Regolamento UE 2019/881 e cybersecurity industriale: obblighi, certificazioni e verifiche

La tua azienda utilizza macchinari connessi, gateway di teleassistenza o servizi cloud per controllare gli impianti. Come puoi capire se le tecnologie che utilizzi offrono garanzie di cybersecurity adeguate? E il Regolamento UE 2019/881 ti obbliga a ottenere una certificazione?

Il Cybersecurity Act non introduce una certificazione universale che ogni azienda industriale debba possedere. Definisce invece un quadro europeo per certificare determinati prodotti, servizi e processi delle tecnologie dell’informazione e della comunicazione (TIC), secondo schemi specifici. Per orientarsi occorre distinguere gli obblighi dell’impresa dalle caratteristiche e dalle certificazioni dei sistemi che acquista o utilizza.

Regolamento UE 2019/881: che cosa prevede e a chi interessa

Il Regolamento UE 2019/881, noto come Cybersecurity Act, rafforza il ruolo di ENISA e istituisce il quadro europeo di certificazione della cybersecurity. Gli schemi definiscono quali tecnologie possono essere valutate, con quali requisiti e quali evidenze devono essere prodotte. In via generale, la certificazione ai sensi di tale quadro è volontaria, salvo specifiche disposizioni dell’Unione o nazionali che prevedano diversamente.

Per un’impresa industriale ciò non significa dover certificare automaticamente lo stabilimento o ogni apparato installato. Significa però poter utilizzare le certificazioni pertinenti come uno degli elementi per scegliere e valutare un fornitore tecnologico. Eventuali obblighi specifici devono essere ricostruiti a partire dall’attività svolta, dalle normative applicabili e dai requisiti contrattuali.

La mia azienda deve ottenere una certificazione cybersecurity?

Non esiste una generica “certificazione 2019/881” obbligatoria per tutte le aziende. Prima di avviare un percorso di certificazione è quindi essenziale chiarire la domanda: l’azienda deve dimostrare di rispettare obblighi organizzativi di cybersecurity, oppure vuole verificare che un certo prodotto o servizio sia stato valutato secondo uno schema riconosciuto?

La differenza è sostanziale. Un certificato associato a un componente non attesta la conformità dell’intera organizzazione; allo stesso modo, adottare tecnologie con funzioni di sicurezza avanzate non è sufficiente a dimostrare l’adempimento di qualunque obbligo normativo. La verifica deve partire dal requisito preciso, non dal nome di un certificato.

Che cosa può essere certificato: prodotti, servizi e processi TIC

Prodotti TIC

Rientrano in questa categoria elementi hardware o software di reti e sistemi informativi. Nel mondo industriale possono essere rilevanti, secondo l’ambito di uno specifico schema, gateway di accesso remoto, dispositivi di rete e componenti software. L’esistenza di una tecnologia connessa non implica, da sola, che tale prodotto debba essere certificato.

Servizi TIC

Un servizio può comprendere trasmissione, trattamento, conservazione o recupero di dati tramite reti e sistemi informativi. In una soluzione di teleassistenza occorre quindi distinguere l’apparato presente nell’impianto dal servizio che abilita o gestisce la connessione, verificando separatamente quali documenti riguardino ciascuna parte.

Processi TIC

I processi riguardano il modo in cui prodotti e servizi sono progettati, sviluppati, forniti e mantenuti. La documentazione di un processo di sviluppo sicuro può essere preziosa per valutare il produttore, ma non certifica automaticamente ogni versione del suo hardware o software.

EUCC: quando una certificazione europea è pertinente

Il primo schema europeo operativo ai sensi del Cybersecurity Act è EUCC (European Cybersecurity Certification Scheme on Common Criteria), istituito dal Regolamento di esecuzione UE 2024/482 e applicabile dal 27 febbraio 2025. È rivolto a prodotti TIC e utilizza una valutazione basata sui Common Criteria (ISO/IEC 15408), con livelli di affidabilità substantial e high.

Se un fornitore dichiara una certificazione EUCC, la verifica utile non si ferma alla sigla: occorre controllare il prodotto esatto, la versione, le funzioni valutate, il livello di affidabilità, il campo di applicazione e la validità del certificato. EUCC non equivale a una certificazione indistinta di servizi cloud, processi aziendali o interi impianti.

Come valutare le certificazioni e la documentazione delle tecnologie industriali

Prima di intervenire sui sistemi, distingui due esigenze: dimostrare il rispetto di un requisito normativo o contrattuale e valutare il livello di sicurezza delle tecnologie impiegate. Possono essere collegate, ma non sono la stessa verifica. I passaggi seguenti aiutano a esaminare le evidenze disponibili senza trasformarle in una procedura universale di conformità.

1. Identificare con precisione il prodotto o servizio

Per ogni componente rilevante, identifica produttore, modello, versione del firmware o software, funzione svolta e servizi eventualmente associati. Una piattaforma di teleassistenza può comprendere un gateway, un’applicazione per il manutentore e un servizio di collegamento: sapere dove inizia e dove finisce ciascun elemento evita di attribuire una certificazione all’intera architettura quando riguarda soltanto una sua parte.

2. Leggere il campo di applicazione, non soltanto il nome dello standard

Quando una scheda commerciale riporta una sigla come EUCC o IEC 62443, chiediti che cosa sia stato davvero valutato. La certificazione riguarda il dispositivo che utilizzi oppure il processo di sviluppo del produttore? Comprende il servizio cloud? È valida per quella versione del prodotto? Chi ha rilasciato l’attestazione e quale periodo copre?

La documentazione originale consente di rispondere a queste domande. Un produttore può avere un processo di sviluppo certificato senza che il singolo modello installato abbia una certificazione di prodotto: si tratta di evidenze diverse, entrambe potenzialmente utili, ma non intercambiabili.

3. Verificare le garanzie di manutenzione e aggiornamento

Un apparato industriale può funzionare correttamente da anni e, nello stesso tempo, non ricevere più patch di sicurezza. È opportuno verificare il periodo di supporto previsto, le modalità di comunicazione delle vulnerabilità, la disponibilità di aggiornamenti e le indicazioni del produttore per gestire eventuali criticità. Queste informazioni sono particolarmente importanti quando le macchine hanno cicli di vita molto più lunghi rispetto alle applicazioni informatiche.

4. Confrontare le evidenze con l’esigenza reale dell’azienda

La documentazione deve essere letta alla luce del motivo per cui si sta facendo la verifica: selezionare un fornitore, rispondere a una condizione contrattuale, valutare un sistema esistente oppure pianificare un aggiornamento. Se l’esigenza riguarda la gestione degli accessi remoti, le attestazioni del produttore sono soltanto una parte dell’analisi: resta da comprendere anche come la soluzione sia configurata e utilizzata. Le verifiche operative su accessi, ruoli, segmentazione e logging meritano un approfondimento dedicato.

Un esempio pratico: un sistema di teleassistenza SECOMEA già installato

Immaginiamo un’azienda che utilizza da alcuni anni un gateway SiteManager e la piattaforma SECOMEA per consentire la manutenzione da remoto. La direzione vuole capire quali garanzie di cybersecurity siano documentate e se sia necessario sostituire l’hardware. La prima risposta non dovrebbe essere un sì o un no sulla “conformità 2019/881”: occorre verificare quali requisiti siano effettivamente richiesti e quali evidenze si riferiscano alla soluzione installata.

SECOMEA dichiara una certificazione IEC 62443-4-1 relativa al ciclo di vita dello sviluppo sicuro: riguarda i processi con cui progetta, mantiene e aggiorna i propri prodotti. Il produttore dichiara inoltre valutazioni rispetto ai requisiti IEC 62443-3-3 e IEC 62443-4-2. Sono informazioni rilevanti nella valutazione del fornitore, ma non vanno presentate automaticamente come una certificazione EUCC del gateway o come una certificazione dell’impianto aziendale.

In pratica, l’azienda dovrebbe confrontare modello e versione effettivamente installati con i documenti disponibili, verificare che il dispositivo sia supportato e chiarire come vengono gestiti aggiornamenti e vulnerabilità. Soltanto dopo ha senso decidere se siano necessarie modifiche, aggiornamenti o la sostituzione di componenti. Le configurazioni degli accessi e della rete, invece, richiedono un’analisi tecnica distinta: una buona certificazione del produttore non sostituisce le verifiche sull’installazione.

IEC 62443, NIS2 e Cyber Resilience Act: norme con finalità diverse

La famiglia IEC 62443 raccoglie standard tecnici per la sicurezza dei sistemi di automazione e controllo industriale; non coincide con lo schema europeo EUCC. La NIS2 disciplina obblighi di gestione dei rischi cybersecurity per le organizzazioni che ricadono nel suo ambito. Il Cyber Resilience Act (Regolamento UE 2024/2847) introduce invece requisiti riferiti ai prodotti con elementi digitali e obblighi per gli operatori economici coinvolti, con applicazione graduale. Sono riferimenti che possono interagire, ma non certificazioni equivalenti.

Su SOLINTEC è già disponibile l’approfondimento “NIS2 e teleassistenza industriale: cosa cambia davvero”, dedicato agli obblighi organizzativi. Per una visione generale della sicurezza degli impianti è disponibile anche l’articolo “Cybersecurity industriale: da dove partire per valutare impianti e accessi remoti”.

Cybersecurity Act 2: una proposta da seguire

Il 20 gennaio 2026 la Commissione europea ha presentato una proposta di revisione del Cybersecurity Act. Trattandosi di un percorso legislativo distinto dalla disciplina vigente, le eventuali novità devono essere verificate prima di attribuire loro effetti già operativi. Nelle valutazioni e nei capitolati conviene indicare sempre il riferimento normativo preciso e la data di aggiornamento.

Dalle certificazioni alle scelte tecniche: il ruolo di SOLINTEC

Comprendere il Cybersecurity Act aiuta a formulare domande più precise: quale tecnologia deve essere valutata, quali evidenze sono disponibili e quali requisiti restano da verificare? SOLINTEC può supportare l’azienda nell’analisi delle soluzioni di connettività e teleassistenza industriale, nel confronto tecnico con i produttori e nella scelta di eventuali integrazioni o aggiornamenti, senza partire automaticamente dalla sostituzione dei sistemi esistenti.

Per un confronto tecnico sulle esigenze del tuo impianto, contatta SOLINTEC.