Regolamento Macchine 2023/1230: cybersecurity obbligatoria, con IEC 62443 come riferimento tecnico.
Il pacchetto Schmersal e la scadenza che non perdona
Lo scorso 27 marzo, Schmersal ha ampliato la propria offerta introducendo un pacchetto completo di servizi dedicati alla cybersecurity in ambito OT (Operational Technology). Per chi progetta, gestisce o sottopone a manutenzione macchine industriali, quella data non segna un semplice annuncio commerciale: è la risposta a un obbligo che, tra meno di cinque mesi, separerà la macchina conforme da quella esposta a contestazioni di sicurezza. Con il nuovo Regolamento Macchine, che entrerà ufficialmente in vigore il prossimo gennaio 2027, la Direttiva NIS2 e il Cyber Resilience Act, le aziende sono chiamate a garantire non solo la sicurezza funzionale, ma anche la protezione dei sistemi digitali.
L’offerta non è rimasta sulla carta. Lo scorso 14 aprile, all’evento mcT Bergamo organizzato da EIOM, tec.nicum di Schmersal è stata protagonista nell’area dedicata alla cybersecurity: Francesco Astolfo, Sales Manager Schmersal Italia, è intervenuto con uno speech dal titolo «Costruire macchine dal 20 gennaio 2027: la strada proposta da tec.nicum di Schmersal per una verifica consapevole dei requisiti di sicurezza informatica». Dal 9 all’11 giugno scorsi, Schmersal ha poi partecipato alla terza edizione di Cybsec Expo a Piacenza, nel Padiglione 2, Stand D205.
Ma quali norme e quali standard rendono questa offerta non solo opportuna, ma necessaria? La risposta sta nel perimetro normativo che sta ridisegnando i compiti di chi progetta.
Il perimetro normativo: tra Regolamento Macchine, IEC 62443 e ISO 27001
Il punto di partenza è il Regolamento Macchine (UE) 2023/1230, che si applicherà a partire dal 20 gennaio 2027. L’Allegato III definisce i requisiti essenziali di salute e sicurezza (RESS) e affronta anche i rischi di cybersecurity che possono avere un impatto sulla sicurezza. È qui che avviene il cambio di paradigma: la sicurezza informatica smette di essere una questione confinata ai reparti IT e diventa requisito di sicurezza della macchina, da valutare fin dalla progettazione.
Sul piano operativo, la conseguenza è immediata. Come riporta Nemko, la cybersecurity deve essere integrata nel processo di valutazione del rischio durante la progettazione e lo sviluppo. In altre parole: il requisito non si soddisfa con una verifica informatica a posteriori, a macchina già costruita. Appartiene alla fase di progettazione, accanto agli altri requisiti di sicurezza.
A questo si aggiunge la scelta degli standard. La norma di riferimento per la OT cybersecurity è la serie internazionale di standard ISA/IEC 62443, che affronta la sicurezza informatica per la tecnologia operativa nei sistemi di automazione e controllo. E sul fronte della Direttiva NIS2, l’ENISA (Agenzia per la Cybersecurity Europea) nella guida all’implementazione richiama esplicitamente la ISO/IEC 27001, standard internazionale per la gestione della sicurezza delle informazioni.
Del resto, l’attenzione non è nuova: già nel 2024, un numero della rivista tec.nicum era dedicato alla cyber resilience in mechanical engineering, lo stesso anno in cui è stata fondata tec.nicum – Solutions & Services GmbH.
Tre mosse per non arrivare impreparati al 20 gennaio 2027
Ma cosa significa, in pratica, per chi progetta, gestisce o manutiene una macchina? Tre mosse concrete possono ridurre il rischio di contestazioni e di fermate.
Prima mossa, per gli uffici tecnici dei costruttori: integrare la cybersecurity nel risk assessment durante la progettazione e lo sviluppo. Non è una facoltà, ma un requisito essenziale di salute e sicurezza: l’Allegato III del Regolamento Macchine (UE) 2023/1230 lo colloca allo stesso livello degli altri requisiti di sicurezza della macchina.
Seconda mossa, per i datori di lavoro che gestiscono impianti e reti industriali: adottare la ISA/IEC 62443 come riferimento per l’analisi OT. La serie internazionale di standard disciplina la sicurezza informatica nella tecnologia operativa ed è il linguaggio comune con cui progettisti, integratori e auditor possono confrontarsi senza equivoci.
Terza mossa, per integratori e manutentori: partire da una gap analysis. È la strategia strutturata proposta da tec.nicum, che comincia dall’analisi dello stato di sicurezza di impianti e reti industriali attraverso attività di Network Posture Mapping, Security Assessment e valutazione del rischio cyber. L’adeguamento richiede risorse, ma il vantaggio è sapere esattamente dove si è prima di investire, concentrando gli interventi dove contano davvero.
Non serve attendere il 2027: la differenza tra chi subisce la norma e chi la trasforma in vantaggio si decide adesso, nell’analisi preliminare.
Il 20 gennaio 2027 non è una data da subire. Chi inizia ora l’analisi della cybersecurity OT non rincorre il Regolamento Macchine: costruisce macchine più sicure e più contendibili. La mossa vincente è partire da una valutazione strutturata dello stato di sicurezza, senza aspettare l’ultimo giorno utile.
