Questa pagina è destinata a responsabili IT/OT, direttori di stabilimento e responsabili della sicurezza in aziende manifatturiere con infrastrutture Industry 4.0 connesse. Scoprirai gli obblighi specifici per PLC, controller industriali e sistemi OT, le scadenze di registrazione presso l'ACN, e come colmare i gap di sicurezza più comuni nelle linee di produzione.
Rientrano nell'ambito del D.Lgs. 138/2024 i produttori industriali che operano linee di produzione connesse, sistemi SCADA, PLC e controller ICS integrati con reti aziendali o cloud, indipendentemente dalla dimensione aziendale se critici per la continuità operativa nazionale. In particolare, gli operatori di infrastrutture critiche e le entità di importanza nazionale nel settore manifatturiero devono registrarsi presso la piattaforma ACN entro il 28 febbraio di ogni anno.
Devi implementare misure tecniche e organizzative per proteggere PLC, SCADA e controller da accessi non autorizzati, modifiche non intenzionali e compromissioni di firmware. Ciò include: inventario completo degli asset OT connessi, hardening dei dispositivi, disabilitazione di porte e servizi non necessari, e autenticazione multi-fattore per accessi amministrativi. La segmentazione di rete tra linee di produzione e infrastrutture IT aziendali è obbligatoria.
Devi stabilire un processo formale di patch management per sistemi operativi, firmware e software di controllo industriale, con tempi definiti per il testing in laboratorio e il rollout in produzione. Poiché i sistemi OT non possono spesso essere fermati per aggiornamenti, devi documentare i rischi residui, implementare monitoraggio comportamentale per rilevare exploit di vulnerabilità note, e mantenere un registro di tutte le eccezioni approvate.
Devi valutare e monitorare i fornitori di componenti industriali, sistemi SCADA, firmware di controller e servizi di manutenzione remota secondo criteri di cybersecurity. Includi nei contratti clausole che richiedono: divulgazione di vulnerabilità trovate, disponibilità di patch in tempi certi, notifica di incidenti di sicurezza che impattano i tuoi sistemi, e diritto di audit sulla sicurezza dei prodotti forniti.
Tutti gli accessi remoti a sistemi di controllo industriale (sia da tecnici in manutenzione che da fornitori) devono avvenire tramite VPN crittografata, con autenticazione forte, registrazione di ogni sessione, e timeout automatico. Devi implementare jump server/bastion host dedicati, limitare gli account di servizio permanenti, e richiedere multi-fattore per accessi sensibili. Audita regolarmente chi ha accesso e per quanto tempo.
Devi notificare all'ACN entro 24 ore qualsiasi incidente che compromette la confidenzialità, integrità o disponibilità di sistemi di controllo di produzione, anche se non c'è perdita immediata di dati. Se l'incidente causa disruption di produzione con impatto economico significativo, il resoconto ampliato deve pervenire entro 72 ore. Implementa strumenti SIEM per monitorare anomalie in tempo reale e definisci procedure di isolamento rapido delle linee colpite.
Rientrano i PLC e controller SCADA che governano linee di produzione core, sistemi di automazione warehouse, controllori di energia/utilities in stabilimento, e qualsiasi ICS connesso a rete aziendale o cloud. Se il malfunzionamento comporta fermo produttivo superiore a 2-4 ore o perdita economica significativa, devi applicare la protezione NIS2. Esegui una valutazione del rischio per ogni asset connesso.
La registrazione deve avvenire tra il 1° gennaio e il 28 febbraio di ogni anno presso la piattaforma ACN. Poiché il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024, la prima finestra di registrazione è stata 1 gennaio - 28 febbraio 2025. Se non ancora registrato, completa la procedura entro la prossima scadenza annuale e notifica eventuali correzioni tempestivamente.
Per entità di importanza nazionale (Allegato II), le sanzioni amministrative per violazioni essenziali raggiungono fino a €7 milioni o il 1,4% del fatturato annuale, qualunque sia il maggiore. Per violazioni non essenziali sono previste sanzioni minori. Il mancato rispetto degli obblighi di incident reporting o la falsa dichiarazione nella registrazione ACN comportano irrogazione di multa entro 90 giorni dalla constatazione della violazione.