Il regolamento Ue 2023/1230 impone la valutazione delle vulnerabilità informatiche per ogni macchina, nuova o retrofit, dal gennaio 2027
Agosto 2025. Un attacco informatico colpisce Jaguar Land Rover e ne paralizza la produzione per cinque settimane, con un’onda d’urto che si propaga a 5.000 aziende della catena di fornitura. Secondo i ricercatori citati dalla BBC, il danno stimato per l’economia britannica tocca quota 1,9 miliardi di sterline, rendendo questo episodio l’evento informatico economicamente più devastante nella storia del Regno Unito. Per un ingegnere della sicurezza o un perito forense, la diagnosi è immediata: la macchina – intesa come sistema produttivo interconnesso – non era protetta, e il disastro era prevedibile. Oggi, a un anno esatto da quel blocco, la domanda non è più «se» convenga investire in cybersecurity industriale, ma «quanto» costerà non farlo, specie alla luce di un obbligo normativo che da gennaio 2027 non lascerà più scappatoie: ogni macchina, nuova o retrofit, deve essere valutata per vulnerabilità di cybersecurity.
Il vuoto normativo e la nuova stretta
Era solo questione di tempo. La Direttiva 2006/42/CE – adottata nel 2006 per armonizzare i requisiti di salute e sicurezza delle macchine nel mercato interno e rimuovere gli ostacoli al commercio tra Stati membri – non contemplava i rischi digitali. L’hardware era il perimetro, il software un accessorio privo di autonomia patogena. Il nuovo Regolamento Macchine (UE 2023/1230), entrato in vigore il 19 luglio 2023 e con applicazione obbligatoria dal 20 gennaio 2027, ribalta questa impostazione: la cybersecurity diventa un elemento costitutivo della sicurezza della macchina, al pari delle protezioni fisiche. L’adeguamento non è un vezzo tecnico, è una condizione per l’immissione sul mercato.
Il Regno Unito, pur fuori dall’Unione, non resta a guardare. Il governo ha avviato una consultazione sulla riforma del quadro di sicurezza dei prodotti che prevede obblighi rafforzati per tutti gli attori della catena di fornitura, e sta valutando con attenzione le riforme UE della legislazione sulle macchine, riconoscendo che molti degli obiettivi britannici di riforma della sicurezza dei prodotti coincidono con quelli del nuovo Regolamento Macchine europeo. Il messaggio è chiaro: la cybersecurity delle macchine non sarà una partita solo continentale, ma uno standard di fatto globale.
Tre lezioni per costruttori, datori di lavoro, manutentori
Per non ritrovarsi nella stessa situazione di JLR, ogni attore della filiera deve agire ora, senza attendere la scadenza del 2027. La prima lezione è per i costruttori: la valutazione delle vulnerabilità non è un allegato da compilare a progetto finito, ma un processo iterativo da integrare sin dalla progettazione. Significa mappare le interfacce di rete, aggiornare l’analisi dei rischi includendo minacce come ransomware e accessi non autorizzati ai sistemi di controllo, e prevedere meccanismi di hardening e segmentazione. Il fascicolo tecnico dovrà documentare queste scelte, e il Regolamento – a differenza della vecchia Direttiva – ne consente la tenuta in formato interamente digitale, riducendo i costi amministrativi. Chi esporta nel Regno Unito deve inoltre monitorare l’esito della consultazione governativa, perché i nuovi obblighi sulla catena di fornitura potrebbero anticipare di fatto alcuni requisiti UE.
La seconda lezione riguarda il datore di lavoro che mette in servizio la macchina. L’obbligo di valutare le vulnerabilità non si esaurisce con l’acquisto: il datore di lavoro deve verificare che il costruttore abbia effettivamente condotto l’analisi e che le contromisure siano attive e manutenute nel tempo. L’attacco a JLR – con un fermo di cinque settimane e un danno da 1,9 miliardi – dimostra che la responsabilità non si limita al perimetro aziendale: il blocco di un anello della catena si propaga a migliaia di imprese, generando responsabilità contrattuali e, potenzialmente, extracontrattuali a cascata. Il datore di lavoro prudente integrerà quindi la cybersecurity nei sistemi di gestione della sicurezza sul lavoro, aggiornando il Documento di Valutazione dei Rischi con uno specifico capitolo dedicato ai rischi informatici che possono impattare sulla sicurezza dei lavoratori.
La terza lezione è per i manutentori. Il retrofit di una macchina – l’aggiunta di un modulo di connettività, l’aggiornamento di un PLC, l’integrazione con un sistema MES – può far scattare l’obbligo di una nuova valutazione di conformità se l’intervento modifica in modo sostanziale le caratteristiche di sicurezza. Il manutentore che opera senza coordinarsi con il costruttore rischia di assumere su di sé le responsabilità del fabbricante, con tutto ciò che ne consegue in termini di posizione di garanzia. Il Regolamento impone qui un approccio collaborativo: il costruttore originario deve mettere a disposizione le informazioni necessarie per la valutazione delle vulnerabilità, e il manutentore deve documentare l’impatto del proprio intervento sul profilo di cybersecurity della macchina.
Non serve aspettare il 2027. Chi progetta, gestisce o ripara macchine può iniziare subito con una valutazione delle vulnerabilità digitali, prendendo a riferimento gli standard tecnici già disponibili e anticipando i contenuti del fascicolo tecnico richiesto dal Regolamento. Partire oggi significa evitare un JLR domani: non un costo, ma l’investimento più concreto per trasformare un obbligo burocratico in prevenzione reale.
