Software obsoleto, responsabilità reale

Cyber Resilience Act, NIS2, Regolamento macchine e adeguati assetti

Appunti per le aziende manifatturiere

A cura di Simone Daolio e Michele Vanzi

1. Introduzione

Per anni molte aziende manifatturiere hanno trattato il software industriale come un bene statico:

  • si installa
  • si usa
  • si tiene finché non si rompe

Oggi questa mentalità è diventata un rischio tecnico e giuridico concreto perché un software gestionale obsoleto o fuori supporto può esporre dati, fermare la produzione, compromettere il credito, aggravare la posizione contrattuale verso clienti e fornitori e, in alcuni casi, tradursi in responsabilità diretta per il vertice aziendale.

La novità più rilevante degli ultimi due anni è che la cybersecurity non è più confinata ai sistemi informativi aziendali, con il Cyber Resilience Act, con NIS2 e con il nuovo Regolamento macchine, la sicurezza digitale entra nella progettazione dei prodotti, nella safety degli impianti e nella governance d’impresa.

La logica del “non mi hanno mai hackerato, perché dovrebbero farlo ora?” era comprensibile fino a qualche anno fa, oggi questa frase diventa una trappola normativa, economica e patrimoniale.

Questo documento spiega cosa sta cambiando, chi è coinvolto e cosa deve fare, o pretendere, un imprenditore manifatturiero nei confronti del fornitore di software gestionale, del costruttore di impianti e del system integrator.

2. Il quadro normativo

Non esiste una sola norma che regola questo tema ma ci sono più fonti normative che si sovrappongono e che, insieme, creano obblighi concreti per le PMI manifatturiere.

Ignorarne una non significa essere al sicuro dalle altre.

2.1 Cyber Resilience Act — Reg. (UE) 2024/2847

Il Regolamento (UE) 2024/2847 è entrato in vigore il 10 dicembre 2024 e sarà pienamente applicabile dall’11 dicembre 2027.

Disciplina i prodotti con elementi digitali e impone ai fabbricanti requisiti di sicurezza by design, gestione delle vulnerabilità, supporto lungo il ciclo di vita del prodotto e obblighi documentali, tra cui la Software Bill of Materials (SBOM).

Il CRA si rivolge direttamente ai fabbricanti di hardware e software, non all’utente finale ma per le PMI manifatturiere l’effetto pratico è immediato:

  • i fornitori di software gestionale saranno pressati a certificare i propri prodotti
  • a rilasciare aggiornamenti di sicurezza
  • oppure a dichiarare End of Life i prodotti non conformi.

Chi usa software fuori supporto si troverà in una posizione sempre più difficile da sostenere contrattualmente.

Scadenze del Cyber Resilience Act (CRA)

  • 11 giugno 2026: applicazione delle disposizioni sugli organismi di valutazione della conformità.
  • 11 settembre 2026: entrano in vigore gli obblighi di segnalazione delle vulnerabilità e degli incidenti per i fabbricanti.
  • 11 dicembre 2027: piena applicabilità del regolamento.

2.2 Direttiva NIS2 — D.Lgs. 138/2024

La Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024 (in vigore dal 16 ottobre 2024), impone alle entità essenziali e importanti misure di gestione del rischio cyber, governance della sicurezza e supply chain security. L’autorità competente in Italia è l’ACN (Agenzia per la Cybersicurezza Nazionale).

L’articolo 21 della Direttiva è il punto più rilevante per le PMI: obbliga i soggetti NIS2 a considerare i rischi derivanti dai propri fornitori diretti. Questo significa che le grandi aziende soggette alla direttiva inizieranno a richiedere garanzie di sicurezza ai loro fornitori, incluse molte PMI manifatturiere.

NIS2 introduce inoltre un principio chiaro: la responsabilità della governance cyber non può essere interamente delegata all’IT. La responsabilità strategica resta al vertice aziendale.

2.3 GDPR — Reg. (UE) 2016/679, Art. 32

L’articolo 32 del GDPR richiede misure tecniche e organizzative adeguate al rischio, con attenzione alla resilienza dei sistemi, alla capacità di ripristino e ai test periodici delle misure adottate. Non prevede scadenze una tantum: è un obbligo continuo.

Se il software gestionale tratta dati personali di clienti, dipendenti o fornitori, la sua vulnerabilità non è un dettaglio tecnico ma un problema diretto di compliance.

Un’intrusione o una perdita di dati sensibili può aprire a sanzioni del Garante, obblighi di notifica e richieste di risarcimento.

2.4 Regolamento macchine — Reg. (UE) 2023/1230

Il Regolamento (UE) 2023/1230 sostituirà la Direttiva Macchine 2006/42/CE e sarà applicabile dal 20 gennaio 2027.

La novità più rilevante consiste nel fatto che la cybersecurity entra nel perimetro della sicurezza della macchina.

Non basta più che un impianto sia robusto sul piano meccanico o elettrico ma deve anche resistere ad accessi non autorizzati, manomissioni digitali e alterazioni che possano compromettere funzioni di sicurezza o logiche di controllo.

Una vulnerabilità che consente di modificare un parametro di processo, alterare una funzione di interblocco o comandare un azionamento da remoto non è più soltanto un incidente informatico ma può configurarsi come una non conformità di prodotto.

Questo impatta direttamente macchine e impianti con:

  • PLC e sistemi di controllo industriale
  • SCADA e HMI
  • reti OT/IT integrate
  • sistemi di teleassistenza remota
  • sensori intelligenti
  • microcontrollori connessi
  • funzioni di safety dipendenti da software o firmware

Cosa cambia per costruttori e integratori

  • La cybersecurity diventa parte integrante del progetto di macchina, non un'aggiunta successiva.
  • Il rischio cyber deve essere integrato nel tradizionale processo di risk assessment.
  • Gli accessi remoti devono essere controllati, autenticati e tracciati.
  • Gli aggiornamenti di software, firmware e configurazioni diventano parte integrante della conformità lungo l'intero ciclo di vita della macchina.

2.5 Art. 2086 c.c. e Codice della Crisi — D.Lgs. 14/2019

L’art. 2086, secondo comma, c.c. impone a ogni imprenditore che operi in forma societaria o collettiva di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa.

La sicurezza informatica nelle aree uffici, produzione, magazzino… rientra oggi a pieno titolo in questi assetti, un attacco informatico può bloccare la continuità operativa, alterare i dati contabili e generare una crisi aziendale con effetti che si riflettono anche sulla responsabilità degli organi di amministrazione.

Riepilogo scadenze normative

Scadenza Riferimento normativo
11 giugno 2026 CRA — termine entro cui gli Stati membri devono notificare alla Commissione e agli altri Stati membri gli Organismi di Valutazione della Conformità
11 settembre 2026 CRA — entrano in vigore gli obblighi operativi di segnalazione. I fabbricanti dovranno notificare a ENISA e al CSIRT nazionale le vulnerabilità attivamente sfruttate. Si applica anche ai prodotti già sul mercato.
16 ottobre 2024 NIS2 termine ultimo europeo per il recepimento — D.Lgs. 138/2024
20 gennaio 2027 Reg. macchine (UE) 2023/1230 — data di piena applicabilità del Regolamento, in pari data viene definitivamente abrogata la Direttiva Macchine 2006/42/CE.
11 dicembre 2027 CRA — piena applicabilità, scatta l’obbligo di immissione sul mercato di soli prodotti conformi ai requisiti essenziali di sicurezza, con relativa documentazione tecnica
Continuo GDPR (Reg. UE 2016/679) — Art. 32 — obbligo permanente e dinamico di adottare misure tecniche e organizzative adeguate al rischio

3. CRA e Regolamento macchine: differenze e interplay

Il CRA e il Regolamento macchine si toccano ma non coincidono.

  • Il CRA disciplina i prodotti con elementi digitali come prodotti di mercato, imponendo requisiti di sicurezza, documentazione e ciclo di vita al fabbricante.
  • Il Regolamento macchine disciplina la sicurezza complessiva della macchina inclusi i rischi cyber che possono incidere sulla safety delle persone.

Per un costruttore o integratore di impianti, questo vuol dire che una stessa architettura può dover rispettare entrambi i perimetri, il CRA per i componenti digitali e il Regolamento macchine per la sicurezza funzionale dell’impianto nel suo complesso.

Dal 2027 la domanda corretta non sarà più soltanto “la macchina funziona?”, ma anche “la macchina è progettata per resistere ad attacchi, manomissioni e alterazioni digitali senza perdere le sue funzioni di sicurezza?”

4. La SBOM: cos’è e perché conta

Il software gestionale non è un blocco monolitico scritto interamente dal fornitore, è più simile a una torta complessa: codice proprietario, librerie di terze parti, componenti open source, moduli di comunicazione e integrazione.

La Software Bill of Materials (SBOM) è la lista degli ingredienti di quel software, componenti, versioni, origine e dipendenze.

Se domani viene scoperta una vulnerabilità grave in una libreria usata dal gestionale, senza SBOM né l’azienda né il fornitore riescono a capire in tempi utili se il sistema è esposto, e nel frattempo, gli hacker stanno hanno già iniziato a sfruttare quella vulnerabilità…

L’obbligo di produrre e mantenere la SBOM ricade sul fabbricante del software, l’utente finale non ha un obbligo diretto, ma ha il diritto e tutto l’interesse di richiederla contrattualmente.

4.1 Campi minimi di una SBOM utile

  • Nome del prodotto e versione
  • Fornitore e data di generazione
  • Formato e versione dello standard
  • Elenco componenti con versione e identificatori univoci
  • Riferimenti a licenze
  • Riferimenti a vulnerabilità note (CVE)
  • Hash o altri identificatori di integrità, dove disponibili

5. I rischi concreti per le PMI

Gli attacchi ransomware raramente mirano specificatamente a una singola azienda: molto più spesso sfruttano versioni vulnerabili di software diffusi, cercate in massa con strumenti di scansione automatica. Una volta entrati, gli attaccanti cifrano dati e backup raggiungibili, bloccano la produzione e chiedono un riscatto. Se il sistema è fuori supporto o non aggiornato, il ripristino può richiedere giorni o settimane.

Oltre al fermo operativo, un’infrastruttura cyber inadeguata espone l’azienda su almeno tre fronti aggiuntivi:

Scenario A — Il ransomware opportunistico

L’attaccante scansiona la rete alla ricerca di una versione vulnerabile del software, trova il sistema esposto, entra e cifra i dati e i backup raggiungibili, poi minaccia di esporre dati sensibili sul dark web. Se il gestionale è obsoleto o fuori supporto, il fornitore può limitarsi a rispondere che il prodotto non è più coperto da aggiornamenti. Il costo del ripristino e la responsabilità civile e penale di quanto accaduto ricadono sull’azienda che sta usando il software.

Scenario B — La stretta di assicurazioni e istituti di credito

Le compagnie assicurative e gli istituti di credito stanno introducendo controlli più rigorosi sul profilo cyber delle aziende. Un’infrastruttura IT vulnerabile può tradursi in premi più alti, esclusioni di copertura o peggioramento delle condizioni di affidamento.

Scenario C — L’obsolescenza contrattuale verso i clienti

I clienti soggetti a NIS2 tenderanno a inserire nei contratti requisiti di sicurezza per i fornitori. Se l’azienda non riesce a dimostrare un livello adeguato di governance cyber, rischia di perdere la qualifica di fornitore o di non accedere a nuovi contratti.

Effetti di un incidente cyber

  • Fermo operativo con possibile perdita di ordini e dati.
  • Costi di ripristino potenzialmente molto elevati.
  • Possibili sanzioni da parte del Garante per la protezione dei dati personali.
  • Rischi contrattuali nei confronti di clienti e partner.
  • Impatto su coperture assicurative e accesso al credito bancario.
  • Responsabilità degli organi di amministrazione ai sensi dell'art. 2086 del Codice Civile.

6. Cosa deve fare l’imprenditore

Non si tratta di diventare esperti informatici, ma di esercitare la stessa diligenza che ogni buon imprenditore dedica alla sicurezza dei macchinari, alla qualità e alla continuità produttiva.

Il punto di partenza è documentarsi e chiedere.

6.1 Piano d’azione a 90 giorni

Entro 30 giorni — verso il fornitore

  • Richiedere per iscritto lo stato di supporto del prodotto e la data di End of Life.
  • Ottenere il calendario degli aggiornamenti di sicurezza previsti per i prossimi 12–18 mesi.
  • Richiedere la SBOM o documentazione equivalente.
  • Verificare le clausole di responsabilità in caso di vulnerabilità.
  • Portare il tema in direzione o in Consiglio di Amministrazione.

Entro 60 giorni — verso l’IT

  • Produrre un risk assessment dei sistemi critici (gestionale, ERP, MES, SCADA, PLC…).
  • Aggiornare la mappa applicativa con versioni, stato supporto e date EOL.
  • Verificare che il backup sia effettivamente ripristinabile (test di restore).
  • Mappare l’architettura OT/IT e identificare accessi remoti non controllati.

Entro 90 giorni — verso il vertice

  • Il management deve ricevere una nota sintetica su rischi, impatti e priorità.
  • La governance cyber deve essere formalizzata a livello di direzione, non solo delegata all’IT.
  • Valutare l’inserimento di clausole cyber nei nuovi contratti con fornitori e clienti.

7. Sezione tecnica: controlli per IT e impianti industriali

Per il responsabile IT o CTO il punto non è solo eseguire le patch, ma costruire evidenze documentabili. Occorre sapere quali componenti compongono il software gestionale, quali versioni sono installate, quali dipendenze di terze parti sono presenti e quali vulnerabilità note impattano l’ambiente in uso.

Per i sistemi OT è utile introdurre una matrice applicativa con: versione, vendor, data EOL, stato patching, esposizione di rete, dati trattati, dipendenze di terze parti, criticità operativa e owner interno.

Questa tabella rende più semplice dimostrare l’adeguatezza degli assetti e la ‘due diligence’ verso clienti e organi amministrativi.

Controlli minimi consigliati

  • Inventario applicativo e asset OT (PLC, HMI, gateway, sensori intelligenti, microcontrollori connessi, servizi di teleassistenza).
  • Segmentazione tra rete IT e rete OT.
  • Accesso remoto con MFA e logging degli accessi.
  • Backup delle configurazioni dei controllori industriali.
  • Gestione delle password e degli account di manutenzione.
  • Tracciabilità degli aggiornamenti firmware e software.
  • Test periodico di restore.
  • Piano di risposta agli incidenti (incluso recovery dell’impianto).

8. Le nuove normative sulla sicurezza informatica nel modello di sviluppo in 7 passi per le PMI di AICIM

1. Perché la sicurezza informatica entra nel modello AICIM

Le nuove normative europee — Cyber Resilience Act, NIS2, GDPR e Regolamento Macchine — hanno trasformato la sicurezza informatica in un elemento strutturale della gestione d’impresa. Essa infatti non è più confinata ai sistemi informativi aziendali: entra nella progettazione dei prodotti, nella safety degli impianti e nella governance d’impresa.

Questo cambiamento è perfettamente coerente con la visione di AICIM, che promuove un modello di impresa capace di funzionare come sistema, con processi chiari, responsabilità definite e continuità operativa garantita. La sicurezza digitale diventa quindi parte integrante della sostenibilità aziendale, in particolare della “G” di Governance dell’acronimo ESG: responsabilità, trasparenza, controllo dei rischi e adeguati assetti organizzativi.

2. L’integrazione delle normative nel modello AICIM in 7 passi

Il modello di sviluppo AICIM è un percorso progressivo che accompagna l’impresa verso un modello di business avanzato, per una gestione più robusta e consapevole. Vediamo come le nuove normative si inseriscano naturalmente lungo il percorso dei 7 passi.

Passi 1 e 2 — Diagnosi (BDS Check, BDS ICT, BDS ESG)

La diagnosi è il punto di partenza. Oggi deve includere elementi richiesti dalle normative:

  • stato di supporto del software
  • date di End of Life
  • presenza della SBOM
  • vulnerabilità note
  • accessi remoti e rischi OT/IT
  • mappa dei sistemi critici

Il punto di partenza è la consapevolezza.

 

Passo 3 — Diagnosi (BDS Advance)  – Governance e adeguati assetti (Art. 2086 c.c.)

“Are you ready ?”: è il passo che misura la predisposizione dell’azienda ad avviare un percorso di sviluppo verso un modello di business adeguato ai tempi.

Le normative sulla sicurezza informatica rafforzano il principio secondo cui la governance non può essere delegata solo all’IT. NIS2 attribuisce responsabilità dirette al vertice aziendale; il GDPR richiede misure tecniche e organizzative adeguate; il Regolamento Macchine integra la cybersecurity nella safety; il CRA impone gestione delle vulnerabilità e supporto di ciclo di vita.

La cybersecurity rientra oggi a pieno titolo negli assetti organizzativi.

Questi obblighi sono parte della Governance ESG, che comprende gestione del rischio, continuità operativa e responsabilità degli amministratori.

 

Passo 4 — Strategia, priorità e piano industriale

Le normative introducono scadenze e requisiti che devono essere integrati nella strategia aziendale e quindi nel piano industriale che la implementerà:

  • CRA: supporto software, SBOM, gestione vulnerabilità
  • NIS2: supply chain security e responsabilità del vertice
  • GDPR: resilienza e ripristino
  • Regolamento Macchine: sicurezza cyber come requisito di prodotto

Alla domanda ‘la macchina funziona?’ si aggiunge la domanda: ‘la macchina è progettata per resistere ad attacchi…?’

Il piano operativo a 90 giorni proposto nei capitoli precedenti è un esempio concreto di come la normativa coinvolga processi, ruoli e responsabilità.

 

Per quanto riguarda l’implementazione, nei capitoli precedenti si è visto come le normative richiedano controlli minimi che diventano parte del modello organizzativo.

In pratica occorre sapere quali componenti compongono il software e quali vulnerabilità note impattano l’ambiente in uso.

In relazione al monitoraggio ed il miglioramento continuo il GDPR Art. 32 stabilisce un obbligo permanente:

“Non prevede scadenze una tantum: è un obbligo continuo.”

Questo coincide con il principio AICIM secondo cui ogni passo deve essere mantenuto e migliorato nel tempo.

Passi 5, 6, 7 — Comunicazione, valore percepito e credibilità per aggregazioni strategiche

Le normative cyber aumentano la credibilità dell’impresa verso:

  • clienti soggetti a NIS2
  • banche e assicurazioni
  • partner industriali
  • organismi di certificazione

La cybersecurity diventa quindi un elemento della sostenibilità aziendale, parte della G di Governance, che pone l’impresa in una posizione di forte credibilità e di idoneità per l’apertura del capitale verso aggregazioni strategiche in linea con il modello in 7 passi di AICIM

9. Il ruolo del BDS e dell’Ambassador

L’Ambassador è il facilitatore che aiuta l’imprenditore a comprendere la necessità di contestualizzare e trasformare questi requisiti in un percorso di crescita sostenibile nella propria specifica realtà aziendale.

Come più volte evidenziato da AICIM, l’AMBASSADOR che utilizza gli strumenti BDS non è necessariamente un esperto in materia.

E’ però importante che egli/ella colga i principi di base sottostanti il modello di business delineato da AICIM e l’idoneità degli strumenti di diagnosi BDS appositamente elaborati, a supporto dei decisori aziendali nello sviluppo dell’impresa.

Di qui l’attività dell’Academy di AICIM comprendente le Clinic di formazione, gli incontri dei Team di lavoro, gli eventi organizzati da AICIM, le pubblicazioni e le alleanze a favore di una diffusione di una cultura di impresa.

10. Conclusione

Il mercato si sta muovendo in una direzione chiara: prodotti più documentati, impianti più sicuri, contratti più esigenti, governance più responsabile.

La sicurezza informatica non è più un capitolo separato dall’impresa ma è parte della sua continuità, della sua conformità e della responsabilità di chi la guida.

Il messaggio non è “cambiate subito tutto” ma si può riassumere in “informatevi, chiedete, verificate, pianificate, documentate”.

Chi si muove ora non sta solo riducendo un rischio, ma sta anche aumentando il valore percepito della propria azienda agli occhi di clienti, banche, partner industriali e dello stesso Territorio.

Se il gestionale, l’impianto o l’automazione dipendono ancora dalla logica del “finché va, non toccare”, questo è il momento giusto per trasformare un problema potenziale in un piano concreto di compliance, continuità e competitività.

Le nuove normative sulla cybersecurity non vanno viste come un vincolo, ma come uno strumento di crescita e continuità aziendale.  Ancor più se integrate in un modello di sviluppo come quello AICIM, che include il superamento delle vulnerabilità più comuni delle PMI italiane.

In conclusione, la sicurezza informatica è oggi parte integrante

  • della sostenibilità aziendale,
  • della Governance ESG,
  • del modello di sviluppo in 7 passi per le PMI di AICIM.

Appendice: Riferimenti normativi