Il manifatturiero italiano è uno dei bersagli preferiti del cyber-crime: quasi il 10% degli attacchi gravi mondiali colpisce il nostro Paese. Dal convegno del 16 giugno organizzato da Consorzio PROFIBUS e PROFINET, una mappa per orientarsi tra CRA, NIS 2 e standard IEC 62443, perché oggi il rischio cyber è un pericolo per il business e la sicurezza per i lavoratori.
Si è tenuto il 16 giugno il convegno “OT Cybersecurity: dalla teoria alla fabbrica!”, organizzato da Consorzio PROFIBUS e PROFINET, che ha messo a confronto esperti di sicurezza informatica e responsabili di produzione su un tema non più rinviabile: la protezione degli ambienti OT nelle fabbriche italiane. Gli sponsor dell’evento sono stati: ADFWeb, CSMT Innovation Hub, LAPP, Mooves, GFCC, PILZ, SIEMENS, Softing Industrial Automation, TECO, TXOne, WAGO.
Il filo conduttore dell’incontro è stato un paradosso evidente quanto pericoloso. L’Italia occupa stabilmente una posizione di prestigio nel panorama industriale globale. Ma proprio questa eccellenza ha trasformato l’Italia in un bersaglio privilegiato del cyber-crime. Come ha sottolineato Cristian Sartori, Presidente del Consorzio PI Italia, “la cybersecurity non è più un costo di manutenzione, ma il premio assicurativo sulla continuità del nostro Made in Italy”. Per un’azienda manifatturiera, la domanda non è più “se” verrà colpita, ma quanto sarà capace di reggere l’urto.
Italia nel mirino
I numeri presentati al convegno, tratti dall’ultimo rapporto Clusit, stupiscono: a livello internazionale sono stati censiti 5.265 incidenti gravi, ma il dato italiano è sproporzionato, con 507 attacchi censiti. Il Paese subisce quasi il 10% degli incidenti globali, a fronte di un peso reale intorno al 2,2% del PIL manifatturiero mondiale. Il 12,6% degli incidenti italiani colpisce direttamente il manifatturiero; considerando anche “multiple targets” e i comparti contigui come i trasporti, l’impatto sulla supply chain sfiora il 40%. “Il rischio cyber è ormai da considerare un rischio business, alla stessa stregua di qualunque rischio riferito alla catena logistica o ai costi delle materie prime”, ha avvertito Enzo Tieghi, membro del Comitato Scientifico di Clusit.
Una “legislazione barocca” da cui non si può sfuggire
Il quadro normativo, definito dall’avvocato Claudio Gabriele una vera “legislazione barocca”, trasforma la cyber-security da opzione tecnica a obbligo legale con responsabilità anche personali. Il Cyber Resilience Act considera la macchina un prodotto digitale: la non conformità comporta la perdita della marcatura CE e l’esclusione dal mercato europeo. “Il nuovo Regolamento Macchine, in piena applicazione dal 20 gennaio 2027 – ha spiegato Gabriele – allarga il perimetro della cybersecurity fino a toccare la sicurezza fisica delle persone in fabbrica: un sistema compromesso da un attacco può alterare i parametri operativi di un impianto, disattivare le protezioni di un robot o manomettere i segnali di emergenza, traducendo la vulnerabilità digitale in un rischio concreto per i lavoratori. La NIS 2 impone invece una governance rigorosa delle infrastrutture e del rischio lungo la supply chain”.
Tra le scadenze richiamate, quella già operativa dell’articolo 14 del CRA, in vigore dall’11 settembre 2026, che obbliga a notificare le vulnerabilità sfruttate entro 24 ore, con dettagli a 72 ore e report finale entro un mese; il 20 gennaio 2027 per il Regolamento Macchine; l’11 dicembre 2027 per il CRA. Le sanzioni possono raggiungere i 15 milioni di euro o il 2,5% del fatturato mondiale. In Italia, in assenza di specifiche deleghe di funzione all’interno del CDA, ogni membro risponde personalmente e cumulativamente delle violazioni: non è più possibile delegare la questione all’ufficio tecnico senza una struttura di governance legale formale.
DDoS, il fumo negli occhi
Tra i temi più discussi, la tendenza a fermarsi alla superficie di un incidente. Un attacco plateale come un DDoS, capace di bloccare un sito o una linea produttiva, non è quasi mai il fine ultimo, ma uno scudo tattico: mentre il team IT si concentra sul ripristino del servizio, l’attaccante può aver già completato la sua vera missione, l’esfiltrazione silenziosa di dati sensibili, un’attività che può proseguire per mesi senza essere rilevata. Stefania Iannelli (Women for Security) ha portato casi concreti: dal blocco della supply chain di Land Rover all’attacco a un mobilificio veneto. “Il punto è che non c’è solo l’OT come target: chiunque può essere un bersaglio se non protetto”, ha ammonito Iannelli. Da qui l’invito a costruire una solida Asset Inventory Governance: sapere cosa si possiede, tra macchine, software e connessioni, è la prima condizione per difendersi.
Gli strumenti per non restare scoperti
Per rispondere a questi obblighi è stato richiamato il ruolo dello SBoM (Software Bill of Materials): una mappatura completa della catena di fornitura digitale. Senza sapere quali versioni di firmware, librerie o sistemi operativi sono installate su ogni PLC o HMI, rispondere all’obbligo di notifica nelle 24 ore previste dal CRA diventa impossibile. “Lo standard di riferimento resta la IEC 62443 – ha spiegato Micaela Caserza Magro, GFCC – Centro di competenza PI Italia – la ‘stella polare’ della resilienza OT: garantisce la presunzione di conformità e propone un approccio di Defense in Depth, con suddivisione in zone e condotti e Maturity Level crescenti da 1 a 4”.
Sul fronte tecnologico, il passaggio alla nuova versione di Profinet 2.5 introduce una verità scomoda per molti manager: il software non basta più. Come spiegato da Paolo Ferrari, CSMT – Centro di competenza PI Italia: “la sicurezza di nuova generazione richiede hardware specifico dotato di microprocessori con Secure Elements (TPM) installati in fabbrica, aprendo un inevitabile ciclo di sostituzione del parco macchine più datato”. La strada operativa indicata non è calare in fabbrica esperti IT estranei ai processi produttivi, ma formare chi le macchine le vive: i manutentori, che durante le fermate possono verificare i backup, ricaricare versioni software sicure e individuare anomalie che nascondono un’intrusione.
Detection sì, recovery no: il vero punto debole
Oggi siamo migliorati nella detection, ma siamo drammaticamente indietro nel recovery, è stato un tema che ha unito tutti i relatori in un modo o nell’altro. Un’azienda colpita senza un piano di ripristino efficace affronta in media un blocco totale di tre o quattro settimane, tempo sufficiente a mettere in crisi molte realtà produttive. Eppure la conformità normativa non è solo un peso: Giorgio Santandrea, consigliere Consorzio PI Italia, ha invitato a una lettura imprenditoriale del momento. “Ci può essere del business dietro questa cosa: è una grande opportunità per aggiornare il parco installato”, ha osservato Santandrea, indicando nei Retrofit Package e nei servizi di Compliance-as-a-Service una strada per trasformare l’obbligo in vantaggio competitivo.
La cybersecurity è il nuovo asset strategico
Il messaggio conclusivo del convegno è stato unanime: il rischio cyber va trattato come un rischio di business, non più come una questione tecnica da relegare allo scantinato dell’ufficio IT. La domanda con cui si è chiuso l’incontro resta la più efficace sintesi del tema: se domani la produzione si fermasse per tre settimane a causa di un attacco informatico, l’azienda sarebbe ancora in piedi? Da questa risposta comincia la vera resilienza del manifatturiero italiano.
