta secondo la 6‑2. Non è soltanto una tutela contrattuale: è il modo per poter a propria volta dimostrare, nella dichiarazione di conformità del sistema complessivo, di aver selezionato componenti con adeguato livello di sicurezza documentata. L’aggiornamento ANSI/ISA‑62443‑2‑1‑2024 mostra che anche la parte di gestione del programma di sicurezza a livello di impianto sta evolvendo verso criteri più stringenti; un utilizzatore che oggi inserisce nei capitolati il riferimento alla TS 62443‑6‑2 si posiziona per gestire con anticipo il passaggio normativo e riduce il rischio di dover sostituire componenti non conformi in corsa.
Per gli organismi notificati e i laboratori di prova. La 6‑2 fornisce una base procedurale comune, ma per essere riconosciuta come norma armonizzata ai sensi del Cyber Resilience Act servirà un percorso di adozione formale. Nel frattempo, i laboratori che iniziano ad accreditarsi su questa metodologia possono offrire servizi di pre‑valutazione o di certificazione volontaria che saranno immediatamente valorizzabili quando il regolamento entrerà in vigore. L’invito è a investire oggi nella formazione dei valutatori sulla TS 62443‑6‑2, così da non trovarsi impreparati nel momento in cui la domanda di verifiche documentali esploderà.
E alla fine, chi arriva prima? Chi costruisce oggi il proprio fascicolo tecnico secondo la 6‑2 non dovrà rincorrere scadenze, potrà rispondere con sicurezza alle richieste dei committenti europei e avrà in mano l’argomento più persuasivo per differenziarsi in un mercato dove la cybersecurity non è più una voce opzionale, ma una condizione per accedere al mercato stesso.
Adeguarsi per tempo alla IEC TS 62443‑6‑2 non è solo conformità tecnica: è la strada maestra per trasformare un obbligo normativo in un vantaggio competitivo sul mercato europeo. E con il Cyber Resilience Act che sarà applicato a partire da dicembre 2027, il momento di iniziare è adesso.
