La cybersecurity, oggi,
è sicurezza delle persone
Cosa cambia per costruttori e utilizzatori con il regolamento macchine 2023/1230
Cybersecurity OT e Regolamento Macchine (UE) 2023/1230
Quando un sistema informatico viene compromesso in un ufficio, le conseguenze restano digitali. Quando lo stesso tipo di attacco colpisce il sistema di controllo di una macchina industriale, le conseguenze escono dallo schermo: possono disattivare funzioni di sicurezza, avviare movimenti pericolosi, bloccare arresti di emergenza.
La cybersecurity OT – quella che riguarda i sistemi operativi degli impianti, i PLC, le reti di campo, i collegamenti remoti – ha un impatto diretto sulla sicurezza fisica delle persone che lavorano con quelle macchine. Il Regolamento Macchine (UE) 2023/1230 ha formalizzato questo legame, introducendo per la prima volta requisiti specifici su protezione del software, dei sistemi di comando e dei dati critici.
Il perimetro della macchina si è allargato
La Direttiva Macchine 2006/42/CE era pensata per macchine meccaniche ed elettromeccaniche. Nel testo non esistevano riferimenti espliciti a software, connettività, intelligenza artificiale o cybersecurity. Per vent’anni, quella parte del rischio è rimasta in una zona grigia.
Il Regolamento Macchine (UE) 2023/1230 – che entrerà in vigore il 20 gennaio 2027 – colma questa lacuna. Software embedded, reti OT, accessi remoti: il Regolamento li tratta come componenti della macchina a tutti gli effetti, con i relativi obblighi di progettazione e sicurezza.
Il nuovo R.E.S.S. 1.1.9 – Protezione dall’alterazione – stabilisce che le macchine devono essere progettate e costruite in modo che connessioni e accessi remoti non consentano l’alterazione delle funzioni di sicurezza né la generazione di situazioni pericolose. Il requisito riguarda tre aree distinte:
- Software
- Componenti hardware
- Dati critici
SAFETY e SECURITY: due concetti distinti
Nelle macchine industriali con componenti digitali e connettività, i rischi funzionali (safety) e i rischi cyber (security) non possono più essere gestiti come ambiti separati.
Un accesso non autorizzato, una modifica di configurazione o un aggiornamento software non controllato possono incidere sul comportamento della macchina e quindi sulla sicurezza degli operatori.
Nel Regolamento (UE) 2023/1230, safety e security convergono.
Safety
Cosa protegge: Gli operatori dai pericoli derivanti dal funzionamento dei macchinari.
Riferimento: Regolamento (UE) 2023/1230.
Esempi: Ripari, barriere, arresto di emergenza.
Tipo di misura: Fisica e/o elettronica.
Security
Cosa protegge: Le macchine e i dati da manipolazioni e accessi non autorizzati.
Riferimento: Cyber Resilience Act (UE) 2024/2847.
Esempi: Autenticazione, cifratura, aggiornamenti firmware.
Tipo di misura: Informatica e procedurale.
Security
- Cosa protegge: Le macchine e i dati da manipolazioni e accessi non autorizzati.
- Riferimento: Cyber Resilience Act (UE) 2024/2847.
- Esempi: Autenticazione, cifratura, aggiornamenti firmware.
- Tipo di misura: Informatica e procedurale.
Safety
- Cosa protegge: Gli operatori dai pericoli derivanti dal funzionamento dei macchinari.
- Riferimento: Regolamento (UE) 2023/1230.
- Esempi: Ripari, barriere, arresto di emergenza.
- Tipo di misura: Fisica e/o elettronica.
In altre parole, dal 2027 non sarà sufficiente progettare una macchina sicura dal punto di vista meccanico, elettrico o funzionale. Sarà necessario dimostrare che software, reti, dispositivi connessi e accessi digitali non possano compromettere le funzioni di sicurezza previste dal progetto.
Una macchina può essere conforme ai requisiti tradizionali di safety, ma se vulnerabile a manipolazioni informatiche che alterano funzioni, parametri o logiche di controllo, il livello di sicurezza complessivo risulta compromesso. La protezione delle persone e la protezione dei sistemi digitali diventano quindi parti dello stesso processo di gestione del rischio.
Altre novità del Regolamento che riguardano il software
Il Regolamento interviene sul tema software in modo più ampio.
R.E.S.S. 1.2.1 -Sicurezza e affidabilità dei sistemi di comando
Richiede che i sistemi di controllo siano progettati in modo sicuro e affidabile, inclusi quelli che integrano software evolutivo o intelligenza artificiale.
Modifiche del comportamento della macchina, anche generate da sistemi auto-adattativi, devono essere gestite in modo da non generare situazioni pericolose.
Modifica sostanziale
Il Regolamento introduce per la prima volta una definizione chiara.
Una modifica è sostanziale quando incide sulla sicurezza della macchina creando un nuovo pericolo o aumentando un rischio esistente.
La novità rispetto alla Direttiva è esplicita: la modifica può avvenire “mediante mezzi fisici o digitali”. Un aggiornamento software che altera il comportamento del sistema di sicurezza rientra in questa definizione.
Software come componente di sicurezza (Allegato II)
Nell’Allegato II del Regolamento -l’elenco dei componenti di sicurezza -compare per la prima volta il software che garantisce funzioni di sicurezza.
Un software di questo tipo, se immesso sul mercato separatamente, dovrà essere marcato CE e accompagnato da dichiarazione di conformità UE e istruzioni per l’uso.
Stesso obbligo per i componenti di sicurezza con comportamento auto-evolutivo basato su apprendimento automatico.
Come gestiamo questa parte
La digitalizzazione delle macchine ha reso la cybersecurity OT parte integrante della valutazione del rischio. Questo significa affrontare gli aspetti di sicurezza informatica rilevanti per la sicurezza delle persone e per la conformità normativa della macchina.
Il nostro approccio è calibrato sul perimetro reale dell’impianto e sui requisiti applicabili. Teniamo il focus sui sistemi OT della macchina, fuori da attività IT non pertinenti.
I servizi che offriamo su questo fronte:
- Valutazione del sistema OT in ambito cybersecurity (OT Assessment): analisi preliminare dell’architettura OT, identificazione del perimetro rilevante e delle criticità rispetto ai requisiti normativi.
- Cyber Compliance CE: verifica dei requisiti di cybersecurity applicabili alla marcatura CE secondo il Regolamento Macchine (UE) 2023/1230.
- Cyber Compliance CE Advanced: estensione dell’analisi all’intero sistema OT oltre i requisiti minimi CE.
- Determinazione del Security Level secondo IEC 62443: valutazione del livello di security dei sistemi OT secondo lo standard internazionale di riferimento per la cybersecurity industriale.
