Obiettivo

• Comprendere il quadro normativo europeo emergente sulla cybersicurezza applicata a macchine e impianti industriali.
• Distinguere tra cybersicurezza orientata alla sicurezza dell’operatore (safety) e alla protezione dei dati/infrastrutture (security).
• Identificare ruoli, responsabilità e processi per conformarsi ai regolamenti.
• Collegare norme tecniche (non ancora armonizzate) e regolamenti, e delineare un processo pratico di adeguamento.

1. Fondamenti: cosa intendiamo per cybersicurezza in ambito industriale

• Definizione intuitiva:
  • Cybersicurezza in ambito industriale significa proteggere macchine, impianti e reti industriali da accessi o manipolazioni non autorizzate che possono:

1. mettere a rischio la sicurezza fisica degli operatori (safety),
2. compromettere la riservatezza, integrità e disponibilità dei dati e dei servizi (security).

1. Perché è rilevante ora:

• L’evoluzione tecnologica (es. connettività diffusa, IoT industriale, intelligenza artificiale nei sistemi di controllo) amplia la superficie d’attacco.
• Aumento di attacchi mirati a ICS/OT, con impatti operativi, economici e di sicurezza.

• Due dimensioni chiave:

• Safety (cyber per la sicurezza funzionale): prevenire che un attacco o una modifica ai circuiti di sicurezza provochi incidenti o condizioni pericolose.
• Security (cyber per la protezione informativa/operativa): evitare furto di dati, manipolazioni di setpoint/ricette, indisponibilità dei sistemi.

2. Quadro regolatorio europeo: cosa cambia e quando

• Regolamento Macchine (nuovo)

• Focus: cybersicurezza a tutela della sicurezza dell’operatore (safety).
• Entrata in vigore: 20 gennaio 2027.
• Implicazione: i fabbricanti devono integrare requisiti cyber che garantiscano l’integrità dei circuiti di sicurezza e delle funzioni legate alla protezione degli operatori.

• Cyber Resilience Act (CRA)
  • Focus: cybersicurezza della security (protezione dei dati, integrità e resilienza dei prodotti connessi).
  • Timeline:

• 11 settembre 2026: primo step—obbligo per i fabbricanti di comunicare a un ente europeo le vulnerabilità dei propri prodotti connessi.
• Dicembre 2027: piena applicazione del regolamento.

• • Implicazione: governance del vulnerability disclosure, gestione patch, requisiti di progettazione sicura per prodotti connessi.
• NIS2 (contestualizzazione)

• Non è oggetto centrale della lezione, ma rilevante per gli utilizzatori (asset owner).
• Introduce obblighi di gestione del rischio cyber a livello di organizzazioni essenziali/importanti, incidendo sulle responsabilità lato utilizzatore.

3. Differenze concettuali tra i regolamenti

• Regolamento Macchine:

• Ambito: prevenzione di effetti cyber che compromettano la sicurezza funzionale (safety) delle macchine.
• Esempio: protezione dei circuiti di sicurezza (es. arresto di emergenza, barriere, PLC di sicurezza) da manipolazioni.

• Cyber Resilience Act (CRA):

• Ambito: requisiti di security by design, vulnerability management, protezione di dati e servizi nei prodotti connessi.
• Esempio: gestione disclosure vulnerabilità, update sicuri, hardening dei dispositivi connessi.

• Sintesi:

• Safety (Regolamento Macchine): proteggere persone da danni fisici indotti da attacchi.
• Security (CRA): proteggere dati, proprietà intellettuale, continuità operativa.

4. Conseguenze tipiche di un attacco cyber su macchine e impianti

• Tipo 1: Esfiltrazione/compromissione dati

• Esempi: furto di dati coperti da brevetto, ricette di produzione, parametri proprietari.
• Impatto: danno economico, perdita di vantaggio competitivo.

• Tipo 2: Danno operativo diretto o indiretto

• Diretto (safety): manipolazione dei circuiti di sicurezza → incidenti o condizioni pericolose per operatori.
• Indiretto (quality/compliance): manipolazione di una linea farmaceutica con leggeri cambi alla “formula” (ricetta/setpoint) → prodotti non conformi, difficili da rilevare subito → rischi per la salute pubblica e richiamo prodotti.

• Intuizione tecnica:

• Gli attacchi alla safety spesso sfruttano vulnerabilità nei canali di programmazione/aggiornamento, password deboli, segmentazione di rete inadeguata tra IT/OT, assenza di whitelisting per logiche di sicurezza.
• Gli attacchi alla security spesso targettizzano servizi esposti, credenziali, supply chain del software, mancanza di logging/monitoring.

5. Campo di applicazione dei regolamenti

• Regolamento Macchine:

• Si applica ai circuiti e alle funzioni legate alla sicurezza dell’operatore integrate nella macchina/impianto.
• Obiettivo: evitare che minacce cyber degradino le funzioni di protezione (es. SIL/PL) o ne alterino il comportamento.

• Cyber Resilience Act:

• Si applica ai prodotti con elementi digitali e connettività, focalizzandosi su integrità/confidenzialità/disponibilità dei dati e dei servizi.
• Obiettivo: governance ciclo di vita sicurezza (vulnerabilità, aggiornamenti, comunicazioni sicure).

6. Norme tecniche di riferimento: stato dell’arte e prospettive

• Stato attuale:

• Non esistono ancora norme armonizzate specifiche per il nuovo Regolamento Macchine o per il CRA.
• Esistono però framework e famiglie normative utilizzabili come riferimento tecnico.

• Famiglie normative citate:
  • IEC 62443 (serie)

• Quadro completo per la cybersicurezza di sistemi di automazione e controllo industriale (ruoli, requisiti di sistema, componenti, processi).
• In Europa sono in sviluppo allegati per le parti 4-1 e 4-2 per allineamento al CRA e futura armonizzazione.

• • EN 18031 (in ambito Direttiva RED)

• Rilevante per aspetti radio/connessione, non armonizzata per Regolamento Macchine o CRA.

• • Norma in sviluppo: 5742

• Prevista come riferimento per l’ambito del Regolamento Macchine (in fase di lavori a livello europeo).

• Implicazione pratica:

• In attesa di norme armonizzate, le aziende dovrebbero impostare i propri sistemi di gestione e requisiti tecnici rifacendosi alla IEC 62443 come best practice, anticipando futuri requisiti armonizzati.

7. Ruoli e responsabilità

• Principio generale (regolamentare):

• Responsabile della conformità: il firmatario della dichiarazione di conformità (tipicamente il fabbricante o la persona designata in azienda).

• Suddivisione responsabilità (IEC 62443):
  • Manufacturer (fabbricante):

• Progetta e realizza il macchinario.
• Deve garantire che i livelli di sicurezza cyber previsti per la macchina siano rispettati.
• Esempi: secure development lifecycle, hardening, autenticazione robusta, logging, aggiornabilità sicura, protezione dei circuiti di sicurezza.

• • Asset Owner (utilizzatore):

• Gestisce l’impianto e integra la macchina nel proprio contesto operativo.
• Valuta se il livello di sicurezza cyber del macchinario è compatibile con i requisiti dell’azienda (policy, segmentazione, gestione patch, formazione operatori).
• Nota NIS2: introduce obblighi organizzativi (risk management, incident reporting) lato utilizzatore.

• • Service Provider (fornitore di servizi, spesso il fabbricante stesso):

• Eroga servizi di supporto/manutenzione, anche da remoto.
• Deve seguire procedure sicure di accesso remoto, gestione account, tracciamento attività, canali cifrati, gestione delle vulnerabilità.

• Nota critica:

• Acquistare macchine con livello di sicurezza inferiore a quanto richiesto dall’organizzazione crea un “punto debole” nella difesa complessiva (supply chain risk).
• La responsabilità è distribuita: fabbricante e utilizzatore devono coordinarsi per coprire le rispettive aree.

8. Processo di adeguamento consigliato (pratica TECA SRL)

• Step 1: Formazione

• Obiettivo: stabilire un linguaggio comune e basi tecniche sulle norme (soprattutto IEC 62443).
• Perché: la corretta terminologia e comprensione dei requisiti facilita la collaborazione tra fabbricante, asset owner e service provider.

• Step 2: Valutazione del rischio (risk assessment) sul macchinario

• Identificare il profilo di rischio e il livello di sicurezza target.
• Fattori: tipo di prodotto, tipo di macchina, ambiente operativo (es. settore farmaceutico vs. manifatturiero generico), connettività, impatti potenziali su safety e security.

• Step 3: Analisi del gap (gap analysis)

• Confrontare i requisiti target con lo stato attuale del macchinario.
• Identificare misure mancanti o carenze (tecniche, procedurali, documentali).

• Step 4: Remediation e supporto all’adeguamento

• Definire e implementare le misure di riduzione del rischio per colmare il gap.
• Esempi: segmentazione di rete OT, gestione credenziali, controllo accessi remoto, aggiornamenti firmware sicuri, logging/monitoring, protezione delle logiche di sicurezza.

• Esito atteso:

• Un percorso ripetibile e documentabile che rende dimostrabile la conformità (o la roadmap verso la conformità) rispetto ai regolamenti e ai framework tecnici.

9. Esempi esplicativi

• Esempio A: Attacco ai circuiti di sicurezza (safety)
  • Situazione iniziale: Macchina con PLC di sicurezza connesso per manutenzione remota.
  • Minaccia: Attore malevolo accede con credenziali deboli e modifica la logica di arresto di emergenza.
  • Passi logici:

1. Assenza di MFA e whitelisting sulle connessioni di manutenzione.
2. Segregazione di rete inadeguata consente il passaggio da IT a OT.
3. Modifica non rilevata per mancanza di audit trail/configuration integrity check.

1. 1. Conseguenza: Funzione di sicurezza non interviene → rischio di incidente.
   2. Misure:

• Controllo accessi forte, MFA, gestione identità.
• Segmentazione di rete e zone/conduit (IEC 62443-3-2).
• Firma/configurazione immutabile per logiche di sicurezza, procedure di change control.
• Test e verifica periodici delle funzioni di sicurezza.

• • Interpretazione: il Regolamento Macchine rende obbligatoria l’attenzione a questa catena di protezione per salvaguardare gli operatori.
• Esempio B: Manipolazione ricetta in linea farmaceutica (security)
  • Situazione iniziale: Linea di produzione di medicinali con sistema di supervisione connesso.
  • Minaccia: Attacco modifica leggermente i parametri di una ricetta.
  • Passi logici:

1. Accesso tramite servizio esposto non aggiornato.
2. Modifica dei setpoint senza allarmi di deviazione.
3. Controlli qualità non immediatamente sensibili alla variazione.

1. 1. Conseguenza: Produzione di lotti non conformi, rischio sanitario, richiami estesi.
   2. Misure:

• Patch management e hardening dei servizi.
• Firma/validazione delle ricette, allarmi su deviazioni parametriche.
• Tracciabilità modifiche e segregazione dei privilegi.

• • Interpretazione: il CRA impone processi e capacità tecniche per prevenire/maneggiare queste manipolazioni e gestire le vulnerabilità.

10. Connessioni con il resto del corso e applicazioni reali

• Collegamenti teorici:

• Sicurezza funzionale vs. sicurezza informatica: interplay tra PL/SIL (ISO 13849/IEC 62061) e requisiti cyber (IEC 62443).
• Gestione del rischio: metodologie di analisi del rischio IT/OT, zone e conduits, defense-in-depth.

• Applicazioni reali:

• Settori critici (farmaceutico, alimentare, energia) hanno requisiti stringenti; l’adozione anticipata di IEC 62443 facilita la conformità futura a Regolamento Macchine e CRA.
• Supply chain security: scelta del macchinario in funzione del profilo cyber richiesto dall’azienda, clausole contrattuali su aggiornamenti e disclosure.

11. Takeaway operativi

• Distinguere chiaramente safety e security e presidiare entrambi i domini.
• Tenere la timeline:

• 11 settembre 2026: obbligo disclosure vulnerabilità (CRA).
• 20 gennaio 2027: entrata in vigore Regolamento Macchine.
• Dicembre 2027: piena applicazione CRA.

• Usare IEC 62443 come riferimento pratico fino alla disponibilità di norme armonizzate.
• Definire ruoli e responsabilità tra fabbricante, asset owner e service provider; integrare requisiti NIS2 dove applicabile.
• Seguire un processo strutturato: formazione → risk assessment → gap analysis → remediation.

12. Glossario dei termini chiave

• Cybersicurezza della safety: misure per impedire che attacchi informatici compromettano funzioni di sicurezza fisica delle macchine.
• Cybersicurezza della security: misure per proteggere dati, integrità dei sistemi e continuità operativa.
• Regolamento Macchine: nuovo regolamento UE per macchine; include requisiti cyber orientati alla safety (in vigore dal 20/01/2027).
• Cyber Resilience Act (CRA): regolamento UE per la sicurezza dei prodotti con elementi digitali (primo step 11/09/2026; piena applicazione 12/2027).
• NIS2: direttiva UE per la sicurezza delle reti e dei sistemi informativi, con obblighi per entità essenziali/importanti.
• IEC 62443: serie di norme per la cybersicurezza dei sistemi di controllo industriale.
• Manufacturer: fabbricante del macchinario.
• Asset Owner: utilizzatore/proprietario dell’impianto.
• Service Provider: fornitore di servizi (es. manutenzione, accesso remoto).
• Gap analysis: analisi delle differenze tra stato attuale e requisiti target.
• Vulnerability disclosure: processo di comunicazione e gestione delle vulnerabilità di prodotto verso autorità/clienti.

13. Domande di verifica (autovalutazione)

1. Qual è la differenza tra cybersicurezza orientata alla safety e quella orientata alla security?
2. Quali sono le scadenze principali del CRA e del Regolamento Macchine?
3. Quali ruoli definisce la IEC 62443 e quali responsabilità associano a fabbricante, asset owner e service provider?
4. Perché l’acquisto di una macchina con livello cyber inferiore al richiesto dall’azienda è rischioso?
5. Quali sono le fasi di un processo di adeguamento tipico alla conformità cyber?

14. Riferimenti normativi e linee guida citate

• Regolamento Macchine (UE) – entrata in vigore: 20 gennaio 2027.
• Cyber Resilience Act (CRA) – primo step: 11 settembre 2026; piena applicazione: dicembre 2027.
• Direttiva NIS2 – obblighi lato utilizzatore.
• IEC 62443 (serie) – framework tecnico per ICS/OT; focus su parti 4-1 e 4-2 per futuri allegati europei.
• Norma in sviluppo “5742” – prevista come riferimento per il Regolamento Macchine.
• EN 18031 (ambito Direttiva RED) – non armonizzata per Regolamento Macchine o CRA.

Video NECSI: EP.30 | CYBERSICUREZZA E MACCHINE: rischi, norme e responsabilità – NECSI srl