L'evoluzione della compliance nel settore OT: l'impatto di NIS2, Regolamento Macchine e CRA sulla Marcatura CE

La normativa Europea sulla Cybersicurezza si è evoluta causa la crescita degli attacchi cyber anche nel settore OT. 

In Europa sono presenti tre normative di rilevante interesse: 

• la direttiva NIS2 per infrastrutture critiche e processi di gestione della sicurezza, 
• il Regolamento Macchine 2023/1230, con focus prevalente sulla safety ma anche sulla protezione da attacchi Cyber e reporting di eventi di sicurezza,
• il Cyber Resilience Act con requisiti di sicurezza per prodotti con elementi digitali.

Delle tre normative citate, il Regolamento Macchine e il Cyber Resilience Act fanno parte del nuovo quadro legislativo europeo legato alla marcatura CE; questo sottointende che un prodotto immesso sul mercato europeo e rientrante nel campo di applicazione sia del Regolamento Macchine che del CRA, nella dichiarazione di conformità le normazioni dovranno essere riportate entrambe.

Quali prodotti sono inclusi? Il CRA si applica ai prodotti con elementi digitali, ovvero prodotti che, per scopo previsto o uso ragionevolmente prevedibile, includono una connessione dati logica o fisica, diretta o indiretta. 

Solo a titolo di esempio, sono considerati prodotti digitali PLC e HMI, mentre elementi come cavi o plug non vengono considerati prodotti con elementi digitali.

Per fare capire meglio il campo di applicazione del CRA ai partecipanti, il relatore ha utilizzato una semplificazione pratica evidenziando come un prodotto che contiene firmware aggiornabili può essere considerato, in linea generale, un prodotto con elementi digitali. 

Lo stesso ragionamento può quindi essere esteso a macchine industriali, sistemi e soluzioni complesse.

Focalizzando la nostra attenzione sul mondo macchine, il webinar ha portato all’attenzione alcune misure tecniche ricorrenti per progettare una macchina sicura come: protezione perimetrale tramite firewall, logging, autenticazione, cifratura dove necessario, hardening, scansioni di sicurezza e monitoraggio dei cambiamenti di rete o programma.

La protezione perimetrale con firewall è stata presentata come una raccomandazione primaria. Il firewall limita la superficie di attacco, diminuisce la probabilità di ingressi non consentiti, contribuisce alla resilienza contro il “denial of service” e riduce la possibilità che un problema interno alla macchina si propaghi verso altre reti.

Riportiamo nuovamente all’attenzione dei nostri Clienti lo Scalance S Industrial Security Appliance, progettato proprio a tale scopo (https://www.siemens.com/it-it/products/scalance/s-industrial-security-appliance/) riducendo minacce informatiche che possono portare a interruzioni della produzione, perdita di dati e rischi per la sicurezza.

Parlando di accessi al sistema invece, il dispositivo presentato durante il webinar è stato il Siemens SIMATIC RF1000 contro gli accessi non autorizzati. Questo dispositivo si rende necessario quando è richiesta la tracciabilità degli accessi a un macchinario, ma più in generale in tutta la sua catena di fornitura, come descritto nella pagina web del sito Siemens, https://www.siemens.com/it-it/products/simatic-ident/simatic-rf1000/.

Durante il webinar un focus importante è stato fatto anche sul monitoraggio, come elemento rilevante di prevenzione; come esempio è stata mostrata la possibilità in TIA Portal (https://www.siemens.com/it-it/products/tia-portal/) di attivare il controllo dello stato delle porte Ethernet su dispositivi come i SIMATIC ET200.

Ma è il messaggio percepito durante il webinar una parte importante. La cybersecurity deve essere trattata non come un requisito isolato, ma come una disciplina di ciclo di vita del prodotto in tutte le sue parti quali progettazione, configurazione, documentazione, monitoraggio, gestione vulnerabilità, aggiornamenti, mitigazioni e supporto post-vendita.

Per ulteriori informazioni o chiarimenti, si prega di contattare: info@faentia.com