Cyber Security industriale e Cyber Resilience Act: cosa cambia per l’automazione

Una macchina connessa non si limita a scambiare dati: apre anche nuovi punti di accesso, che devono essere individuati, controllati e protetti. Più aumentano software, interfacce Ethernet, servizi remoti e dispositivi intelligenti, più la cyber security industriale diventa parte integrante dell’affidabilità dell’impianto.

Con il Cyber Resilience Act (CRA), questa responsabilità entra direttamente nel ciclo di vita dei prodotti hardware e software immessi sul mercato europeo. Per costruttori di macchine, produttori di componenti e system integrator non si tratta più soltanto di proteggere la rete, ma di ripensare progettazione, aggiornamenti e gestione delle vulnerabilità: è questa la sfida al centro della cybersecurity per l’automazione industriale.

Vediamo cosa prevede il nuovo regolamento e come applicare la security by design alle moderne architetture di automazione.

Il Cyber Resilience Act introduce nuovi requisiti per i prodotti con elementi digitali

Il Cyber Resilience Act, conosciuto anche come Regolamento (UE) 2024/2847, introduce un quadro normativo europeo per i prodotti con elementi digitali messi a disposizione sul mercato dell’Unione Europea.

Nel perimetro rientrano prodotti hardware e software, compresi i componenti commercializzati separatamente, quando il loro utilizzo previsto include una connessione diretta o indiretta, fisica o logica, a un dispositivo o a una rete.

Nell’automazione industriale il tema può quindi riguardare:

• controllori;
• dispositivi di rete;
• moduli I/O;
• interfacce;
• software di configurazione.

Il perimetro concreto deve però essere verificato prodotto per prodotto, considerando la funzione svolta, le modalità di commercializzazione e l’eventuale applicazione di normative settoriali specifiche.

Il regolamento richiede ai fabbricanti di integrare la cybersicurezza nelle fasi di pianificazione, progettazione, sviluppo, produzione e manutenzione. Diventano centrali la valutazione dei rischi, la gestione delle vulnerabilità e la disponibilità degli aggiornamenti durante il ciclo di vita del prodotto. La conformità dovrà essere dimostrata attraverso la procedura applicabile alla relativa categoria.

Il CRA è entrato in vigore il 10 dicembre 2024 e sarà pienamente applicabile dall’11 dicembre 2027. Dall’11 settembre 2026 scatteranno invece gli obblighi relativi alla segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti: un primo avviso entro 24 ore, una notifica completa entro 72 ore e, successivamente, una relazione finale.

Security by design: perché la protezione va integrata fin dalla progettazione

Il concetto di security by design parte da un principio semplice: la protezione non può essere aggiunta alla fine, quando macchina, software e rete sono già stati definiti.

Pertanto, la cybersecurity nell’automazione industriale deve entrare fin dalle decisioni iniziali, stabilendo:

• quali dispositivi collegare;
• quali servizi abilitare;
• chi può accedere e con quali credenziali;
• per quanto tempo saranno disponibili gli aggiornamenti.

Adottare questo approccio significa progettare prodotti e sistemi con un livello di protezione proporzionato al rischio, utilizzare configurazioni sicure per impostazione predefinita e limitare le funzioni esposte a quelle realmente necessarie. Significa anche prevedere procedure per testare i prodotti, correggere eventuali falle, distribuire gli aggiornamenti e mantenere la documentazione coerente nel tempo.

Questa evoluzione cambia anche il rapporto con i fornitori. La scelta di un componente non dipende più soltanto da prestazioni, protocollo di comunicazione e grado di protezione, ma anche dalle modalità con cui vengono gestiti gli aggiornamenti e gli avvisi di sicurezza, oltre che dalla presenza di un processo strutturato per ricevere, analizzare e risolvere le segnalazioni.

La sicurezza dei sistemi industriali diventa quindi una responsabilità condivisa lungo l’intera filiera, dal produttore del singolo dispositivo al costruttore della macchina, fino all’utilizzatore finale.

Dispositivi connessi e automazione decentralizzata: come ridurre i rischi

L’automazione decentralizzata porta elaborazione, sistemi I/O e comunicazione sempre più vicino al processo. Questo rende le macchine più modulari e flessibili, ma aumenta il numero di dispositivi connessi e amplia la superficie di rete che deve essere governata.

Decentralizzare non significa rendere automaticamente l’impianto meno sicuro. Il rischio cresce soprattutto quando dispositivi, porte, protocolli e accessi remoti non sono mappati oppure vengono gestiti senza criteri uniformi.

La sicurezza dei sistemi industriali parte quindi dalla conoscenza dell’architettura. Occorre identificare gli asset connessi, definire topologie chiare, separare le aree di rete in base alle funzioni e limitare comunicazioni e privilegi a quanto realmente necessario. Porte e servizi inutilizzati devono essere disabilitati, mentre gli accessi remoti e le attività di manutenzione devono essere controllati e tracciabili.

Anche visibilità e diagnostica di rete sono centrali. Gli switch managed permettono di monitorare le connessioni, gestire il traffico e localizzare più rapidamente eventuali anomalie. Funzioni come SNMPv3 (Simple Network Management Protocol Version 3), SSH (Secure Shell), NAT (Network address translation), e, nei modelli predisposti, servizi   di connessione tramite VPN (Virtual Private Network) contribuiscono a realizzare infrastrutture più controllabili, purché siano configurate all’interno di una strategia di sicurezza complessiva.

Le soluzioni Murrelektronik per la cyber security industriale

In Murrelektronik consideriamo la cyber security industriale un processo continuo, che coinvolge prodotti, architettura e gestione dell’infrastruttura lungo l’intero ciclo di vita.

Sul piano della rete, i nostri switch industriali managed mettono a disposizione strumenti di configurazione e diagnostica utili per controllare topologie, connessioni e accessi. Le versioni IP20 e IP67 consentono di portare queste funzioni all’interno del quadro elettrico oppure direttamente a bordo macchina, in linea con le esigenze dell’automazione decentralizzata. Anche i nostri sistemi I/O, in quanto prodotti con elementi digitali, saranno CRA compliant.

Un’architettura ordinata, standardizzata e documentata non garantisce da sola la protezione dell’impianto, ma costituisce una base più solida per applicare le misure di cybersecurity, mantenere il controllo dei dispositivi collegati e integrare correttamente le funzioni di sicurezza.

Il Cyber Resilience Act rende esplicita una responsabilità che l’industria connessa non può più rimandare: progettare prodotti e impianti capaci non soltanto di funzionare, ma anche di gestire vulnerabilità, aggiornamenti e incidenti nel tempo.

Vuoi approfondire come progettare una rete industriale più controllabile e pronta ai nuovi requisiti di cybersecurity?

Contattaci