Il Regolamento (UE) 2023/1230 è il nuovo regolamento europeo sulle macchine. Prende il posto della Direttiva 2006/42/CE e si applica dal 20 gennaio 2027. È un regolamento, non una direttiva: vale così com’è in tutti gli Stati membri, senza un recepimento nazionale che lo adatti. Per chi programma PLC la novità sta nel software. Il programma di sicurezza, i parametri che lo configurano e l’accesso remoto alla macchina diventano materia di requisiti essenziali. Prima erano soltanto buona pratica di progetto.
Il testo è stato adottato il 14 giugno 2023 e pubblicato nella Gazzetta ufficiale dell’UE a fine giugno 2023. Alcune disposizioni, quelle sugli organismi notificati, si applicano già da prima. Per costruttori e integratori, però, la data che conta è il 20 gennaio 2027: fino al giorno prima resta in vigore la Direttiva 2006/42/CE.
In particolar modo vedremo:
Cosa cambia per il software di controllo
Rispetto alla direttiva i cambiamenti sono quattro, e toccano tutti il lavoro in TIA Portal, Studio 5000, TwinCAT o in qualunque altro ambiente usiate.
- Il software può essere un componente di sicurezza. La definizione di “componente di sicurezza” ora comprende i componenti fisici o digitali, software incluso. Una libreria safety venduta a parte, che svolge una funzione di sicurezza, ricade nel regolamento.
- Protezione contro la corruzione (Allegato III, punto 1.1.9). Collegare un altro dispositivo alla macchina, anche da remoto, non deve creare situazioni pericolose. Il software e i dati critici per la conformità vanno identificati e protetti contro alterazioni accidentali o intenzionali. La macchina deve raccogliere prove degli interventi, legittimi o no, su quel software e sulla sua configurazione.
- Affidabilità dei sistemi di comando (Allegato III, punto 1.2.1). Il sistema di comando deve resistere anche ai tentativi dolosi di terzi ragionevolmente prevedibili. Deve inoltre permettere un registro (tracing log) degli interventi e delle versioni del software di sicurezza caricate dopo l’immissione sul mercato, conservato per cinque anni dal caricamento. Il registro serve solo a dimostrare la conformità quando un’autorità nazionale lo chiede con richiesta motivata.
- Comportamento autoevolutivo. I componenti di sicurezza e i sistemi integrati che usano apprendimento automatico per funzioni di sicurezza entrano nell’Allegato I, parte A. Per loro la valutazione di un organismo notificato è obbligatoria.
Direttiva 2006/42/CE e Regolamento 2023/1230 a confronto
| Aspetto | Direttiva 2006/42/CE | Regolamento (UE) 2023/1230 |
|---|---|---|
| Natura giuridica | Direttiva, recepita in Italia con il D.Lgs. 17/2010 | Regolamento, si applica direttamente |
| Software di sicurezza | Non citato esplicitamente come componente di sicurezza | Rientra nella definizione di componente di sicurezza |
| Cybersecurity | Nessun requisito esplicito | Protezione contro la corruzione e resistenza ad attacchi dolosi prevedibili (Allegato III, 1.1.9 e 1.2.1) |
| Tracciabilità delle versioni | Non richiesta | Registro degli interventi e delle versioni del software di sicurezza per 5 anni |
| Intelligenza artificiale / ML | Non trattata | Sistemi autoevolutivi con funzioni di sicurezza: organismo notificato obbligatorio |
| Modifica di macchine in servizio | Nessuna definizione nel testo; si usavano linee guida nazionali | “Modifica sostanziale” definita, anche per via digitale: chi la esegue diventa fabbricante |
| Istruzioni e dichiarazione | Su carta | Ammesso il formato digitale; copia cartacea gratuita su richiesta dell’acquirente |
Procedura: preparare un progetto PLC al 20 gennaio 2027
- Mappate il software critico per la conformità. Elencate ogni blocco che concorre a una funzione di sicurezza: programma F/safety, parametri dei dispositivi di sicurezza (tempi di monitoraggio, soglie di velocità sicura, configurazione dei moduli di I/O safety), ricette che influiscono sulle distanze di sicurezza. Il punto 1.1.9 chiede di identificare questi elementi, quindi l’elenco va messo nel fascicolo tecnico.
- Proteggete ciò che avete mappato. Password sul programma safety distinte da quelle del programma standard, protezione di know-how e di copia, accesso alla CPU limitato per livello, firmware aggiornato. La firma o il checksum del programma di sicurezza, che molti ambienti già calcolano, va registrata nel fascicolo e confrontata a ogni messa in servizio.
- Rendete gli interventi rilevabili. Il regolamento vuole prove degli interventi sul software e sulla configurazione. In pratica: diagnostica di cambio programma letta dal PLC e storicizzata sull’HMI o sullo SCADA, allarme quando la firma safety cambia, registrazione del login operatore sulle pagine che modificano parametri di sicurezza.
- Impostate il registro delle versioni a cinque anni. Ogni versione del software di sicurezza caricata dopo la consegna deve lasciare traccia: data, firma, autore, motivo. Un repository versionato (Git, Version Control Interface, o un archivio di progetti con naming rigido) affiancato al log sul campo copre il requisito. Il registro deve sopravvivere alla sostituzione della CPU.
- Mettete sotto controllo le connessioni. Teleassistenza, VPN del costruttore, chiavette USB sui pannelli, porte di switch libere: ognuno è un “dispositivo collegato” ai sensi dell’1.1.9. Segmentate la rete di macchina, disattivate i servizi che non servono (web server della CPU, accessi in scrittura non protetti), definite chi può collegarsi e quando. La serie IEC 62443 è il riferimento tecnico più usato per questa parte.
- Verificate se usate apprendimento automatico in funzioni di sicurezza. Se un algoritmo che apprende influenza una funzione di sicurezza, siete nell’Allegato I, parte A, e serve un organismo notificato. Se l’ML resta nel controllo di processo e le funzioni di sicurezza sono deterministiche e separate, documentate la separazione.
- Valutate ogni retrofit come possibile modifica sostanziale. Un aggiornamento software non previsto dal fabbricante che crea un nuovo pericolo o aumenta un rischio, e che obbliga a cambiare il sistema di comando di sicurezza, può rendere voi il fabbricante, con tutti gli obblighi che ne seguono. Prima di toccare il codice safety di una macchina altrui, fate e mettete per iscritto la valutazione dei rischi.
- Aggiornate le norme di riferimento. EN ISO 13849-1 (edizione 2023) ed EN IEC 62061 restano le norme per calcolare PL e SIL. Controllate però quali norme risultano armonizzate al regolamento nuovo nel momento in cui firmate la dichiarazione, perché l’elenco viene aggiornato a parte.
Cosa resta uguale
Valutazione dei rischi, livelli di prestazione, categorie, architetture ridondate, test di validazione delle funzioni di sicurezza: il metodo non cambia. Restano le “quasi-macchine” con la loro dichiarazione di incorporazione. Restano anche le unità logiche per funzioni di sicurezza tra le categorie dell’Allegato I, come già nella direttiva. Le funzioni safety che già sviluppate secondo EN ISO 13849-1 non vanno riscritte. Va aggiunto lo strato di protezione, tracciabilità e controllo degli accessi intorno a quelle funzioni.
Domande frequenti (FAQ)
Una macchina marcata CE prima del 20 gennaio 2027 va rimessa a norma?
No. Il regolamento riguarda le macchine immesse sul mercato o messe in servizio dal 20 gennaio 2027. Una macchina già in servizio rientra nel nuovo regime solo se subisce una modifica sostanziale. In quel caso chi la modifica diventa fabbricante per le parti interessate.
Aggiornare il firmware della CPU di sicurezza è una modifica sostanziale?
Di per sé no. Lo diventa se l’intervento non era previsto dal fabbricante, crea un pericolo nuovo o aumenta un rischio esistente, e richiede di cambiare il sistema di comando di sicurezza o di aggiungere protezioni. Una patch prevista e validata dal fabbricante non lo è. Una modifica della logica che cambia i tempi di arresto, in genere, va valutata.
Il registro delle versioni deve stare dentro il PLC?
Il regolamento chiede che il sistema di comando permetta il tracciamento. Non prescrive dove conservare i dati. La soluzione più robusta è doppia: rilevazione della modifica sul campo (firma safety, diagnostica di cambio programma) e archivio versionato fuori dalla macchina, conservato per cinque anni.
Rispettare la IEC 62443 basta per la parte cybersecurity?
È il riferimento tecnico più solido per progettare le difese, ma la conformità si dimostra rispetto ai requisiti dell’Allegato III. Per la presunzione di conformità contano le norme armonizzate al regolamento e i sistemi di certificazione della cybersicurezza previsti dal diritto UE. Prima di affidarvi a una norma come prova, controllate quale stato ha nel momento della marcatura.
“Semplifica, automatizza, sorridi: il mantra del programmatore zen.”
Dott. Strongoli Alessandro
Programmatore
CEO IO PROGRAMMO srl
