Per anni, la sicurezza informatica industriale è stata affrontata principalmente in termini di protezione della rete: firewall, segmentazione, VPN e accesso remoto sicuro. Questi aspetti rimangono essenziali, ma il dibattito sta cambiando.
Man mano che i prodotti industriali diventano sempre più connessi, basati su software e gestibili da remoto, la sicurezza informatica non può più limitarsi ai confini della rete. Deve estendersi al modo in cui i prodotti vengono progettati, sviluppati, aggiornati e supportati per tutta la loro vita operativa.
Nel 2026, questa transizione sta diventando particolarmente evidente. I requisiti normativi europei stanno entrando in fase di attuazione, gli standard di sicurezza informatica stanno influenzando sempre più profondamente la progettazione dei prodotti e ai produttori viene chiesto di assumersi una maggiore responsabilità per ciò che accade ai prodotti dopo la loro immissione sul mercato.
Per i costruttori di macchine e i fornitori di tecnologia industriale, la domanda si sta quindi evolvendo da «Come proteggiamo una macchina connessa?» a «Come ne manteniamo la resilienza informatica nel tempo?».
Il panorama normativo europeo fornisce uno dei segnali più chiari di questo cambiamento. Il Cyber Resilience Act (CRA) introduce requisiti obbligatori di sicurezza informatica per i prodotti con elementi digitali, affrontando la sicurezza informatica nelle fasi di pianificazione, progettazione, sviluppo e manutenzione.
La maggior parte degli obblighi previsti dal CRA entrerà in vigore a partire da dicembre 2027, ma una tappa fondamentale è prevista prima: a partire dall’11 settembre 2026 entreranno in vigore gli obblighi di segnalazione relativi alle vulnerabilità attivamente sfruttate e agli incidenti gravi. Il quadro normativo prevede un allarme preventivo entro 24 ore e un’ulteriore notifica entro 72 ore.
L’importanza va oltre la semplice segnalazione. Il CRA rafforza un cambiamento fondamentale di prospettiva: un prodotto non può essere semplicemente considerato sicuro quando esce dalla fase di sviluppo o viene installato su un dispositivo. Le vulnerabilità possono emergere in un secondo momento, le dipendenze software si evolvono, le minacce cambiano e i prodotti distribuiti potrebbero richiedere aggiornamenti di sicurezza.
La sicurezza diventa quindi una responsabilità che accompagna l’intero ciclo di vita.
C’è un altro motivo per cui si sta verificando questo cambiamento: le stesse architetture industriali sono cambiate.
HMI, PC industriali, gateway e controllori comunicano sempre più spesso con sistemi aziendali, servizi remoti, piattaforme cloud e altre macchine. Il software può essere aggiornato da remoto, i dati operativi possono viaggiare al di fuori della macchina e le applicazioni si basano sempre più su componenti software interconnessi.
La tradizionale distinzione tra un ambiente OT isolato e l’infrastruttura IT esterna sta quindi diventando meno netta. Ciò non rende meno importanti le VPN, i firewall, l’accesso remoto sicuro o la segmentazione della rete. Al contrario: rimangono componenti fondamentali della sicurezza informatica industriale.
Ma proteggere la connettività è solo una parte della protezione del prodotto. Una connessione sicura non significa automaticamente che il software che la supporta sia stato sviluppato in modo sicuro, che le vulnerabilità siano gestite sistematicamente, che un aggiornamento sia affidabile o che il prodotto possa continuare a essere supportato in modo sicuro per tutta la sua durata prevista.
La sicurezza informatica si spinge quindi sempre più in profondità nell’ingegneria di prodotto.
È qui che standard come la norma IEC 62443 assumono particolare rilevanza. Uno dei loro principi chiave è che la sicurezza non può dipendere esclusivamente dalle caratteristiche finali di un prodotto; anche i processi utilizzati per progettare, sviluppare e mantenere quel prodotto sono importanti.
La norma IEC 62443-4-1 affronta il ciclo di vita dello sviluppo sicuro del prodotto, integrando la sicurezza informatica nelle pratiche ingegneristiche attraverso aspetti quali i requisiti di sicurezza, la progettazione sicura, la verifica, la gestione delle vulnerabilità e gli aggiornamenti di sicurezza. La norma IEC 62443-4-2, al contrario, affronta i requisiti tecnici di sicurezza a livello di componenti.
Questa distinzione evidenzia un concetto più ampio rispetto alla certificazione in sé. La sicurezza informatica non è semplicemente un certificato da ottenere o un insieme di funzionalità di sicurezza da aggiungere a un prodotto. Si tratta di una disciplina ingegneristica continua che coinvolge sia i processi che i prodotti.
Ciò modifica anche il rapporto tra i produttori e i prodotti già in funzione sul campo.
Tradizionalmente, lo sviluppo dei prodotti industriali poteva essere visto in gran parte in base alle fasi di rilascio: sviluppo, convalida, produzione, implementazione e assistenza. I prodotti connessi richiedono un rapporto più continuo.
Una vulnerabilità scoperta anni dopo l’implementazione potrebbe comunque dover essere valutata. È necessario comprendere i componenti software e le dipendenze. Gli aggiornamenti di sicurezza potrebbero dover raggiungere le apparecchiature già operative presso le sedi dei clienti. I produttori hanno inoltre bisogno di processi definiti attraverso i quali le vulnerabilità possano essere segnalate, valutate e comunicate in modo responsabile.
Ciò solleva questioni pratiche per il mondo industriale: per quanto tempo un prodotto sarà supportato? Come si possono aggiornare i dispositivi già in uso? Come vengono segnalate e valutate le vulnerabilità? Cosa succede quando emerge un problema di sicurezza anni dopo la messa in servizio?
Queste non sono più domande riservate esclusivamente agli specialisti della sicurezza informatica. Coinvolgono sempre più i reparti di ricerca e sviluppo, ingegneria, gestione dei prodotti, qualità e assistenza post-vendita. La sicurezza informatica sta diventando parte integrante della gestione del ciclo di vita del prodotto stesso.
Per EXOR International, il conseguimento della certificazione IEC 62443-4-1:2018 al Livello di Maturità 2 per il proprio Ciclo di Vita di Sviluppo Sicuro rappresenta un’importante pietra miliare, ma non la fine del percorso.
L’azienda sta proseguendo questo lavoro a livello di prodotto, perseguendo la certificazione IEC 62443-4-2 per hardware di nuova generazione selezionato. La distinzione è significativa: i prodotti sicuri richiedono sia processi di ingegneria orientati alla sicurezza sia funzionalità tecniche di sicurezza implementate nei prodotti stessi.
Questo è anche il motivo per cui la gestione delle vulnerabilità non può iniziare solo quando la normativa lo richiede. EXOR International ha già istituito un processo pubblico di segnalazione delle vulnerabilità attraverso il quale i ricercatori di sicurezza esterni possono segnalare potenziali problemi di sicurezza che interessano i suoi prodotti e servizi. Il processo definisce i canali di segnalazione, i principi di divulgazione coordinata e le procedure per la gestione delle vulnerabilità segnalate.
Nel loro insieme, queste iniziative riflettono un principio più ampio: la sicurezza informatica non è un certificato da esibire, ma una capacità che deve essere costruita, mantenuta e dimostrata nel tempo.
La trasformazione in atto nel 2026 va oltre il CRA o qualsiasi standard individuale. La sicurezza informatica industriale si sta spostando dalla protezione perimetrale alla resilienza del ciclo di vita, dalle singole funzionalità di sicurezza allo sviluppo sicuro e da esercizi di conformità una tantum a una responsabilità continua.
Per gli OEM e i fornitori di tecnologia industriale, ciò cambia la domanda fondamentale. Non si tratta più solo di chiedersi: «Questo prodotto è sicuro oggi?», ma sempre più spesso di chiedersi: «Siamo in grado di sviluppare, mantenere, aggiornare e supportare questo prodotto in modo sicuro per tutta la sua vita operativa?».
In EXOR International, questa è la direzione alla base del lavoro già in corso: un processo di sviluppo sicuro certificato, una gestione strutturata delle vulnerabilità e un percorso continuo verso requisiti tecnici di sicurezza implementati e valutati a livello di prodotto.
Perché, in definitiva, la sicurezza informatica non è un certificato da esibire. Il certificato ha importanza quando dimostra qualcosa di concreto: processi e prodotti progettati per rimanere affidabili mentre la tecnologia, le minacce e i requisiti normativi continuano a evolversi.