Il Cyber Resilience Act (CRA) è il Regolamento (UE) 2024/2847. Fissa requisiti di cybersicurezza obbligatori per tutti i «prodotti con elementi digitali» venduti nell’Unione, cioè hardware o software che si collegano, direttamente o indirettamente, a un altro dispositivo o a una rete. Se un PLC, un pannello HMI, un gateway o la macchina intera hanno una porta Ethernet, un modulo di teleassistenza o anche solo un’interfaccia di programmazione, rientrano quasi certamente nel campo di applicazione. Il regolamento non riguarda solo chi produce componenti: chi integra quei componenti in una macchina e la immette sul mercato con il proprio marchio ne diventa a sua volta fabbricante, con tutti gli obblighi che ne seguono.
In particolar modo vedremo:
Le scadenze che contano
Il CRA è entrato in vigore il 10 dicembre 2024 e si applica a tappe. Il 13 novembre 2026, data di questo articolo, la prima tappa operativa è già scattata.
| Data | Cosa si applica | Chi è toccato |
|---|---|---|
| 11 giugno 2026 | Norme sugli organismi di valutazione della conformità (capo IV) | Enti notificati, Stati membri |
| 11 settembre 2026 | Obblighi di segnalazione di vulnerabilità sfruttate attivamente e di incidenti gravi (art. 14) | Tutti i fabbricanti, anche per i prodotti immessi sul mercato prima del 2027 |
| 11 dicembre 2027 | Tutto il resto: requisiti essenziali (allegato I), documentazione tecnica, marcatura CE secondo il CRA | Ogni prodotto nuovo immesso sul mercato da quella data |
Va tenuta d’occhio anche un’altra data: dal 20 gennaio 2027 si applica il Regolamento Macchine (UE) 2023/1230. Il suo allegato III chiede esplicitamente la protezione contro la corruzione del software e dei dati (punto 1.1.9) e sistemi di comando sicuri anche rispetto a tentativi malevoli (punto 1.2.1). Per un costruttore di macchine, quindi, la cybersicurezza diventa un requisito di sicurezza della macchina un anno prima che il CRA si applichi per intero.
Chi deve fare cosa: costruttore, integratore, programmatore
| Ruolo | Posizione nel CRA | Obblighi principali |
|---|---|---|
| Produttore di PLC, HMI, inverter, switch | Fabbricante del componente | Requisiti dell’allegato I, gestione vulnerabilità, aggiornamenti, segnalazioni art. 14 |
| Costruttore di macchine con proprio marchio | Fabbricante della macchina come prodotto con elementi digitali | Due diligence sui componenti di terzi (art. 13), valutazione del rischio cyber, documentazione, segnalazioni |
| Programmatore PLC dipendente o consulente | Non è soggetto autonomo, ma il suo software fa parte del prodotto | Applicare le regole di sviluppo sicuro definite dal fabbricante e documentare le scelte |
| Chi modifica una macchina già venduta | Può diventare fabbricante in caso di modifica sostanziale (artt. 21-22) | Gli stessi del fabbricante, per la parte modificata |
Un caso inventato rende l’idea. La Officine Brembate Srl costruisce linee di confezionamento con un PLC di marca, un HMI e un router per la teleassistenza. Nessuno dei tre componenti l’ha progettato lei, ma la linea esce con il suo nome e la sua dichiarazione CE. Per il CRA è lei il fabbricante della linea: deve dimostrare di aver scelto componenti adeguati, di aver configurato il sistema in modo sicuro e di saper reagire quando su uno di quei componenti esce una vulnerabilità.
Procedura pratica in otto passi
- Censisci i prodotti. Per ogni macchina o famiglia fai un elenco delle interfacce: Ethernet, porte di servizio, USB, Wi-Fi, modem, accesso remoto. Se non c’è nessuna connessione dati possibile, annotalo con la motivazione.
- Classifica. Controlla gli allegati III e IV del regolamento. La maggior parte delle macchine ricade nella categoria «predefinita» e può fare l’autovalutazione. Router, firewall e alcuni microcontrollori con funzioni di sicurezza sono «importanti» e possono richiedere un ente terzo. La classificazione non va data per scontata: verificala voce per voce sul testo ufficiale.
- Fai la distinta del software (SBOM). L’allegato I, parte II, chiede di identificare e documentare i componenti software, almeno le dipendenze di primo livello. Per una macchina significa firmware del PLC con la versione esatta, sistema operativo dell’HMI, librerie, runtime, firmware del router. Un foglio di calcolo basta per partire; un formato come CycloneDX o SPDX è meglio.
- Valuta il rischio cyber. Documenta chi può raggiungere la macchina, da dove e con quali conseguenze. Lo schema di zone e condotti della serie IEC 62443 è il riferimento più usato in automazione. Le norme armonizzate specifiche per il CRA sono ancora in preparazione presso CEN, CENELEC ed ETSI.
- Metti in sicurezza la configurazione di consegna. Nessuna password di default uguale per tutte le macchine, servizi inutili spenti (web server del PLC, FTP, SNMP non usati), protezione del progetto PLC con password e controllo d’accesso, teleassistenza solo su richiesta e con autenticazione forte. Il CRA chiede prodotti «sicuri per impostazione predefinita».
- Organizza la gestione delle vulnerabilità. Pubblica un contatto per le segnalazioni di sicurezza, iscriviti agli avvisi dei produttori dei componenti, tieni un registro. Il periodo di supporto va dichiarato e, salvo vita d’uso prevista più breve, non può essere inferiore a cinque anni.
- Prepara la catena di segnalazione. Dall’11 settembre 2026, per una vulnerabilità sfruttata attivamente o un incidente grave servono un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale (entro 14 giorni dalla disponibilità di una correzione per le vulnerabilità, entro un mese per gli incidenti). Si notifica al CSIRT designato come coordinatore, in Italia quello dell’ACN, tramite la piattaforma unica di segnalazione gestita dall’ENISA. Decidi oggi chi in azienda preme il pulsante e con quali dati.
- Prepara il fascicolo. Entro dicembre 2027 ogni nuovo prodotto avrà bisogno di documentazione tecnica (allegato VII), istruzioni di sicurezza per l’utente (allegato II) e dichiarazione UE di conformità. Conviene integrarli nel fascicolo tecnico che già si fa per la direttiva o il regolamento macchine, invece di aprirne uno separato.
Cosa cambia per chi scrive codice PLC
Per il programmatore il CRA non introduce un patentino né responsabilità personali dirette. Cambia il modo di lavorare. Il progetto va gestito sotto controllo versione con storico delle modifiche. Le password non stanno scritte nei commenti del codice o in un file sul desktop del PC di messa in servizio. Ogni blocco che accetta comandi dalla rete deve controllare i valori ricevuti (un setpoint fuori campo arrivato via Modbus o OPC UA va scartato, non eseguito). La versione del firmware del controllore va registrata a ogni consegna. Nel caso, sempre inventato, di un tecnico che aggiorna il firmware di un HMI in campo per correggere un bug, quell’aggiornamento va tracciato nella SBOM della macchina, altrimenti la distinta smette di corrispondere a quello che c’è davvero nell’impianto.
Un’ultima nota sulle sanzioni: per la violazione dei requisiti essenziali e degli obblighi degli artt. 13 e 14 l’art. 64 prevede fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo, se superiore. Gli importi effettivi li fisseranno gli Stati membri entro quel tetto.
Dove scaricare i testi ufficiali
Il testo consolidato del regolamento, in tutte le lingue UE, è su EUR-Lex: Regolamento (UE) 2024/2847. Il Regolamento Macchine è su EUR-Lex, Regolamento (UE) 2023/1230. Per la piattaforma di segnalazione e le guide operative fa fede il sito dell’ENISA; per l’Italia, quello dell’Agenzia per la Cybersicurezza Nazionale. Le linee guida della Commissione sull’applicazione del CRA escono a più riprese, quindi conviene ricontrollarle prima di ogni nuova dichiarazione di conformità.
Domande frequenti (FAQ)
Una macchina venduta nel 2025 deve essere adeguata al CRA?
Ai requisiti di progettazione no, a meno che non venga modificata in modo sostanziale dopo l’11 dicembre 2027. Gli obblighi di segnalazione dell’art. 14 invece valgono già oggi anche per i prodotti immessi sul mercato prima di quella data: se su quella macchina emerge una vulnerabilità sfruttata attivamente, il fabbricante deve notificarla.
Se uso un PLC con marcatura CE secondo il CRA, la mia macchina è a posto?
No. Il componente conforme semplifica la due diligence, ma la configurazione, il software applicativo, l’accesso remoto e l’architettura di rete della macchina restano responsabilità del costruttore.
La norma IEC 62443 basta per essere conformi?
Oggi non è una norma armonizzata ai sensi del CRA, quindi non dà presunzione automatica di conformità. Resta comunque il riferimento tecnico più solido per l’automazione, e chi la applica ha già fatto gran parte del lavoro richiesto dall’allegato I.
Una macchina senza accesso remoto è esclusa?
Non necessariamente. Basta una connessione dati logica o fisica, anche locale, come la porta di programmazione del PLC o una rete di cella. Sono escluse solo le macchine senza alcuna possibilità di connessione dati, e chi lo sostiene deve poterlo dimostrare per iscritto.
Alessandro Strongoli programma PLC e mette in servizio macchine e impianti da molti anni: S7-1200/S7-1500 con TIA Portal, pannelli WinCC, azionamenti SINAMICS. Scrive qui dal 2021. Chi scrive
