Negli ultimi dieci anni la cosiddetta Twin Transition – ossia la combinazione di Transizione Ecologica (il “lato green”) e Trasformazione Digitale (il “lato blu”) – ha rivoluzionato sistemi produttivi, prodotti e servizi.
Se il lato green sta vivendo una fase di ricalibrazione normativa, la trasformazione digitale procede invece con grande rapidità, trainata da innovazione tecnologica, robotica, automazione, sistemi autonomi, intelligenza artificiale e, parallelamente, da un nuovo insieme di obblighi di conformità.
Il settore delle macchine industriali è fortemente interessato dalla naturale evoluzione da “macchine” a “prodotti che incorporano elementi digitali” (i cosiddetti PDE – Products with Digital Elements) sempre più connessi nel cyberspazio e, inevitabilmente, esposti a minacce informatiche.
Il 2026 è l’anno in cui le imprese devono prepararsi all’arrivo di nuovo quadro regolatorio voluto dall’Unione Europea, che unisce sicurezza funzionale, cybersecurity e intelligenza artificiale: vengono ridefiniti gli obblighi per i fabbricanti e viene introdotto un approccio integrato alla progettazione, alla gestione del software e alla conformità delle macchine (cfr. Figura 1).
Il percorso verso la Compliance: normative di riferimento e marcatura CE
Il prossimo biennio si prospetta decisivo con l’applicazione, dal 20 gennaio 2027, del Regolamento Macchine (Reg. UE 2023/1230, nel seguito MR–Machine Regulation) che andrà a sostituire la “storica” Direttiva 2006/42/CE (focalizzata unicamente sui requisiti di sicurezza funzionale “affinché non si creino condizioni che possano ledere l’incolumità di operatori e utilizzatori”) e che, per la prima volta, introduce requisiti di cybersecurity e cyber resilience1.
In particolare, i requisiti essenziali (comuni a tutte le macchine) in materia di cybersecurity sono dettagliati ai punti 1.1.9 e 1.2.1. dell’Allegato III del MR e riguardano la protezione da alterazioni intenzionali o accidentali dei componenti hardware e software e la sicurezza e affidabilità dei sistemi di controllo, che devono resistere ai tentativi dolosi ragionevolmente prevedibili, con tracciabilità per almeno cinque anni degli interventi effettuati.
L’obiettivo è, in primis, quello di precludere che minacce o attacchi di tipo informatico possano compromettere la sicurezza funzionale della macchina, andando quindi a minare l’incolumità delle persone e il corretto funzionamento delle macchine.
Questi requisiti essenziali rappresentano una vera e propria “back door” normativa verso la cybersecurity e la cyber resilience (anche in vista di futuri “altri atti giuridici dell’Unione che affrontano specificamente aspetti di cybersecurity“, come previsti dal Regolamento Macchine), anticipando l’integrazione con il Cyber Resilience Act (Reg. UE 2023/2847 – CRA).
Il CRA riguarda, infatti, la capacità di proteggere sistemi e utenti da minacce informatiche e di garantire continuità operativa anche in caso di attacco informatico. In vigore dall’11 dicembre 2024, il CRA ha un’applicazione graduale e prevede il primo obbligo di cybersecurity a carico dei produttori già a partire dal 11 settembre 2026, per la segnalazione delle vulnerabilità di sicurezza della macchina.
Dal11 dicembre 2027, con l’applicazione definiva della norma, tutti i requisiti di sicurezza previsti dal CRA saranno applicati a tutti i PDE2, prodotti con elementi digitali, incluse le macchine dotate di software, firmwaree connessioni dati.
I fabbricanti dovranno garantire le cosiddette security-by-design e security-by-default, processi di valutazione del rischio cyber e una gestione continua delle vulnerabilità, e aggiornamenti di sicurezza obbligatori per tutto il ciclo di vita del prodotto.
La maggior parte delle macchine sarà ragionevolmente classificata come “prodotti con elementi digitali generici” (default PDE) e sarà soggetta a marcatura CE tramite autodichiarazione di conformità (Mod. A), ma con obblighi tecnici molto più estesi rispetto al passato.
Il Prospetto 1 riassume la “convergenza” tra MR e CRA.
Le Norme Europee Armonizzate: un aiuto concreto per i fabbricanti
Il rapporto e l’interazione tra il MR e CRA si configura come un primo fondamentale banco di prova per i fabbricanti di macchine industriali e per tutti gli altri operatori interessati, con un insieme di requisiti essenziali tra loro correlati e – in prospettiva – sempre più interagenti.
In aiuto alla progressiva entrata in vigore dei due regolamenti è prevista la pubblicazione, oggi in divenire, di nuove norme europee armonizzate (hENs – Harmonized European Standards), finalizzate ad assicurare la massima uniformità all’interno del Mercato Unico in termini di standard di qualità e di sicurezza.
Si tratta di oltre 800 standard aggiornati per il Regolamento Macchine e circa 40 nuovi standard per il CRA (di cui tre di applicazione trasversale per tutti i PDEs; cfr. Prospetto 2) che, di fatto, traducono i requisiti essenziali previsti dai Regolamenti in disposizioni tecniche specifiche che chiariscono, agli occhi dei produttori, quali sono gli aspetti tecnico-applicativi e di compliance da rispettare in relazione alle proprie macchine-PDE ai fini della presunzione di conformità.
Molto attesa è la norma che definisce i requisiti di cybersicurezza per i macchinari industriali, la prEN 50742 “Safety of machinery-Protection against corruption” in pubblicazione nel corso del 2026, destinata a diventare il riferimento trasversale per la protezione delle macchine contro le alterazioni digitali accidentali o dolose, per soddisfare i suddetti requisiti essenziali “back-door” (i.e. 1.1.9 e 1.2.1; cfr. Prospetto 2).
In conclusione
Nel percorso evolutivo delle macchine nell’era della Trasformazione Digitale è indispensabile essere consapevoli dei nuovi scenari normativi, delle rispettive scadenze e dei relativi obblighi e rischi di non-compliance, considerando che sia il MR sia il CRA entreranno in vigore con limitate disposizioni transitorie.
C’è ancora tempo, per i fabbricanti, per allinearsi alla nuova era della cybersecurity cogente, in cui sicurezza funzionale, sicurezza digitale e gestione delle vulnerabilità dovranno essere integrate in un’unica strategia di progettazione e conformità.
Note:
- La cybersecurity (sicurezza informatica) è “l’insieme delle attività necessarie per proteggere la rete e i sistemi informativi, gli utenti di tali sistemi e altre persone interessate dalle minacce informatiche” (art. 3 c.3 del CRA-Cyber Resilience Act.)
Il concetto cyber resilience (resilienza informatica) è la capacità di prodotti, servizi e sistemi digitali di far fronte, resistere, adattarsi e riprendersi rapidamente a cyber-incidenti, cyber-attacchi o guasti di sistema, assicurando la continuità operativa dell’azienda e delle reti, così come la protezione dei dati. ↩︎ - Il CRA prevede 3 categorie di PDEs, classificati in base al rischio di cybersecurity e con requisiti di conformità progressivamente più severi:
– PDE generici/di default
– PDE importanti (important PDE): prodotti che svolgono funzioni essenziali per la sicurezza informatica di altri prodotti, reti o servizi e/o che comportano rischi significativi in termini di disruption, e.g. [Classe I] browser, sistemi di gestione delle password, sistemi operativi, assistenti virtuali; [Classe II] ipervisori, firewall.
– PDE critici (critical PDE): prodotti la cui compromissione può portare a disruption per le organizzazioni e che necessitano di una certificazione obbligatoria da parte di un organismo notificato (es. gateway per smart metering, smartcard). ↩︎
IcimGroup.com
Piazza Don Enrico Mapelli, 75
20099 Sesto San Giovanni (MI)
Telefono: +39 02 725341
Email: info@icimgroup.com
Linkedin
