NIS2 e macchine: cosa chiede per PLC, pannelli e teleassistenza
Per le aziende entrate nell'elenco NIS ad aprile 2025, le misure di sicurezza andavano adottate entro metà ottobre. Valgono anche per i PLC, i pannelli operatore e i router con cui il costruttore fa teleassistenza.
In questo articolo
Di NIS2 si parla da due anni, quasi sempre per gli uffici: posta, password, server, copie dei dati. Ma il decreto che l'ha portata in Italia, il D.Lgs. 138 del 2024, e le misure dell'Agenzia per la cybersicurezza nazionale (ACN) toccano anche quello che sta in reparto.
Parliamo dei PLC, dei pannelli operatore, dei PC di supervisione, dei router con cui il costruttore si collega alla macchina: gli oggetti su cui lavoriamo tutti i giorni. Qui trovi cosa chiedono, con il riferimento accanto, riletto sui testi in vigore al 15 ottobre 2026: il decreto, mai modificato dal 2024, e la determinazione ACN 379907 del 19 dicembre 2025.
Una scadenza diversa per ogni azienda
Le aziende che rientrano nella NIS2 si registrano sulla piattaforma ACN. L'Agenzia compila l'elenco e manda a ciascuna una comunicazione di inserimento. Per chi è entrato nell'elenco nel 2025, da quel giorno corrono due termini, scritti nel decreto (art. 42) e nella determinazione: nove mesi per cominciare a notificare gli incidenti, diciotto mesi per adottare le misure di sicurezza.
Le prime comunicazioni sono partite via PEC il 12 e 13 aprile 2025. Il giorno esatto della scadenza l'ACN non lo scrive, dice «entro ottobre 2026», ma il conto è semplice: per quelle aziende i diciotto mesi sono finiti il 12 o il 13 ottobre 2026.
Il «31 ottobre» che si legge in molte guide non compare in nessun testo dell'Agenzia. Se la PEC dell'ACN ti è arrivata ad aprile 2025 e contavi sul 31 ottobre, il termine è già passato.
- Partono le prime comunicazioni ACN di inserimento nell'elenco NIS, via PEC.
- Per quelle aziende scatta l'obbligo di notificare gli incidenti significativi.
- Si applicano le misure di base nella versione attuale (determinazione ACN 379907/2025).
- Scadono i diciotto mesi per le misure di sicurezza delle prime aziende in elenco.
- Finestra per registrarsi o aggiornare la registrazione.
- Termine per le misure di chi è entrato nell'elenco nel 2026 (determinazione ACN 127434/2026).
Chi è entrato nell'elenco più avanti nel 2025 conta i diciotto mesi dalla data della propria comunicazione. Chi è entrato nel 2026 ha un termine fisso: il 31 luglio 2027.
Dopo la scadenza l'Agenzia non manda ispettori a sorpresa nelle aziende «importanti», che sono quasi tutte le fabbriche: può farlo quando ha indizi di una violazione, per esempio dopo un incidente o una segnalazione (art. 36). Le sanzioni per chi non applica le misure arrivano, per un soggetto importante, fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo (art. 38).
Chi è dentro, settore per settore
Sono dentro le imprese medie e grandi che svolgono un'attività elencata negli allegati del decreto. Per l'ACN basta svolgerla anche solo in parte, e conta quello che l'azienda fa più del codice ATECO scritto in visura. Media impresa vuol dire 50 addetti o più, oppure fatturato e bilancio entrambi sopra i 10 milioni di euro, sommando le società collegate.
Per le fabbriche conta l'allegato II. Nel 2025 l'elenco contava oltre 21.800 soggetti: più di 4.000 nella fabbricazione, più di 3.000 negli alimenti, più di 1.000 nella chimica. Sono quasi tutti soggetti «importanti», anche quando sono grandi. Ecco come si collocano i settori in cui lavoriamo, dalla media impresa in su.
| Settore | Nella NIS2? | Perché |
|---|---|---|
| Cavi e fibra ottica | Sì | Fabbricazione di apparecchiature elettriche, divisione 27 (ATECO 27.31 e 27.32). |
| Costruttori di macchine | Sì | Divisione 28, comprese le macchine per l'imballaggio e per l'industria alimentare. |
| Quadri elettrici | Sì | Divisione 27 (ATECO 27.12). |
| Alimentare e bevande | Sì, se industriale | Produzione e trasformazione industriale, distribuzione all'ingrosso. |
| Chimico | Sì | Fabbricazione di sostanze e distribuzione di sostanze o miscele, per chi è soggetto al REACH. |
| Gomma, packaging, metalmeccanico | Da valutare | Non sono fra le fabbricazioni dell'allegato II; possono entrare dalla chimica come «produttori di articoli». |
L'ultima riga è la più incerta. Il decreto mette nella chimica anche chi produce articoli a partire da sostanze o miscele, con la definizione del regolamento REACH: letta alla lettera, potrebbe coprire pneumatici, imballaggi, pezzi stampati. La Commissione europea ha proposto a gennaio 2026 di restringerla, ma è ancora una proposta, all'esame del Parlamento europeo. Va valutato caso per caso.
Per la legge, un PLC è un sistema informativo
La NIS2 chiede misure per i «sistemi informativi e di rete», e il decreto li definisce così:
«Qualsiasi dispositivo o gruppo di dispositivi interconnessi o collegati, uno o più dei quali eseguono, in base ad un programma, un trattamento automatico di dati digitali.»
D.Lgs. 138/2024, art. 2, comma 1, lettera p), n. 2
Un PLC esegue un programma su dati digitali, e lo stesso fanno il pannello operatore, il PC di supervisione, l'azionamento in rete, il router. Sulle torri per la fibra ottica che abbiamo automatizzato, per esempio, il pannello operatore di ogni torre è in rete con il resto della macchina.
Nelle sue risposte alle domande frequenti l'ACN scrive che le misure si applicano, in linea di principio, a tutti i sistemi dell'azienda. Alcune si possono limitare ai sistemi «rilevanti»: quelli che, se compromessi, colpirebbero in modo significativo l'attività per cui l'azienda è in elenco. In una fabbrica quell'attività è la produzione.
La guida ACN alla lettura delle misure non nomina mai PLC né SCADA. Nelle 37 misure per i soggetti importanti la sigla OT, la tecnologia operativa delle linee, compare una volta sola, nella misura sull'inventario:
«È mantenuto un inventario aggiornato degli apparati fisici (hardware) che compongono i sistemi informativi e di rete, ivi inclusi i dispositivi IT, IoT, OT e mobili […].»
Determinazione ACN 379907/2025, allegato 1, misura ID.AM-01
Quando un fermo diventa un incidente
Le aziende in elenco notificano gli incidenti significativi al CSIRT Italia, la struttura dell'ACN che raccoglie le segnalazioni: una pre-notifica entro 24 ore da quando ne hanno evidenza, una notifica entro 72 ore, una relazione finale entro un mese dalla notifica (art. 25).
Per un soggetto importante i casi di incidente significativo sono tre. Il terzo è la violazione dei livelli di servizio attesi. Quei livelli li fissa l'azienda stessa per le sue attività, di solito come disponibilità, e fra gli esempi di attività la guida ACN mette proprio la produzione.
Per l'ACN la causa non conta: rientrano anche i malfunzionamenti e gli errori umani. Serve però un evento che colpisca i sistemi informativi e di rete. Un cuscinetto rotto non è un incidente NIS. Un PLC bloccato da un attacco, o da una configurazione sbagliata, che ferma la linea oltre il livello fissato può esserlo.
Scrivendo quei livelli, quindi, l'azienda decide da sola quando un fermo andrà notificato. Conviene scriverli anche con chi segue le linee in reparto.
Cosa chiedono le misure alle macchine
Le misure sono 37 per i soggetti importanti e 43 per gli essenziali. Queste sono quelle che in reparto si toccano con mano.
L'inventario
Vanno tenuti aggiornati l'elenco dell'hardware, OT compreso, e quello del software, compreso quello scritto su misura (ID.AM-01 e ID.AM-02). Per una linea vuol dire ogni CPU, pannello, PC, switch, router e modem, con modello e versione. I programmi dei PLC, scritti per quella macchina, sono software su misura.
Il punto di partenza sono gli schemi elettrici aggiornati. Se la linea l'abbiamo fatta noi, con il numero di commessa recuperi schemi, backup del PLC e distinte dei componenti. Se gli schemi non sono più quelli del quadro, si rifanno dal rilievo, morsetto per morsetto: è il primo passo dei nostri revamping.
Il software che non si aggiorna più
In base alla valutazione del rischio, si installa solo software, sistemi operativi compresi, per cui sono garantiti aggiornamenti di sicurezza (PR.PS-02). Microsoft non aggiorna più dal 2018 Windows Embedded CE 6.0, il sistema di pannelli ancora in vendita come il Siemens TP700 Comfort. Per Windows 10 2016 LTSB il supporto è finito il 13 ottobre 2026.
Siemens ha tolto dal listino l'S7-300 il 1º ottobre 2025, e per una vulnerabilità nota della famiglia scrive che al momento non è prevista nessuna correzione: consiglia di proteggere l'accesso di rete al PLC.
La misura ammette una deroga per «motivate e documentate ragioni normative o tecniche»: le misure compensative e il rischio che resta si scrivono nel piano di trattamento del rischio, che approvano i vertici dell'azienda (ID.RA-06). L'ACN porta l'esempio dei dispositivi medici, che con un antivirus potrebbero perdere la certificazione. Se valga anche per un pannello validato dal costruttore della macchina va valutato caso per caso.
La deroga non copre il registro degli accessi remoti, l'elenco dei sistemi raggiungibili da fuori, l'inventario e i backup.
Per i sistemi che non si aggiornano, una guida di gennaio 2026 delle agenzie di sicurezza britannica, americane, tedesca e olandese indica le misure compensative: separare la macchina dal resto della rete, farla raggiungere solo da chi serve e quando serve, registrare chi entra. Le considera misure di passaggio, finché l'apparecchio non si sostituisce.
Sostituire i pezzi che non ricevono più aggiornamenti, tenendo il resto, è il lavoro che facciamo nel revamping: cambiamo CPU e pannello, e di solito il campo resta dov'è.
Backup e chiavette
Vanno fatti backup periodici dei dati e delle configurazioni, con copie offline per i sistemi rilevanti (PR.DS-11). Su una linea le configurazioni sono il programma del PLC, il progetto del pannello, le ricette, i parametri degli azionamenti. Alla fine dei nostri collaudi lasciamo i backup di PLC, pannello e azionamenti, con la versione rimasta in macchina e la data sopra.
Le chiavette USB vanno controllate prima dell'uso, con l'esecuzione automatica disattivata (PR.DS-01). Vale anche per quella del tecnico esterno che carica un aggiornamento sul pannello.
La teleassistenza, punto per punto
È la parte che riguarda di più chi costruisce e mantiene le macchine. Le misure da guardare sono quattro, tre sull'accesso remoto e una sull'autenticazione:
- le utenze per l'accesso remoto sono censite, approvate e individuali, salvo ragioni tecniche documentate (PR.AA-01);
- sui sistemi rilevanti si usa l'autenticazione a più fattori, secondo la valutazione del rischio (PR.AA-03);
- tutti gli accessi remoti sono registrati, senza filtri né deroghe (PR.PS-04);
- c'è un elenco aggiornato dei sistemi raggiungibili da remoto, con il modo di accesso (PR.IR-01).
Sulle linee si trova ancora il router del costruttore sempre acceso, con una password che usano tutti i suoi tecnici e nessun registro degli accessi. Con queste misure il registro serve sempre, e la password comune è ammessa solo con una ragione tecnica scritta.
Di ogni sessione di teleassistenza deve restare scritto chi è entrato, quando e con quale utenza.
Il 19 agosto 2026 cinque autorità federali statunitensi, fra cui CISA, NSA e FBI, hanno pubblicato un avviso: c'è chi cerca su internet i PLC Siemens S7 raggiungibili da fuori, comprese le serie S7-300 e S7-400, e prepara gli strumenti per entrarci. I casi descritti riguardano impianti negli Stati Uniti; l'ACN ha ripreso l'avviso nel suo bollettino di agosto.
L'avviso raccomanda l'autenticazione a più fattori per ogni accesso remoto alla rete delle macchine. E avverte che chi lavora con integratori collegati da remoto può non sapere di essere esposto.
Se un incidente nasce dalla teleassistenza di un fornitore, la notifica al CSIRT resta all'azienda cliente. Per questo l'ACN chiede di prevedere nel contratto che il fornitore segnali subito gli eventi di sicurezza.
I contratti cambiano al rinnovo
Il decreto chiede di gestire la sicurezza della catena di approvvigionamento (art. 24). Fra le misure dell'ACN, tre toccano da vicino chi fornisce e mantiene le macchine: un inventario dei fornitori che possono avere effetti sulla sicurezza, una valutazione del rischio delle forniture, requisiti di sicurezza nelle richieste d'offerta e nei contratti (GV.SC-04, 05 e 07).
I contratti in corso non vanno rinegoziati. Dalla scadenza delle misure, però, ogni contratto nuovo, rinnovato o prorogato con un fornitore di quel tipo deve contenere i requisiti, salvo ragioni tecniche o normative scritte. Per le aziende entrate in elenco ad aprile 2025 l'obbligo è partito a metà ottobre 2026.
Può valere per l'ordine di una linea, per un revamping, per un contratto di assistenza con accesso remoto. I requisiti vanno proporzionati, e non tutti si girano al fornitore. Se la prossima linea o il prossimo revamping li chiedi a noi, metti i requisiti nella richiesta tecnica: ti diciamo punto per punto cosa facciamo e cosa no, prima del preventivo.
Dal 2026, poi, ogni anno fra il 15 aprile e il 31 maggio le aziende in elenco comunicano all'ACN i loro fornitori rilevanti, con nome e codice fiscale: quelli informatici e quelli «non fungibili», difficili da sostituire. Fra questi l'Agenzia può scegliere chi far entrare nella NIS2 anche se piccolo, purché la sua attività sia già fra quelle degli allegati.
Per l'ACN chi interviene sui sistemi del cliente con propri dispositivi collegati, anche in teleassistenza, può essere un «fornitore di servizi gestiti», settore ad alta criticità. Un costruttore o un integratore medio o grande che aggiorna i PLC dei clienti da un proprio router potrebbe rientrarci. L'ACN avverte che questi chiarimenti sono provvisori: va valutato caso per caso.
Chi costruisce le macchine ha poi regole sue: dal 20 gennaio 2027 il nuovo Regolamento Macchine chiede di proteggere il software di sicurezza dalle alterazioni e di tenerne traccia.
Da dove partire
Se la tua azienda è in elenco, o pensi di doverti registrare fra gennaio e febbraio, questi sono i primi passi per le macchine:
- Trova la PEC dell'ACN e segna il tuo termine: diciotto mesi da quella data se è arrivata entro il 2025, il 31 luglio 2027 se è arrivata nel 2026.
- Gira le linee con gli schemi in mano e scrivi ogni PLC, pannello, PC, switch, router e modem, con modello e versione del firmware o del sistema operativo.
- Scrivi chi si collega da remoto a ogni macchina, con quale utenza e da quale dispositivo, e attiva la registrazione degli accessi.
- Fai il backup di ogni programma PLC e di ogni progetto dei pannelli, con la data, e tienine una copia fuori rete.
- Per ogni sistema che non riceve più aggiornamenti decidi: lo sostituisci, oppure scrivi la deroga con le misure compensative e la fai approvare dai vertici.
Il piano di trattamento del rischio e le deroghe da far approvare li scrive l'azienda, con il suo consulente di sicurezza. Per le macchine servono inventario, versioni e backup: è la parte dentro il quadro, e lì lavoriamo noi. Dal 1996 scriviamo il software di PLC e pannelli e costruiamo i quadri che li contengono, su Siemens, Rockwell e Schneider.
