Foto: Multimedia Centre, Parlamento europeo
NIS2, Cyber Resilience Act, Regolamento Macchine e IEC 62443: la mappa degli obblighi per chi gestisce impianti e sistemi OT
Alla complessità tecnica della convergenza tra IT e OT, di cui abbiamo parlato nel pezzo dedicato alla sfida della convergenza tra IT e OT, se ne aggiunge un’altra, normativa — e qui le due dimensioni si intrecciano più di quanto sembri. Non è un caso che gli stessi ambiti toccati dall’integrazione tra sistemi informativi e impianti produttivi siano quelli su cui il legislatore europeo è intervenuto con più insistenza negli ultimi due anni: NIS 2,Cyber Resilience Act, Regolamento Macchine e lo standard IEC 62443 non sono testi paralleli, ma pezzi di un unico disegno che obbliga aziende e costruttori a ripensare insieme sicurezza, progettazione e governance.
NIS 2: il perimetro si allarga agli ambienti OT
Tra questi, un ruolo centrale è svolto dalla Direttiva NIS 2, normativa dell’Unione europea che aggiorna e rafforza il precedente quadro legislativo (NIS 1), con l’intento di assicurare un livello elevato e omogeneo di sicurezza delle reti e dei sistemi informativi nell’UE. La NIS 2 è stata recepita in Italia attraverso il Decreto legislativo n. 138/2024, con l’Agenzia per la Cybersicurezza Nazionale (ACN) quale autorità competente.
IEC 62443: lo standard per l’automazione industriale
C’è poi lo standard IEC 62443, uno dei principali riferimenti internazionali per la cybersecurity dei sistemi di automazione e controllo industriale. Più che un semplice “equivalente industriale” della ISO/IEC 27001, la famiglia IEC 62443 raccoglie standard e pratiche per affrontare la sicurezza lungo l’intero ciclo di vita dei sistemi di automazione e controllo industriale, compresi gli ambienti ICS e SCADA.
Cyber Resilience Act: sicurezza lungo tutto il ciclo di vita del prodotto
Tra gli atti europei c’è inoltre il Cyber Resilience Act (CRA), il Regolamento UE 2024/2847, che introduce requisiti orizzontali di cybersecurity per i prodotti con elementi digitali immessi sul mercato. Tali requisiti riguardano l’intero ciclo di vita del prodotto, dalla progettazione alla gestione delle vulnerabilità e alla manutenzione.
Regolamento Macchine: la scadenza del 20 gennaio 2027
Non da ultimo, il Regolamento Macchine (UE) 2023/1230 disciplina i requisiti di salute e sicurezza per macchine, prodotti correlati e quasi-macchine. Entrerà in vigore dal 20 gennaio 2027, sostituendo la Direttiva Macchine 2006/42/CE. La convergenza tra NIS 2, CRA e Regolamento Macchine richiede alle aziende di integrare compliance, progettazione e governance della sicurezza.
L’adozione coordinata di IEC 62443, ISO/IEC 27001 e degli obblighi NIS 2 permette di avvicinare IT e OT attraverso un percorso graduale e basato sul rischio, in grado di calibrare sicurezza e continuità produttiva. L’obiettivo è un ecosistema industriale in cui tecnologie, normative e cybersecurity possano integrarsi, rafforzando non solo la resilienza, ma anche la conformità e la competitività delle aziende stesse.
Il countdown è già iniziato
Qui il countdown non è una metafora. Il 31 ottobre 2026 è il termine entro cui i soggetti inseriti nell’elenco NIS nel 2025 devono avere le misure di sicurezza di base non solo scritte, ma attive e verificabili — e dal 1° novembre l’ACN chiude la fase di accompagnamento per passare a quella ispettiva, con tanto di prove da esibire: backup testati, autenticazione a più fattori ovunque, log conservati, incidenti notificati nei tempi corretti. La convergenza tra regole e impianti, da questo momento, smette di essere teoria.
Leggi anche “Cybersecurity industriale, la sfida della convergenza tra IT e OT”
