Cybersecurity industriale: da dove partire per valutare impianti e accessi remoti

Un cliente ti chiede se il sistema di teleassistenza rispetta il Regolamento UE 2019/881. In azienda ci sono già dispositivi per l’accesso remoto, software e collegamenti alle macchine, ma non è chiaro quali documenti presentare e quali verifiche fare.

Da qui nascono domande concrete: quello che abbiamo è adeguato? Dobbiamo cambiare qualcosa? Quali obblighi ci riguardano e quando possiamo rischiare una sanzione?

Per affrontare la cybersecurity industriale occorre ricostruire la situazione di partenza: capire la richiesta, esaminare impianti e configurazioni e individuare gli interventi necessari. Questa analisi permette anche di riconoscere le funzioni utili già disponibili nelle tecnologie installate.

SOLINTEC accompagna questo percorso con analisi iniziale, verifica delle configurazioni, progettazione, implementazione e supporto nella fase di avvio. L’obiettivo è mettere in relazione le esigenze dell’azienda con le possibilità tecniche dell’impianto.

Quando un cliente chiede garanzie sulla cybersecurity

La richiesta può arrivare durante una trattativa, nella qualifica di un fornitore o prima di autorizzare un collegamento remoto. Può riguardare una macchina, un software oppure le modalità con cui un tecnico esterno accede alla rete di produzione. Chiarire questo punto evita di cercare documenti che rispondono a una domanda diversa.

Il Regolamento UE 2019/881 distingue prodotti, servizi e processi TIC. La sigla significa Tecnologie dell’informazione e della comunicazione ed equivale all’inglese ICT. In ambito industriale queste categorie possono riguardare elementi già presenti in azienda.

Un gateway per l’accesso remoto, un PC industriale o un software di supervisione sono esempi di prodotti TIC. Un servizio cloud che raccoglie ed elabora i dati delle macchine è un esempio di servizio TIC. I processi TIC comprendono invece le attività utilizzate per progettare, sviluppare, fornire o mantenere questi prodotti e servizi, come il processo con cui un fornitore sviluppa il software e ne gestisce gli aggiornamenti.

Una richiesta di conformità al Regolamento 2019/881 va quindi resa più precisa. Riguarda il dispositivo installato sulla macchina, il servizio cloud utilizzato per la teleassistenza oppure il processo con cui il fornitore sviluppa e mantiene il software? È indicato uno specifico schema di certificazione? Il cliente richiede un certificato, una descrizione delle misure adottate o il rispetto di una propria procedura di sicurezza?

Individuare l’elemento interessato permette di capire quali requisiti e quali documenti verificare. L’appartenenza a una categoria TIC non comporta, da sola, un obbligo di certificazione.

Raccogliere queste informazioni aiuta a individuare le persone da coinvolgere. Il responsabile della manutenzione conosce le necessità del service; il referente IT conosce le regole della rete; chi segue contratti e conformità può chiarire l’origine del requisito. Solintec contribuisce alla valutazione tecnica e alla definizione degli interventi.

Il Cybersecurity Act e i riferimenti da distinguere

Il Regolamento UE 2019/881, noto come Cybersecurity Act, ha introdotto un quadro europeo per la certificazione della cybersecurity. Non prescrive l’acquisto di uno specifico prodotto e non istituisce una generica certificazione valida indistintamente per qualsiasi impianto.

L’articolo 56, paragrafo 2, prevede che la certificazione sia volontaria, salvo quanto diversamente stabilito dal diritto europeo o nazionale. Il regolamento contiene anche disposizioni sulle sanzioni: per valutarle occorre identificare l’obbligo e la violazione pertinenti. L’assenza di una generica certificazione 2019/881 non basta, da sola, a stabilire se un’azienda sia inadempiente.

Il primo schema europeo già operativo è EUCC, basato sui Common Criteria. Dal febbraio 2025 consente di certificare specifici prodotti TIC, tra cui componenti tecnologici, hardware e software. Può quindi riguardare anche un prodotto impiegato in ambito industriale, ma non certifica in modo generale un intero impianto OT e non rende obbligatoria la certificazione di ogni gateway, PC industriale o software.

Per orientarsi conviene tenere separati quattro riferimenti, che riguardano aspetti diversi.

Riferimento	Aspetto da considerare
RiferimentoCybersecurity Act ed EUCC	Aspetto da considerareQuadro europeo di certificazione; EUCC è il primo schema operativo per specifici prodotti TIC.
RiferimentoNIS2	Aspetto da considerareObblighi per i soggetti compresi nel suo ambito e attenzione alla sicurezza della supply chain.
RiferimentoCyber Resilience Act	Aspetto da considerareRequisiti per i prodotti con elementi digitali; segnalazioni applicabili dal settembre 2026 e obblighi principali dal dicembre 2027.
RiferimentoFamiglia IEC 62443	Aspetto da considerareStandard tecnici per la sicurezza dei sistemi industriali con perimetri specifici.

La NIS2 riguarda la gestione della cybersecurity delle organizzazioni comprese nel suo ambito. In Italia è stata recepita dal decreto legislativo 138/2024. Tra le misure di gestione del rischio rientra la sicurezza della catena di approvvigionamento, compresi gli aspetti legati ai rapporti con i fornitori diretti e i fornitori di servizi. Per questo un soggetto NIS2 può tradurre i propri obblighi in requisiti contrattuali rivolti ai fornitori, anche quando questi non rientrano direttamente nel perimetro della normativa. L’applicabilità va comunque verificata in base alle caratteristiche dell’azienda. Il rapporto con il service è approfondito nell’articolo su NIS2 e teleassistenza industriale.

Il Cyber Resilience Act ha un calendario distinto. Dall’11 settembre 2026 sono applicabili gli obblighi di segnalazione previsti dall’articolo 14: riguardano i fabbricanti di prodotti con elementi digitali che vengono a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave con impatto sulla sicurezza del prodotto. La procedura parte da un preallarme senza indebito ritardo e comunque entro 24 ore. Gli obblighi principali del regolamento si applicheranno dall’11 dicembre 2027. Questa scadenza non impone di sostituire in modo generalizzato tutti gli impianti esistenti.

Conoscere le tecnologie già presenti in azienda

L’analisi parte da un inventario dei dispositivi e dei software coinvolti: controllori delle macchine, pannelli operatore, PC industriali, apparati di rete e sistemi di teleassistenza. Per ciascuno sono utili modello, versione, funzione svolta, collegamenti e informazioni sul supporto del produttore.

Occorre poi capire quali componenti siano più importanti per la continuità del processo e quali comunicazioni li colleghino tra loro o con l’esterno. La guida CISA dedicata agli inventari OT indica proprio la conoscenza degli asset e della loro criticità come base per organizzare le protezioni. OT significa Operational Technology e comprende le tecnologie che controllano e supervisionano i processi fisici.

Per il primo confronto può bastare raccogliere uno schema della rete, anche da completare, l’elenco dei sistemi utilizzati per la teleassistenza e la richiesta ricevuta dal cliente. Le informazioni mancanti diventano punti da verificare insieme: non è necessario avere già tutte le risposte per avviare l’analisi.

Verificare come sono configurati gli accessi remoti

Una funzione descritta nella documentazione del produttore va confrontata con ciò che è effettivamente abilitato. SOLINTEC verifica le configurazioni esistenti per capire come vengono utilizzati i sistemi e dove siano necessari interventi.

Utenti e autorizzazioni

La verifica comprende account nominativi, permessi assegnati, autenticazione a più fattori e revoca degli accessi. Quest’ultima deve poter seguire il cambio di un fornitore o delle persone incaricate dell’assistenza. Va anche verificato a quali macchine possa accedere ciascun utente.

Collegamenti e tracciabilità

Occorre esaminare la separazione tra reti e le comunicazioni consentite. Per i registri degli eventi, o log, vanno chiariti contenuto, conservazione e modalità di consultazione. Un log di connessione può documentare l’accesso senza registrare tutti i comandi eseguiti sulla macchina.

Aggiornamenti e condizioni operative

Le modifiche richiedono attenzione alle dipendenze dell’impianto. Aggiornamenti, prove e possibilità di ripristino vanno pianificati con chi gestisce la produzione. La guida NIST sulla sicurezza OT tratta questi controlli nel contesto delle esigenze di disponibilità e sicurezza operativa.

Per decidere cosa fare è utile distinguere una funzione assente da una funzione disponibile ma non configurata. Nel primo caso va valutata un’integrazione o una sostituzione; nel secondo, il lavoro può riguardare soprattutto impostazioni e modalità d’uso.

Scegliere tra configurazione integrazione e sostituzione

La scelta dipende dal requisito da soddisfare e dalle condizioni riscontrate. Prima di proporre nuovi componenti, Solintec valuta ciò che l’azienda possiede e come può essere inserito nella soluzione.

Esito della verifica	Intervento da valutare
Esito della verificaFunzioni disponibili ma configurazione inadeguata	Intervento da valutareRivedere impostazioni, autorizzazioni e modalità operative.
Esito della verificaEsigenza non coperta dai componenti presenti	Intervento da valutareProgettare un’integrazione compatibile con l’impianto.
Esito della verificaLimiti che impediscono di soddisfare il requisito	Intervento da valutareValutare una sostituzione mirata e il passaggio alla nuova soluzione.

Il confronto comprende anche l’impatto sul lavoro quotidiano. Una soluzione deve consentire al manutentore di svolgere le attività autorizzate e all’azienda di mantenere il controllo degli accessi. La scelta tecnica va quindi condivisa con chi userà il sistema e con chi ne gestirà le autorizzazioni.

Un esempio di valutazione dell’esistente

Immaginiamo un’azienda che utilizzi già una piattaforma di teleassistenza e riceva da un cliente la richiesta di rendere identificabili gli accessi dei tecnici. È un esempio illustrativo, non un caso cliente documentato.

Se la piattaforma consente già di creare utenti nominativi e permessi distinti, la prima ipotesi da verificare è una revisione della configurazione. Se queste funzioni mancano, bisogna esaminare le possibilità di integrazione o valutare una soluzione diversa. La proposta cambia in base a una verifica concreta, pur partendo dalla stessa richiesta.

Valutare Secomea in relazione alle esigenze dell’impianto

Quando il progetto richiede una gestione strutturata della teleassistenza, Secomea rientra tra le soluzioni che Solintec può valutare. La piattaforma offre funzionalità per l’autenticazione a più fattori, il controllo degli accessi e il logging, accompagnate da processi di gestione delle vulnerabilità e degli aggiornamenti. La disponibilità nella specifica installazione va verificata rispetto a versione, architettura, configurazione e condizioni del servizio.

Un elemento documentato è la certificazione IEC 62443-4-1 del processo di sviluppo sicuro di Secomea. Il certificato TÜV SÜD attualmente pubblicato riguarda il Secure Product Development Lifecycle Process e non il singolo impianto del cliente. Secomea rende disponibile anche una valutazione indipendente della soluzione rispetto ai requisiti IEC 62443-3-3 e IEC 62443-4-2, riferiti alla sicurezza dei sistemi e dei componenti IACS. Questi riferimenti hanno perimetri diversi e non sostituiscono la verifica dell’architettura, della configurazione e dell’organizzazione del cliente.

La scheda dedicata a SiteManager Secomea per l’accesso remoto industriale presenta il componente e le sue applicazioni. Nel progetto occorre stabilire come inserirlo nell’architettura esistente e quali funzioni attivare per il caso specifico.

Come Solintec accompagna il progetto

L’esperienza nel settore industriale serve a collegare la richiesta iniziale alle condizioni reali delle macchine e della rete. Il contributo di Solintec si sviluppa nelle diverse fasi del lavoro.

Analisi iniziale e verifica delle configurazioni

Solintec raccoglie le esigenze e analizza la situazione esistente, confrontando le funzionalità disponibili con le configurazioni utilizzate. Questo passaggio permette di circoscrivere il problema e di individuare i punti da approfondire con i referenti aziendali.

Progettazione della soluzione

Sulla base delle verifiche, Solintec definisce la soluzione tecnica e valuta le componenti da mantenere, configurare o integrare. Le scelte vengono messe in relazione con le necessità operative dell’azienda e con i requisiti individuati.

Implementazione e supporto iniziale

Solintec segue l’implementazione della soluzione e fornisce un supporto nella fase iniziale di utilizzo. È il momento in cui verificare che le impostazioni rispondano alle esigenze concordate e chiarire le modalità operative con chi utilizza il sistema.

Per la gestione successiva è utile definire chi si occuperà di utenti, aggiornamenti e assistenza, distinguendo le attività interne dai servizi previsti dagli accordi di fornitura. L’approfondimento sul canone di teleassistenza industriale affronta il tema dei servizi associati alla soluzione.

Parti da una verifica del tuo impianto

Hai ricevuto una richiesta sulla cybersecurity o vuoi capire se la teleassistenza già installata risponde alle tue esigenze? Confrontati con Solintec sulla situazione del tuo impianto. Partiremo dalle tecnologie che utilizzi e dalle configurazioni esistenti per individuare gli interventi e accompagnarti nella loro realizzazione, con un supporto iniziale all’utilizzo.