“Noi costruiamo macchine, non software”
È la frase che sentiamo più spesso dai costruttori di macchine quando si parla di Cyber Resilience Act. Ed è un’obiezione comprensibile. L’azienda scrive la logica dei PLC, non app. Fa marcatura CE da vent’anni.
La legge, però, non guarda all’azienda. Guarda alla macchina, e la guarda due volte.
Regolamento (UE) 2023/1230 Il Regolamento Macchine protegge le persone intorno alla macchina. Regolamento (UE) 2024/2847 Il Cyber Resilience Act protegge il software dentro la macchina
Perché il CRA riguarda anche una macchina
Il CRA non ha un elenco di tipi di prodotto. Ha un solo criterio, all’articolo 2, paragrafo 1.
Il presente regolamento si applica ai prodotti con elementi digitali messi a disposizione sul mercato la cui finalità prevista o il cui utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica diretta o indiretta a un dispositivo o a una rete.
Una macchina soddisfa il criterio non appena ha uno di questi elementi.
- Un PLC o un HMISoftware scritto da te o acquistato. Contano entrambi.
- Una porta EthernetVerso il MES, la telemetria, la rete di stabilimento.
- Una porta di servizioUna USB o una presa per il portatile dell’assistenza. Una connessione dati fisica.
- La teleassistenzaUn gateway VPN o un modem cellulare. Una connessione indiretta.
L’articolo 2 elenca poi ciò che il CRA lascia ad altre leggi: dispositivi medici, dispositivi medico-diagnostici in vitro, veicoli a motore omologati, prodotti certificati dell’aviazione civile ed equipaggiamento marittimo. Le macchine non ci sono. Il considerando 53 nomina direttamente i fabbricanti di macchine e indica come gestire la sovrapposizione.
Tali sinergie devono essere dimostrate dal fabbricante, ad esempio attraverso l’applicazione, se disponibili, di norme armonizzate o altre specifiche tecniche riguardanti i requisiti essenziali di cibersicurezza pertinenti a seguito di una valutazione dei rischi che copra tali rischi di cibersicurezza. Il fabbricante dovrebbe inoltre seguire le procedure di valutazione della conformità applicabili di cui al presente regolamento e al regolamento (UE) 2023/1230.
In queste due frasi contano due parole: le procedure sono quelle di entrambi i regolamenti, e le sinergie le dimostra il fabbricante. Rispettare il CRA può aiutarti con i punti 1.1.9 e 1.2.1 del Regolamento Macchine, ma nessuno lo presume al posto tuo.
Cosa chiede ciascuna legge alla stessa macchina
I due regolamenti si sovrappongono su un’idea, la protezione del software dalle interferenze dolose, poi prendono strade diverse. Il Regolamento Macchine si ferma dove si ferma la sicurezza. Il CRA prosegue per tutto il periodo di assistenza del prodotto.
| Obbligo | Regolamento Macchine | Cyber Resilience Act |
|---|---|---|
| La valutazione dei rischi copre i tentativi deliberati ragionevolmente prevedibili da parte di terzi | Richiesto, allegato III, 1.2.1 | Richiesto, allegato I, parte I |
| La macchina individua il software di sicurezza installato e ne fornisce l’elenco su richiesta | Richiesto, allegato III, 1.1.9 | In parte: uno SBOM nella documentazione tecnica, allegato I, parte II |
| Registrazione delle versioni del software di sicurezza e degli interventi, conservata cinque anni | Richiesto, allegato III, 1.2.1 | Non in questi termini |
| SBOM di tutti i componenti, non solo di quelli di sicurezza | Non richiesto | Richiesto, allegato I, parte II |
| Gestione delle vulnerabilità per il periodo di assistenza, di almeno cinque anni | Non richiesto | Richiesto, articolo 13 e allegato I, parte II |
| Preallarme entro 24 ore per una vulnerabilità attivamente sfruttata | Non richiesto | Richiesto, articolo 14, dall’11 settembre 2026 |
| Aggiornamenti di sicurezza forniti gratuitamente agli utilizzatori | Non richiesto | Richiesto, allegato I, parte II |
| Inclusi in un’unica dichiarazione di conformità UE | Sì, articolo 21, paragrafo 3 | Sì, con la stessa dichiarazione |
Rileggi la colonna di destra. Quattro righe su otto sono obblighi che nel mondo delle macchine prima non esistevano. Non vengono dal Regolamento Macchine: vengono dal CRA, e restano in vigore per anni dopo la consegna.
Cinque casi dallo stand
Le stesse due leggi, applicate al modo in cui i costruttori di macchine vendono davvero.
| Il tuo caso | Regolamento Macchine | Cyber Resilience Act | Cosa significa per te |
|---|---|---|---|
| Costruisci una macchina completa e ne scrivi il software di comando | Si applica per intero | Si applica per intero. Sei il fabbricante di un prodotto con elementi digitali | Due serie di requisiti, una valutazione dei rischi con due capitoli, una dichiarazione |
| Costruisci una macchina completa con PLC e HMI acquistati, senza software tuo | Si applica per intero | Si applica per intero. Il fornitore risponde del PLC, tu della macchina | Dovuta diligenza sui componenti che integri, articolo 13. La gestione delle vulnerabilità della macchina resta tua |
| Fai retrofit o revamping di una macchina già in campo, tua o di altri | Una modifica sostanziale ti rende fabbricante, articolo 18 | Una modifica sostanziale dopo l’11 dicembre 2027 porta la macchina nel CRA, articolo 69, paragrafo 2 | L’intera macchina diventa un tuo prodotto. Decidi prima del lavoro se la modifica è sostanziale |
| Produci quasi-macchine o un componente venduto a sé | Dichiarazione di incorporazione, articolo 22 | Il tuo componente è di per sé un prodotto con elementi digitali, articolo 3, punto 1 | La macchina del tuo cliente eredita il tuo SBOM e la tua gestione delle vulnerabilità. Ti chiederà entrambi |
| Vendi software industriale a sé | Si applica solo se il software svolge una funzione di sicurezza | Si applica per intero | Il CRA è la tua legge principale. L’obbligo di segnalazione è già in vigore |
Due serie di date, una macchina
Una macchina che consegni a marzo 2027 rientra nel Regolamento Macchine e nell’obbligo di segnalazione del CRA, ma non ancora nei requisiti di prodotto del CRA. Una macchina che consegni a gennaio 2028 rientra in tutti e tre. Prepara fin da ora il fascicolo tecnico pensando al secondo caso: nel frattempo i componenti non cambieranno.
Le due procedure, senza fare il lavoro due volte
Il considerando 53 chiede entrambe le procedure, non due copie di tutto. Se lo organizzi una volta sola, quasi tutto il lavoro serve a entrambe le leggi.
- Una valutazione dei rischi, due capitoliMantieni la valutazione della sicurezza secondo la ISO 12100. Aggiungi un capitolo di cybersicurezza: in quali modi software e dati possono essere alterati, chi può collegarsi in ciascuno stato di funzionamento e cosa succede in quel caso. Il punto 1.2.1 e l’allegato I, parte I, si basano sullo stesso capitolo.
- Un solo elenco dei componentiLo SBOM che il CRA chiede nella documentazione tecnica comprende l’elenco del software di sicurezza del punto 1.1.9. Segna le voci rilevanti per la sicurezza. Due obblighi, un solo elenco.
- Una sola descrizione della superficie di attaccoQuali porte, protocolli e interfacce sono aperti in produzione, in manutenzione locale e in teleassistenza. Il Regolamento Macchine la legge come chi può collegarsi. Il CRA la legge come ciò che una vulnerabilità può raggiungere.
- Un solo processo di monitoraggioOgni nuova vulnerabilità su un componente in elenco viene confrontata con la superficie di attacco: esposta o no. Se è esposta, la valutazione dei rischi per la sicurezza va rivista. È la parte che non finisce mai, e alimenta entrambi i fascicoli.
- Una sola dichiarazioneArticolo 21, paragrafo 3, del Regolamento Macchine: un’unica dichiarazione di conformità UE indica entrambi i regolamenti, con i riferimenti della loro pubblicazione. Una sola firma.
Se alla macchina o al prodotto correlato si applicano più atti giuridici dell’Unione che prescrivono una dichiarazione di conformità UE, è compilata un’unica dichiarazione di conformità UE in relazione a tali atti.
A che punto è la presunzione di conformità
Il Regolamento Macchine offre una sola scorciatoia per i punti di cybersicurezza. Articolo 20, paragrafo 9: una macchina certificata nell’ambito di un sistema europeo di certificazione della cybersicurezza adottato ai sensi del regolamento (UE) 2019/881 è considerata conforme ai punti 1.1.9 e 1.2.1, nella misura in cui il certificato li copre. Oggi non conosciamo nessun costruttore di macchine che abbia un certificato del genere per una macchina. Anche le norme armonizzate per questi due punti non sono ancora citate nella Gazzetta ufficiale, e le norme del CRA sono ancora in preparazione.
Cosa fa Shield Lifecycle, e cosa no
Shield Lifecycle mantiene attivi i passi 2, 3 e 4 dopo la consegna: lo SBOM di ogni macchina consegnata, la superficie di attacco per stato di funzionamento, il controllo quotidiano delle nuove vulnerabilità, le dichiarazioni VEX, le bozze delle notifiche al CSIRT e degli avvisi ai tuoi clienti, e le evidenze che il processo ha funzionato. Edge Shield EN chiude le vie d’accesso alla macchina che secondo la superficie di attacco devono restare chiuse, senza toccare il programma del PLC.
Se costruisci macchine e aspettavi che qualcuno ti dicesse che il CRA non ti riguarda, questo articolo dice il contrario. È la tua legge, accanto a quella che già conosci, e gran parte del lavoro serve a entrambe.