Cosa fare oggi, con quali norme, in attesa degli standard armonizzati
 

Se nel 2026 fai il responsabile di automazione, costruisci macchine o gestisci un impianto industriale, permettimi una battuta: hai scelto un momento decisamente movimentato per farlo. Fino a pochi anni fa questo mondo era fatto di analisi dei rischi meccanici, marcature CE, manuali d'uso e, se andava bene, qualche firewall messo lì “perché non si sa mai”. Oggi ci troviamo di fronte a tre corpi normativi europei che convergono contemporaneamente sullo stesso oggetto: i sistemi di automazione e tutto quello che afferisce a questo mondo; in più tutto il trio per la prima volta tratta l'attacco informatico come un evento che può avere conseguenze reali, fisiche, sulle persone, sugli impianti e sulla produzione. Non è una moda passeggera né l'ennesimo adempimento burocratico da spuntare: è un cambio di paradigma che porta la cybersecurity dal reparto IT al reparto di produzione, e lo fa con tempistiche già scritte nel calendario.

I tre protagonisti di questa rivoluzione sono il Regolamento Macchine (UE) 2023/1230, il Cyber Resilience Act (CRA) e la direttiva NIS2 (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024. Non sono tre alternative tra cui scegliere: sono tre lenti diverse puntate sullo stesso impianto, e capire chi deve fare cosa — e con quali strumenti tecnici — è il primo passo per non ritrovarsi a rincorrere le scadenze nell'ultimo trimestre utile, come sta già succedendo a molte organizzazioni italiane sul fronte NIS2. Da qui in avanti l'articolo lascia da parte i toni scherzosi e prova a mettere ordine tra chi è tenuto a fare cosa e con quali strumenti tecnici concreti.