Macchine connesse e Cyber Resilience Act: perché la conformità al CRA non basta per il Regolamento macchine

Dal 20 gennaio 2027 il Regolamento (UE) 2023/1230 sarà pienamente applicabile e, per la prima volta, la protezione contro gli attacchi informatici diventa un requisito essenziale di sicurezza delle macchine. Pochi mesi dopo, l'11 dicembre 2027, scatterà l'applicazione generale del Cyber Resilience Act (Regolamento (UE) 2024/2847), che impone requisiti di cibersicurezza a tutti i prodotti con elementi digitali. Una macchina dotata di PLC, HMI, controllori embedded o connessione di rete rientra quasi sempre in entrambi.

Circola un'idea rassicurante: «se la macchina è conforme al CRA, è automaticamente conforme anche ai requisiti di cibersicurezza del Regolamento macchine». Non è così. Il testo del CRA e le FAQ della Commissione dicono una cosa diversa: i due regolamenti si applicano in parallelo, le sinergie esistono ma vanno dimostrate dal fabbricante, e le procedure di valutazione della conformità di entrambi devono essere seguite. In questo articolo vediamo come si incastrano i due regimi, cosa è già in vigore e come impostare un flusso di lavoro unico.

1. Safety e security: due obiettivi diversi

Il Regolamento macchine guarda alla cibersicurezza con un solo scopo: evitare che un intervento sui sistemi digitali, accidentale o doloso, generi una situazione pericolosa per le persone. Il considerando 25 lo dice chiaramente: le misure richieste al fabbricante sono proporzionate e limitate alla protezione della sicurezza del prodotto, senza escludere l'applicazione di altri atti dell'Unione che trattano specificamente la cibersicurezza.

Il CRA, invece, protegge il prodotto digitale in quanto tale: riservatezza, integrità e disponibilità dei dati e delle funzioni, gestione delle vulnerabilità, aggiornamenti di sicurezza per tutto il periodo di supporto. Un ransomware che blocca la linea senza mettere a rischio nessuno è un problema CRA; un accesso remoto che disattiva una barriera fotoelettrica è un problema di entrambi.

Aspetto	Regolamento macchine (UE) 2023/1230	Cyber Resilience Act (UE) 2024/2847
Obiettivo	Sicurezza delle persone (safety): l'attacco non deve causare situazioni pericolose	Sicurezza informatica del prodotto (security) lungo tutto il ciclo di vita
Campo	Macchine, prodotti correlati, quasi-macchine	Prodotti con elementi digitali con connessione dati diretta o indiretta a un dispositivo o a una rete
Requisiti	Allegato III, punti 1.1.9 (protezione dall'alterazione) e 1.2.1 (sicurezza e affidabilità dei sistemi di comando)	Allegato I, parte I (requisiti di cibersicurezza) e parte II (gestione delle vulnerabilità)
Applicazione	20 gennaio 2027	Segnalazioni dall'11 settembre 2026; resto dall'11 dicembre 2027
Dopo la vendita	Tracciabilità degli interventi sul software di sicurezza (registro consentito per 5 anni)	Periodo di supporto di almeno 5 anni, aggiornamenti gratuiti, segnalazione di vulnerabilità e incidenti
Norma tecnica di riferimento	EN 50742 (in pubblicazione, armonizzazione da attendere)	Norme armonizzate CRA in preparazione; serie IEC 62443 come riferimento tecnico

2. Cosa chiede il Regolamento macchine

I requisiti che toccano la cibersicurezza sono due. Al punto 1.1.9 dell'Allegato III, la macchina deve essere progettata in modo che il collegamento di un altro dispositivo, anche remoto, non determini una situazione pericolosa. Hardware, software e dati critici per la conformità devono essere individuati e protetti contro alterazioni accidentali o intenzionali; la macchina deve saper indicare in ogni momento il software di sicurezza installato e raccogliere prove degli interventi, legittimi o meno, su software e configurazione.

Al punto 1.2.1, i sistemi di comando devono resistere anche a «tentativi deliberati ragionevolmente prevedibili da parte di terzi» (lettera a) e deve essere consentita la registrazione dei dati relativi agli interventi e alle versioni del software di sicurezza caricate dopo l'immissione sul mercato, conservata per cinque anni e utilizzabile solo su richiesta motivata di un'autorità (lettera f). Per i sistemi con logica auto-evolutiva si aggiunge la registrazione dei dati decisionali di sicurezza, conservata per un anno.

Su questi due punti la Commissione ha già licenziato il capitolo della nuova Guida all'applicazione del Regolamento, datato 18 ottobre 2026: ne abbiamo parlato in dettaglio nell'articolo sui primi capitoli della Guida UE al Regolamento macchine.

3. Il punto chiave: la conformità al CRA non è una presunzione automatica

Il rapporto tra i due regolamenti è descritto nel considerando 53 del CRA, ripreso dalle FAQ dei servizi della Commissione. Il messaggio si riassume in tre passaggi:

• chi fabbrica una macchina che è anche un prodotto con elementi digitali deve rispettare sia i requisiti essenziali di cibersicurezza del CRA sia i requisiti essenziali di sicurezza del Regolamento macchine;
• il rispetto del CRA può agevolare la conformità ai punti 1.1.9 e 1.2.1, perché i rischi trattati in parte si sovrappongono, ma queste sinergie devono essere dimostrate dal fabbricante, ad esempio applicando norme armonizzate o specifiche tecniche a valle di una valutazione dei rischi che copra quei rischi informatici;
• il fabbricante deve seguire le procedure di valutazione della conformità previste da entrambi i regolamenti.

Le FAQ portano un esempio concreto: una macchina per il confezionamento di ortaggi destinati ai supermercati, dotata di hardware e software per il suo funzionamento, è al tempo stesso una macchina e un prodotto con elementi digitali.

4. Cosa del CRA è già in vigore

Il CRA è entrato in vigore il 10 dicembre 2024 con un'applicazione scaglionata. Due date sono già passate:

• 11 giugno 2026: si applicano le disposizioni sulla notifica degli organismi di valutazione della conformità;
• 11 settembre 2026: si applicano gli obblighi di segnalazione dell'art. 14. Il fabbricante deve notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi attraverso la piattaforma unica di segnalazione gestita dall'ENISA, che smista la notifica al CSIRT nazionale di coordinamento. Si parte con un preallarme entro 24 ore dalla presa di conoscenza, seguito da una notifica entro 72 ore e da una relazione finale.

L'obbligo di segnalazione riguarda tutti i prodotti con elementi digitali messi a disposizione sul mercato UE, compresi quelli immessi prima dell'11 dicembre 2027. In altre parole, un costruttore di macchine connesse può avere già oggi obblighi CRA sulle macchine installate presso i clienti, anche se la marcatura CE «CRA» arriverà solo nel 2027.

Dall'11 dicembre 2027 si applicheranno tutti gli altri obblighi: requisiti essenziali dell'Allegato I, documentazione tecnica, valutazione della conformità, dichiarazione UE e marcatura CE. Nel frattempo la Commissione ha pubblicato, il 27 luglio 2026, una guida all'applicazione del CRA.

5. Come si integrano in pratica

Valutazione dei rischi

Le due analisi devono parlarsi. L'analisi delle minacce informatiche richiesta dal CRA deve alimentare la valutazione dei rischi della macchina (EN ISO 12100): una vulnerabilità che consente di modificare un parametro di una funzione di sicurezza è, a tutti gli effetti, un pericolo meccanico. Il rapporto tecnico UNI CEN ISO/TR 22100-4:2021 descrive proprio la relazione tra misure di security e funzioni di safety: le contromisure informatiche non devono degradare le misure di protezione.

Dichiarazione di conformità

Quando un prodotto è soggetto a più atti dell'Unione che richiedono una dichiarazione UE di conformità, si redige un'unica dichiarazione che li cita tutti, come previsto dall'art. 21, par. 3, del Regolamento macchine e dall'art. 28 del CRA. Unica dichiarazione, però, non significa unica valutazione: ciascun regolamento richiede le proprie evidenze.

Documentazione tecnica e SBOM

Il CRA chiede di redigere una distinta dei componenti software (SBOM) e di inserirla nella documentazione tecnica, insieme alla valutazione dei rischi di cibersicurezza e alle informazioni usate per stabilire il periodo di supporto. La documentazione tecnica e la dichiarazione UE vanno conservate per almeno 10 anni o per il periodo di supporto, se più lungo. Per il fascicolo tecnico della macchina la SBOM è un elemento utile anche ai fini del punto 1.1.9, perché aiuta a identificare il software critico per la sicurezza.

Aggiornamenti dopo la vendita

Il periodo di supporto CRA è di almeno cinque anni (salvo prodotti con un tempo d'uso atteso inferiore) e deve riflettere la vita utile prevista: per una macchina industriale, che resta in servizio ben oltre, cinque anni sono il minimo, non il valore da dichiarare per default. Ogni aggiornamento di sicurezza rilasciato deve restare disponibile per almeno dieci anni o per il resto del periodo di supporto, se più lungo. Il punto delicato è l'incastro con il Regolamento macchine: una patch di sicurezza informatica non deve compromettere le funzioni di sicurezza, deve essere tracciata ai sensi del punto 1.2.1 lettera f) e va valutata per capire se configura una modifica della macchina.

6. Il resto della rete normativa

Atto	A chi si applica	Cosa conta per chi fabbrica macchine
Direttiva NIS2 (UE) 2022/2555, D.Lgs. 138/2024	Ai soggetti (imprese), non ai prodotti	La fabbricazione di macchinari è tra i settori «critici» dell'Allegato II: oltre le soglie dimensionali, il costruttore stesso può essere soggetto NIS2. I clienti NIS2 chiederanno inoltre garanzie di sicurezza della catena di fornitura.
AI Act (UE) 2024/1689	Sistemi di IA, inclusi quelli che sono componenti di sicurezza	Con il Digital Omnibus IA (Reg. (UE) 2026/1744) i requisiti di IA per le macchine passeranno dal Regolamento macchine tramite atti delegati. Per macchine e componenti di sicurezza con comportamento auto-evolutivo basato su apprendimento automatico, è già il Regolamento macchine (Allegato I, parte A) a richiedere l'intervento di un organismo notificato.
Data Act (UE) 2023/2854	Prodotti connessi e servizi correlati	Dal 12 settembre 2026 i prodotti connessi immessi sul mercato devono essere progettati per rendere i dati accessibili all'utilizzatore («access by design»), con informazioni precontrattuali su dati generati e modalità di accesso.
GDPR (UE) 2016/679	Trattamenti di dati personali	Rilevante se la macchina registra dati riconducibili agli operatori (accessi, badge, log degli interventi).
Art. 437-bis c.p. (D.Lgs. 160/2026)	Fabbricanti e utilizzatori professionali di sistemi IA ad alto rischio	Reato per omissione delle misure di sicurezza o alterazione dei sistemi: ne abbiamo parlato in questo articolo.

Sul piano nazionale, lo schema di decreto di adeguamento al Regolamento macchine (Atto del Governo n. 445) prevede inoltre il coinvolgimento di enti e agenzie specializzate nella vigilanza sulle macchine con IA, cibersicurezza e logiche auto-evolutive: abbiamo analizzato il testo qui.

7. Checklist in 8 punti per fabbricanti di macchine connesse

1. Mappare il perimetro: per ogni modello, verificare se è anche un prodotto con elementi digitali ai sensi del CRA e se rientra tra i prodotti importanti o critici, con procedure di valutazione più stringenti.
2. Attivare subito la segnalazione CRA: definire chi riceve le notizie su vulnerabilità e incidenti, chi decide e chi notifica tramite la piattaforma ENISA nei tempi previsti, anche per le macchine già installate.
3. Integrare le analisi dei rischi: collegare l'analisi delle minacce informatiche alla valutazione dei rischi EN ISO 12100, identificando interfacce (USB, Ethernet, Wi-Fi, accesso remoto) che possono influenzare le funzioni di sicurezza.
4. Identificare software e dati critici: elencare il software di sicurezza, le versioni e le configurazioni, e predisporre la registrazione degli interventi richiesta dal punto 1.2.1 lettera f).
5. Allineare la progettazione alla EN 50742: seguire il percorso autonomo o quello IEC 62443 e monitorare la citazione in Gazzetta ufficiale.
6. Costruire la SBOM e integrarla nel fascicolo tecnico, richiedendo ai fornitori di PLC, HMI e componenti le informazioni necessarie.
7. Definire il periodo di supporto coerente con la vita utile della macchina e una procedura di rilascio delle patch che verifichi l'impatto sulle funzioni di sicurezza prima della distribuzione.
8. Preparare un'unica dichiarazione UE che citi tutti gli atti applicabili, con evidenze distinte per ciascun regolamento, e aggiornare istruzioni e contratti (accesso remoto, aggiornamenti, dati generati dalla macchina).

Conclusioni

Il Regolamento macchine e il Cyber Resilience Act non sono alternativi: guardano lo stesso prodotto da due prospettive, la sicurezza delle persone e la sicurezza informatica. Lavorare bene sul CRA semplifica molto la conformità ai punti 1.1.9 e 1.2.1, ma solo se il collegamento tra minaccia informatica e pericolo fisico è dimostrato nel fascicolo tecnico. Con le segnalazioni CRA già operative, il Regolamento macchine applicabile dal 20 gennaio 2027 e la EN 50742 in arrivo, il momento di impostare un processo integrato è adesso.

European Quality Standard affianca i fabbricanti nella valutazione dei rischi, nella redazione del fascicolo tecnico e nella certificazione CE delle macchine, anche alla luce dei nuovi requisiti di cibersicurezza. Per un confronto sul vostro caso, contattateci.

Riferimenti

• Regolamento (UE) 2023/1230 relativo alle macchine – considerando 25, artt. 9, 20 e 21, Allegato III punti 1.1.9 e 1.2.1
• Regolamento (UE) 2024/2847 (Cyber Resilience Act) – considerando 53, artt. 13, 14, 28, 69, 71, Allegati I e VII
• Commissione europea, FAQs on the Cyber Resilience Act, punto 2.4 (interazione con il Regolamento macchine)
• Regolamento (UE) 2023/2854 (Data Act), artt. 3 e 50
• Direttiva (UE) 2022/2555 (NIS2) e D.Lgs. 138/2024
• FprEN 50742 «Safety of machinery – Protection against corruption», CENELEC/TC 44X
• UNI CEN ISO/TR 22100-4:2021