Uno stabilimento produttivo somiglia sempre di più a una piccola città. Ci sono le strade (le reti), gli edifici (le macchine), i servizi che li fanno funzionare (i software di comando) e un via vai continuo di persone: operatori, manutentori, tecnici dei fornitori che entrano, lavorano e se ne vanno. Per anni ogni edificio ha avuto la sua chiave, e quasi nessuno ha tenuto un registro di chi le avesse in tasca.

Il Regolamento (UE) 2023/1230, che dal 20 gennaio 2027 sostituisce la Direttiva Macchine 2006/42/CE, cambia questa prospettiva. Per la prima volta il software entra a pieno titolo tra i componenti di sicurezza delle macchine, e la protezione da manomissioni e accessi indesiderati diventa un requisito essenziale. Per chi gestisce l'IT di uno stabilimento è molto più di un adempimento a carico dei costruttori: è l'occasione per rimettere ordine in un'area rimasta a lungo terra di nessuno, quella delle macchine, del loro software e della loro documentazione.

Scenario: macchine sempre più connesse, parco macchine sempre più vecchio

Il parco macchine italiano è longevo. Secondo l'ultima indagine di UCIMU-Sistemi per Produrre sul parco installato, l'età media delle macchine utensili ha raggiunto i 14 anni e 5 mesi, il valore più alto mai registrato dal 1975. Molte di queste macchine sono state progettate quando la sicurezza informatica non era un tema, e oggi sono collegate alla rete aziendale per la teleassistenza, lo scambio di programmi o la raccolta dei dati di produzione.

Nel frattempo, il contesto si è fatto più ostile. Il Rapporto Clusit 2026 registra in Italia 507 attacchi gravi nel 2025, il 42% in più rispetto al 2024, pari a circa il 9,6% degli attacchi gravi a livello mondiale. Il manifatturiero è tra i settori più esposti: circa il 16% degli attacchi globali al manifatturiero colpisce un'organizzazione italiana, e il settore vale il 12,6% degli attacchi rilevati nel Paese.

Il risultato è un equilibrio delicato: macchine pensate per un mondo chiuso, inserite in reti sempre più aperte, con una documentazione che spesso non ha un responsabile preciso.

Cosa cambia con il Regolamento Macchine: il software diventa un componente di sicurezza

Il Regolamento si rivolge in primo luogo ai costruttori, ma alcune novità cambiano concretamente il lavoro di chi le macchine le acquista e le mette in produzione.

• Software come componente di sicurezza. Un software che svolge funzioni di sicurezza è considerato componente di sicurezza, anche quando viene fornito separatamente dalla macchina.

• Protezione contro la corruzione (allegato III, punto 1.1.9). Software e dati critici vanno individuati e protetti, la macchina deve raccogliere prove degli interventi sul software e sulla configurazione, e deve saper dichiarare quale software ha a bordo.

• Sistemi di comando resistenti (punto 1.2.1). I sistemi di comando devono resistere alle influenze esterne, compresi i tentativi dolosi di terzi, e conservare per cinque anni i dati sugli interventi e le versioni del software di sicurezza caricate dopo l'immissione sul mercato.

• Istruzioni in formato digitale. Sono ammesse, purché restino accessibili per la vita prevista della macchina e comunque per almeno dieci anni.

• Modifiche sostanziali anche digitali. Un aggiornamento software non previsto dal fabbricante, che incide sulla sicurezza, può configurare una modifica sostanziale: chi la esegue assume gli obblighi del fabbricante.

Letta dal lato di chi compra, la richiesta di identificare il software installato è un'opportunità. Dal 2027 ogni macchina nuova arriva con la capacità di dichiarare la propria configurazione software: è l'inventario OT che in molti stabilimenti non è mai esistito.

Il Regolamento si inserisce in un quadro più ampio. La NIS2, recepita in Italia con il D.Lgs. 138/2024, chiede alle organizzazioni che rientrano nel suo perimetro di gestire il rischio anche lungo la catena di fornitura e di conoscere i propri asset. Il Cyber Resilience Act interviene sui prodotti con elementi digitali. Norme diverse, stessa direzione: sapere cosa c'è in rete, chi lo gestisce e come viene aggiornato.

Il punto debole: la documentazione delle macchine non ha un proprietario

In molti stabilimenti la vulnerabilità più grande non riguarda le macchine, ma la loro documentazione. Il manuale sta in un armadio dell'ufficio tecnico, una copia digitale in una cartella condivisa aperta a tutto il dominio, un'altra nella casella di posta del manutentore. Alla domanda «di chi è la documentazione della pressa numero sette?» l'IT indica la produzione, la produzione indica il costruttore, la sicurezza indica il fornitore.

Il problema resta invisibile finché tutto funziona. Emerge in tre momenti precisi:

• l'ispezione, quando serve la documentazione aggiornata di una macchina specifica, subito;

• il passaggio di consegne, quando il manutentore storico va in pensione e porta con sé vent'anni di storia non scritta;

• il fermo notturno, quando il tecnico reperibile ha bisogno dello schema elettrico alle due di notte e non la mattina dopo.

Istruzioni digitali e QR code: una nuova porta da presidiare

Da qui al 2027 molti costruttori porteranno le istruzioni su piattaforme digitali raggiungibili con un QR code sulla targhetta. È un passo avanti per chi lavora a bordo macchina. Per chi si occupa di sicurezza informatica apre però una domanda: dove porta, esattamente, quel QR code?

Il criterio da adottare ha un nome preciso: canale documentale fuori dal perimetro. Il sistema che rende accessibili manuali e documenti tramite QR viene interrogato da manutentori, clienti, rivenditori e a volte da perfetti sconosciuti. Se i documenti risiedono su un server collegato al gestionale, ogni scansione passa dall'infrastruttura aziendale e la superficie di attacco cresce proprio mentre il Regolamento chiede più protezione.

«La conformità non deve aprire nuove falle.»

Gianluigi Michelotto – CTO di Certiblok, piattaforma italiana di gestione documentale su cloud decentralizzato certificata UNI CEI EN ISO/IEC 27001:2024

Prima di accettare il portale documentale di un fornitore, o di pubblicare la propria documentazione, conviene porsi tre domande.

Dove risiedono i documenti, e quel sistema ha visibilità sulla rete aziendale?

Chi garantisce l'accesso per dieci anni, e cosa succede se il fornitore cambia?

Le versioni vengono conservate e chi carica un documento è identificato?

Da dove partire: tre azioni prima del 20 gennaio 2027

1. Un censimento, anche imperfetto. Un elenco delle macchine con, per ciascuna, dove si trova la documentazione, chi accede al PC di servizio e quali canali di teleassistenza sono aperti. Conta che esista, non che sia completo.

2. Due righe nei capitolati d'acquisto. In che forma arriva la documentazione e per quanto tempo il costruttore ne garantisce la reperibilità; quali informazioni fornisce sul software a bordo e sui suoi aggiornamenti.

3. Un responsabile con nome e cognome. La documentazione delle macchine ha bisogno di un proprietario. È una scelta organizzativa prima che tecnologica.

Uno scenario ricorrente

Venerdì pomeriggio, un'azienda manifatturiera sta per collaudare una nuova linea di confezionamento. Il fornitore chiede una VPN per la teleassistenza entro lunedì. L'IT apre il ticket e pone una domanda semplice: le altre macchine già in reparto come sono collegate? La risposta non arriva. Tre macchine hanno un modem installato dal costruttore anni prima, due manuali esistono solo in forma cartacea, e nessuno sa con certezza quale versione del software gira sul PLC della linea più vecchia.

Il collaudo si fa comunque. Ma da quel momento il censimento delle macchine diventa una priorità, e con il Regolamento alle porte è il primo passo per affrontare il 2027 senza sorprese.

Conclusioni

Il Regolamento Macchine porta la sicurezza informatica dentro la sicurezza delle macchine. Per le imprese che le utilizzano è l'occasione per integrare davvero il mondo IT e il mondo OT: sapere quali macchine sono in rete, quale software le governa, dove si trova la loro documentazione e chi può accedervi.

Diginnova, con ITCore, affianca le imprese nella progettazione, nella gestione e nella messa in sicurezza delle infrastrutture IT e OT, dalla valutazione iniziale fino all'assistenza. Contattaci per capire da dove partire nel tuo stabilimento.

Key takeaways

Per approfondire

Regolamento (UE) 2023/1230 relativo alle macchine, EUR-Lex.

Rapporto Clusit 2026 sulla sicurezza ICT in Italia e nel mondo, Clusit.

Indagine sul parco macchine utensili e sistemi di produzione installati nell'industria italiana, UCIMU-Sistemi per Produrre.

Regolamento Macchine (UE) 2023/1230: guida pratica, Certiblok.