NIS2 nel settore manifatturiero

La NIS2 nel settore manifatturiero

La fabbricazione rientra nell’Allegato II del D.Lgs. 138/2024, tra gli “altri settori critici”. Non tutta la manifattura: il decreto elenca la fabbricazione di dispositivi medici, di computer e prodotti di elettronica, di apparecchiature elettriche, di macchinari, di autoveicoli e di altri mezzi di trasporto.

Il perimetro scatta dalle soglie di media impresa: almeno 50 dipendenti, oppure fatturato annuo o totale di bilancio oltre 10 milioni di euro. Le soglie si calcolano anche sulle imprese associate e collegate, quindi lo stabilimento controllato da un gruppo può rientrare anche se da solo è piccolo.

Chi rientra dall’Allegato II è di norma un soggetto importante: vigilanza ex post e set ridotto di misure di base ACN. La classificazione definitiva però dipende dal caso concreto e dalle comunicazioni ACN. Prima di tutto conviene una verifica del perimetro fatta sui codici di attività reali e sulla struttura del gruppo.

I rischi tipici in stabilimento

• Fermo produzione: un ransomware che arriva dall’ufficio e si propaga alle postazioni HMI o ai server di supervisione blocca le linee, oltre alle email.
• Rete OT piatta: PLC, SCADA, robot e macchine a controllo numerico collegati alla stessa rete degli uffici, senza segmentazione.
• Teleassistenza dei costruttori: router e VPN lasciati aperti dai fornitori di macchine per la manutenzione remota, con credenziali condivise e mai cambiate.
• Proprietà industriale: disegni tecnici, distinte base e programmi di lavorazione esfiltrati da un account compromesso.
• Accessi fisici: reparti aperti a trasportatori, manutentori esterni e personale interinale, armadi rack in area produttiva senza chiusura.

Cosa chiede la norma in pratica

Le misure di gestione del rischio dell’art. 24 valgono per tutti i sistemi informativi e di rete, quindi anche per la parte OT. In stabilimento si traducono così:

• inventario degli asset, comprese le macchine collegate in rete e i dispositivi di teleassistenza;
• controllo degli accessi e autenticazione a più fattori per gli accessi remoti, inclusi quelli dei costruttori;
• gestione delle vulnerabilità anche dove non si può aggiornare: isolamento, regole di rete, compensazioni documentate;
• continuità operativa, backup e disaster recovery pensati sul tempo massimo di fermo linea che puoi sostenere;
• sicurezza della catena di approvvigionamento: manutentori, integratori di sistema, fornitori di software MES e gestionali.

Un incidente che ferma la produzione può essere significativo: va pre-notificato al CSIRT Italia entro 24 ore, con notifica entro 72 ore e relazione finale entro un mese (vedi notifica degli incidenti). Le misure le approva il consiglio di amministrazione, che ne risponde.

Sicurezza fisica e AI nel settore

La NIS2 adotta un approccio multirischio: furti, incendi, allagamenti, interruzioni di corrente e accessi non autorizzati rientrano nell’analisi dei rischi. Per uno stabilimento vuol dire controllo dei varchi, gestione dei badge di esterni e interinali, protezione delle cabine elettriche e dei locali server, gruppi di continuità per i sistemi di supervisione. Lo seguiamo con il servizio di sicurezza fisica.

Visione artificiale per il controllo qualità, manutenzione predittiva, assistenti generativi in ufficio tecnico: l’AI è già in reparto. Dal 2 febbraio 2025 chi la usa deve garantire l’alfabetizzazione AI del personale. Se l’AI è un componente di sicurezza di un prodotto regolamentato, come una macchina o un dispositivo medico, può ricadere tra i sistemi ad alto rischio. Vedi AI Act e Legge 132/2025.

Armadio di rete in reparto e PC di supervisione stanno spesso in corridoi raggiungibili da chiunque abbia un badge da manutentore. Una chiavetta USB inserita in un pannello operatore è un rischio informatico che si previene con misure fisiche: armadi chiusi a chiave, porte USB bloccate, regole sui supporti rimovibili dei tecnici esterni.

Sul fronte AI serve una policy di utilizzo che dica quali strumenti sono ammessi e quali dati si possono inserire: un disegno tecnico caricato in un servizio generativo esterno esce dal tuo controllo. Se valuti telecamere con analisi automatica in reparto, ricorda che il riconoscimento delle emozioni sul lavoro è tra le pratiche vietate dall’AI Act e che la Legge 132/2025 chiede di informare i lavoratori sull’uso di sistemi di AI.

Uno scenario tipico

1. 01
   Lunedì, ore 6

   Il primo turno trova i pannelli operatore della linea di assemblaggio bloccati da una richiesta di riscatto. Il ransomware è entrato giorni prima da un’email in ufficio acquisti e ha raggiunto la supervisione, sulla stessa rete.

2. 02
   Ore 7

   Il responsabile di produzione ferma le linee. L’IT isola la rete, ma manca un elenco aggiornato di cosa è collegato a cosa: si stacca tutto a mano.

3. 03
   Entro 24 ore

   La produzione è ferma e non si sa quando ripartirà. Va valutato se l’incidente è significativo e, in quel caso, inviata la pre-notifica al CSIRT Italia. Il conteggio parte da quando ne vieni a conoscenza, non dalla fine delle analisi.

4. 04
   Entro 72 ore

   Notifica con valutazione iniziale, gravità, impatto e indicatori di compromissione.

5. 05
   Entro un mese

   Relazione finale, oppure relazione mensile se l’incidente è ancora in corso.

Cosa avrebbe ridotto l’impatto: rete di produzione separata da quella degli uffici; backup della supervisione e dei programmi macchina non raggiungibili dalla rete; una procedura che dica chi decide il fermo e chi valuta la notifica; reperibilità concordate con i costruttori.

Chi coinvolgere in azienda

In fabbrica la NIS2 non si chiude nell’ufficio IT. Attorno allo stesso tavolo servono:

• Consiglio di amministrazione: approva le misure, segue la formazione specifica, viene informato sugli incidenti.
• Direttore di stabilimento e responsabile di produzione: sanno quali linee sono critiche e quanto fermo si può sostenere.
• Manutenzione e ingegneria di processo: gestiscono macchine, PLC e rapporti con i costruttori.
• IT: rete, server, utenze, backup.
• Acquisti: contratti con costruttori, integratori e manutentori, dove inserire i requisiti di sicurezza.

Da dove partire

1. 01
   Verifica il perimetro

   Codici di attività, soglie di gruppo, eventuale registrazione sul portale ACN.

2. 02
   Mappa IT e OT

   Inventario di macchine in rete, accessi remoti dei costruttori e collegamenti tra reti.

3. 03
   Gap analysis

   Confronto con le misure di base ACN, con priorità sulle linee che non possono fermarsi.

4. 04
   Piano approvato dal vertice

   Segmentazione, accessi remoti, backup, procedure di incidente e contratti con i fornitori.

5. 05
   Prova sul campo

   Simulazione di un fermo linea da attacco informatico, con i tempi di notifica al CSIRT.

Domande frequenti