Cybersecurity OT: perché le macchine di fabbrica sono più esposte dei tuoi PC

La rete di fabbrica è quasi sempre l’anello debole della sicurezza informatica di una PMI manifatturiera. Il motivo è strutturale: le macchine vivono venti o trent’anni, i loro sistemi di controllo non si aggiornano come un PC, i protocolli industriali sono nati per reti chiuse che oggi chiuse non sono più. Nel momento in cui il 4.0 ha collegato l’officina al gestionale e ai fornitori in teleassistenza, ha collegato anche gli attaccanti. E per un’azienda di produzione l’attacco non significa dati cifrati: significa impianto fermo.

Perché ti riguarda: un fermo produzione da attacco informatico si conta in giorni, non in ore, perché ripristinare un sistema di controllo non è come reinstallare un ufficio. Nel frattempo il quadro normativo si è stretto: con il recepimento della direttiva NIS2 anche molte imprese manifatturiere medie sono entrate nel perimetro degli obblighi, con scadenze già fissate per il 2026.

Perché l’OT è più vulnerabile dell’IT?

OT, Operational Technology, è tutto ciò che controlla fisicamente la produzione: PLC, sistemi SCADA, HMI, robot, macchine a controllo numerico. Rispetto all’informatica d’ufficio parte svantaggiato per quattro ragioni:

1. Cicli di vita lunghissimi. Una macchina comprata nel 2010 può montare un sistema operativo fuori supporto da oltre un decennio. Sostituirlo spesso richiede il fermo macchina e l’intervento del costruttore.
2. Patch difficili o impossibili. In ufficio gli aggiornamenti si installano di notte. In produzione ogni aggiornamento va validato: se cambia il comportamento del controllo, il rischio non è un riavvio ma un difetto di lavorazione o un problema di sicurezza fisica.
3. Protocolli nati senza autenticazione. Molti protocolli industriali trasmettono comandi in chiaro: chiunque acceda alla rete di fabbrica può, in linea di principio, parlare con le macchine.
4. Accessi remoti moltiplicati. Teleassistenza dei costruttori, manutentori esterni, integratori: ogni contratto di assistenza è una porta aperta verso l’officina, spesso senza registro di chi entra e quando.

A questo si aggiunge un fattore organizzativo: nelle PMI la rete di fabbrica non ha un responsabile dedicato. L’IT si ferma ai gestionali, il capofficina si occupa di produzione, e la zona di confine resta terra di nessuno.

Cosa chiede la NIS2 a chi produce?

La direttiva europea NIS2, recepita in Italia con il decreto legislativo 138/2024, ha esteso gli obblighi di sicurezza informatica a 18 settori e a un perimetro di imprese molto più ampio del passato, incluse categorie del manifatturiero. L’autorità competente è l’Agenzia per la Cybersicurezza Nazionale, che sulla pagina dedicata alla NIS pubblica regole e scadenze operative.

I punti fermi del calendario: la registrazione dei soggetti sul portale ACN si effettua ogni anno dal 1° gennaio al 28 febbraio, gli obblighi di notifica degli incidenti sono scattati a gennaio 2026 e l’adozione delle misure di sicurezza di base è richiesta entro ottobre 2026. Gli obblighi toccano gestione del rischio, continuità operativa, sicurezza della catena di fornitura e responsabilità diretta degli organi di amministrazione. Per capire se la tua azienda rientra nel perimetro, la verifica va fatta sui criteri di settore e dimensione pubblicati dall’ACN, non per sentito dire.

Da dove si inizia senza un reparto sicurezza?

La buona notizia è che i primi passi non richiedono un CISO né budget da grande impresa. Richiedono metodo:

1. Inventario degli asset connessi. Non puoi proteggere ciò che non sai di avere. Un censimento di macchine, PLC e dispositivi collegati alla rete, con versione software e stato di supporto, è il punto di partenza di qualunque piano.
2. Segmentazione della rete. La rete di fabbrica va separata da quella d’ufficio: se un PC amministrativo viene compromesso, l’infezione non deve poter raggiungere le macchine. È l’intervento con il miglior rapporto tra costo ed effetto.
3. Governo degli accessi remoti. Ogni fornitore in teleassistenza deve avere credenziali proprie, accesso attivabile solo su richiesta e un registro delle sessioni. Le connessioni permanenti “comode” sono il vettore d’ingresso classico.
4. Backup provati, anche dei programmi macchina. Ricette, programmi CNC, configurazioni PLC: se esistono solo dentro la macchina, un attacco o un guasto li porta via. Copie esterne e una prova di ripristino all’anno.
5. Un piano di risposta scritto. Chi si chiama, cosa si spegne, come si produce in degradato: deciderlo durante l’attacco è il modo peggiore di deciderlo.

Come si tiene il tema sotto controllo nel tempo?

La sicurezza OT non è un progetto che si chiude: è una voce di manutenzione, come la taratura degli strumenti. Un riferimento utile per seguire l’evoluzione delle minacce in Italia è il Rapporto Clusit, pubblicato ogni anno dall’Associazione Italiana per la Sicurezza Informatica con l’analisi degli incidenti noti. E quando si valuta l’acquisto di una macchina nuova, la sicurezza informatica va messa nel capitolato insieme ai requisiti di conformità: il tema si intreccia con le nuove regole di prodotto di cui abbiamo scritto nell’articolo sul Regolamento Macchine e con i criteri di investimento raccontati nell’analisi su Industria 5.0: la resilienza, anche informatica, è ormai un parametro di progetto.

In pratica: verifica se rientri nel perimetro NIS2 sui canali ACN, fai l’inventario degli asset connessi e separa la rete di fabbrica da quella d’ufficio. Sono tre azioni alla portata di qualunque PMI, e coprono la parte più grande del rischio.

Scadenza: per i soggetti NIS2 l’adozione delle misure di sicurezza di base è richiesta entro ottobre 2026; la finestra annuale di registrazione sul portale ACN va dal 1° gennaio al 28 febbraio.