La digitalizzazione industriale ha trasformato macchine, impianti e sistemi di controllo in fonti continue di dati strategici. Sensori IoT (Internet of Things), PLC (Programmable Logic Control), sistemi SCADA (Supervisory Control And Data Acquisition), piattaforme MES (Manufacturing Execution System) e servizi cloud generano informazioni indispensabili per: ottimizzare la produzione; migliorare la manutenzione predittiva; supportare nuove forme di servitizzazione.
È doveroso evidenziare che, per molti anni, questi dati sono rimasti confinati all’interno di ecosistemi proprietari, creando fenomeni di vendor lock-in che hanno limitato la libertà delle imprese nella scelta di fornitori e di piattaforme. Oggi, con l’entrata in vigore del Regolamento (UE) 2023/2854, noto come Data Act, l’Unione Europea introduce un quadro normativo destinato a modificare profondamente le regole di accesso, di utilizzo, di condivisione e di portabilità dei dati generati dai prodotti e dai servizi connessi.
Gli obblighi sono entrati in vigore dal 12 settembre 2025 e interessano direttamente anche il mondo dell’Operational Technology (OT), imponendo nuove responsabilità a produttori di macchinari, a system integrator, a provider cloud e ad utilizzatori industriali.
Indice degli argomenti
Il Data Act: obiettivi e principi fondamentali
Il Data Act rappresenta uno dei pilastri della strategia europea sui dati e si inserisce in un contesto normativo che comprende: il Data Governance Act, il Cyber Resilience Act e l’AI Act. L’obiettivo principale è favorire la circolazione dei dati all’interno del mercato unico europeo, garantendo agli utenti un maggiore controllo sulle informazioni generate dai dispositivi connessi.
Il regolamento si applica ai dati prodotti dall’utilizzo di prodotti connessi e servizi correlati, includendo: dispositivi IoT, sistemi industriali, macchinari intelligenti, apparecchiature di produzione, infrastrutture edge e servizi cloud. Di fatto, una grande quantità di dati generati negli ambienti OT rientra direttamente nell’ambito applicativo della normativa.
I principi cardine del Data Act possono essere sintetizzati in quattro elementi fondamentali, quali:
- Accesso ai dati in condizioni eque, ragionevoli e non discriminatorie
- Portabilità tecnica dei dati verso altri fornitori o piattaforme
- Interoperabilità tra sistemi e servizi differenti
- Eliminazione delle clausole contrattuali che ostacolano la condivisione o il trasferimento dei dati.
Il regolamento mira a promuovere concorrenza, innovazione e libertà di scelta, evitando che i dati generati da una macchina o da un impianto rimangano sotto il controllo esclusivo del produttore o del provider tecnologico.
L’impatto del Data Act sui protocolli industriali
Se nel mondo IT l’interoperabilità è da tempo una priorità consolidata, negli ambienti industriali la situazione è più complessa. Molte infrastrutture OT sono caratterizzate da protocolli proprietari, sistemi legacy e architetture progettate in epoche in cui la condivisione dei dati non rappresentava un requisito fondamentale.
Il Data Act cambia radicalmente questo scenario dato che le organizzazioni dovranno garantire che i dati generati da macchinari e da sistemi industriali possano essere esportati, trasferiti e riutilizzati senza dipendere esclusivamente dal fornitore originario. Di fatto, tale requisito coinvolge direttamente protocolli di comunicazione ampiamente utilizzati, quali:
- OPC UA (Open Platform Communications Unified Architecture)
- MQTT (Message Queuing Telemetry Transport)
- Modbus
- Profinet (Process Field Net)
- EtherNet/IP
- BACnet (Building Automation and Control Network) nei sistemi di building automation
- DNP3 (Distributed Network Protocol 3) nelle infrastrutture energetiche.
È importante evidenziare che la semplice disponibilità del dato non sarà sufficiente. Ovvero, sarà necessario garantire che le informazioni siano comprensibili, documentate e utilizzabili da sistemi terzi, attraverso interfacce standardizzate, API pubbliche e modelli informativi condivisi.
Pertanto, un impianto produttivo, che oggi comunica esclusivamente tramite protocolli proprietari, potrebbe trovarsi nella necessità di introdurre meccanismi di conversione e normalizzazione per consentire l’esportazione delle informazioni in formati aperti e interoperabili.
Technical debt e retrofit negli impianti OT
Molte aziende manifatturiere operano con macchine che hanno cicli di vita superiori ai vent’anni e che non sono state progettate per supportare requisiti di interoperabilità avanzata.
Il Data Act non impone la sostituzione degli impianti esistenti, ma rende necessario colmare il divario tecnologico attraverso soluzioni di retrofit. Ne consegue che le organizzazioni dovranno, ove necessario, introdurre:
- gateway di protocol conversion;
- edge device per la raccolta dati;
- middleware di integrazione;
- piattaforme di semantic normalization;
- data broker industriali.
L’obiettivo è trasformare dati grezzi provenienti da protocolli eterogenei in informazioni coerenti e facilmente trasferibili verso applicazioni cloud, piattaforme analitiche o servizi di terze parti. Inoltre, l’adozione di OPC UA, in questo contesto, assume un ruolo particolarmente rilevante grazie alla sua capacità di integrare trasporto dati, sicurezza e modellazione semantica all’interno di uno standard aperto riconosciuto a livello internazionale.
Compliance operativa: da dove partire
L’adeguamento al Data Act richiede un approccio multidisciplinare che coinvolga funzioni OT, IT, legali e procurement nelle varie attività.
Inventario dei dati e dei dispositivi
Il primo passo, per avviare il percorso di compliance, consiste nella mappatura degli asset connessi e dei dati generati. Molte aziende, ad oggi, non dispongono ancora di una visione completa delle informazioni prodotte dai propri impianti. Di fatto si tratta di identificare:
- Dispositivi e macchine connesse;
- Tipologie di dati raccolti
- Frequenza di generazione
- Modalità di archiviazione
- Soggetti che possono accedervi
- Vincoli contrattuali esistenti.
Classificazione e ownership dei dati
La definizione dei ruoli è un altro aspetto essenziale e, a tal proposito, il Data Act introduce concetti, quali:
- Data Holder – soggetto che detiene il controllo dei dati
- Data User – soggetto che utilizza il prodotto o il servizio generatore dei dati
- Data Recipient – soggetto terzo autorizzato a ricevere le informazioni.
È importante evidenziare che la chiara attribuzione delle responsabilità riduce il rischio di controversie e facilita la gestione delle richieste di accesso.
API, formati aperti e metadati
Uno dei requisiti più concreti introdotti dalla normativa riguarda la disponibilità di interfacce tecniche che consentano la portabilità dei dati. Ne consegue che le organizzazioni dovrebbero considerare:
- API REST (Representational State Transfer) documentate
- Servizi gRPC (Remote Procedure Call) per applicazioni ad alte prestazioni
- Esportazioni JSON (JavaScript Object Notation) e CSV (Comma-Separated Values)
- Modelli OPC UA Information Model
- Cataloghi dati interoperabili.
Inoltre, particolare importanza assume la gestione dei metadati. Ovvero: un dataset esportato senza informazioni contestuali rischia, infatti, di risultare inutilizzabile. Pertanto, diventa essenziale fornire:
- Origine del dato
- Unità di misura
- Timestamp
- Frequenza di aggiornamento
- Qualità e affidabilità dell’informazione
- Relazioni con altri asset industriali.
È importante evidenziare, altresì, che l’interoperabilità non riguarda soltanto il trasferimento dei dati, ma anche la loro comprensibilità.
Contratti e revisione delle clausole B2B
L’impatto del Data Act non si limita alla tecnologia, ma si estende anche alla contrattualistica. Pertanto, molte organizzazioni dovranno rivedere i contratti con:
- Fornitori di macchinari
- Cloud provider
- System integrator
- Software vendor
- Operatori di servizi industriali.
Inoltre, le clausole che impediscono o limitano ingiustificatamente l’accesso ai dati potrebbero risultare incompatibili con il nuovo quadro normativo.
Ancora, particolare attenzione dovrà essere riservata a:
- Diritti di utilizzo dei dati
- Modalità di esportazione
- Costi di switching
- Tempi di trasferimento
- Responsabilità in caso di interruzione del servizio
- Livelli di servizio (SLA).
Pertanto, le organizzazioni dovranno assicurarsi che le condizioni applicate siano eque, ragionevoli e non discriminatorie.
Sicurezza OT e Data Act: come trovare il giusto equilibrio
L’accesso e la condivisione dei dati promossi dal Data Act rappresentano una grande opportunità per innovazione, efficienza e nuovi modelli di business. Tuttavia, una maggiore apertura delle informazioni non deve compromettere la sicurezza degli ambienti industriali.
I sistemi OT (Operational Technology) gestiscono processi produttivi e infrastrutture critiche, dove disponibilità, integrità dei dati e continuità operativa sono requisiti imprescindibili. Un’interruzione o una compromissione di questi sistemi può avere conseguenze rilevanti sia dal punto di vista economico sia della sicurezza.
Per questo motivo, ogni iniziativa volta a favorire interoperabilità, condivisione dei dati e integrazione tra sistemi deve essere accompagnata da adeguate misure di cybersecurity e governance, tra cui:
- Segmentazione delle reti OT
- Autenticazione multi-fattore
- Gestione centralizzata delle identità
- Crittografia dei dati in transito e a riposo
- Monitoraggio continuo degli accessi
- Logging e tracciabilità delle operazioni.
La disponibilità di API e interfacce aperte aumenta, inevitabilmente la superficie di attacco. Per questo motivo è necessario integrare i requisiti del Data Act con quelli derivanti dalla direttiva NIS2 e dagli standard IEC 62443.
Governance, audit e accountability
Per dimostrare la conformità sarà necessario implementare un adeguato sistema di governance dei dati.
Le aziende dovrebbero definire:
- Processi di autorizzazione
- Workflow di approvazione delle richieste
- Registrazione degli accessi
- Procedure di auditing
- Responsabilità organizzative.
In caso di contestazioni o verifiche da parte delle autorità competenti, la capacità di dimostrare chi ha avuto accesso ai dati, quando e per quali finalità rappresenterà un elemento fondamentale.
La compliance non sarà quindi un semplice esercizio documentale, ma una capacità operativa da mantenere nel tempo.
Standard e certificazioni: il ruolo dell’industria 4.0
Uno degli effetti più significativi del Data Act sarà l’accelerazione dell’adozione di standard aperti.
In particolare, acquisiranno crescente importanza:
- OPC UA Companion Specifications
- Asset Administration Shell (AAS)
- MQTT Sparkplug;
- Digital Twin standardizzati
- Framework semantici interoperabili.
Le aziende che sviluppano prodotti e servizi OT dovranno dimostrare di poter supportare efficacemente processi di importazione ed esportazione dei dati.
La capacità di garantire interoperabilità potrebbe diventare un requisito essenziale nelle gare pubbliche, nei processi di qualificazione dei fornitori e nei programmi di trasformazione digitale industriale.
Checklist operativa per i team OT e IT
Per prepararsi all’applicazione del Data Act è opportuno seguire una roadmap così strutturata:
- Censire dispositivi connessi e dati generati
- Identificare protocolli OT utilizzati e relativi limiti
- Valutare gap di interoperabilità e portabilità
- Implementare gateway e adapter di normalizzazione
- Adottare formati dati aperti
- Pubblicare API documentate
- Definire politiche di accesso e gestione delle autorizzazioni
- Aggiornare SLA e procedure di switching
- Rivedere contratti con fornitori e partner
- Rafforzare controlli di sicurezza OT
- Introdurre processi di audit e monitoraggio continuo.
Un caso pratico di adeguamento
Si consideri un costruttore di macchine automatiche che fornisce ai clienti una piattaforma cloud proprietaria per il monitoraggio remoto.
Per adeguarsi al Data Act, l’azienda implementa un gateway OPC UA capace di raccogliere dati dai PLC di linea, normalizzarli secondo modelli informativi standard e renderli disponibili tramite API REST in formato JSON.
Ciò permette al cliente sia di trasferire le informazioni verso piattaforme cloud differenti o integrarle con strumenti analitici di terze parti (senza dipendere dal fornitore originario) sia di soddisfare i requisiti di portabilità, interoperabilità e libertà di scelta previsti dal regolamento.
Raccomandazioni strategiche
Nel breve periodo le organizzazioni dovrebbero avviare una gap analysis focalizzata su contratti, architetture dati, protocolli industriali e modalità di accesso alle informazioni generate dagli asset OT.
È consigliabile, altresì, dare priorità agli impianti critici, alle linee produttive multi-vendor e ai sistemi che utilizzano piattaforme cloud proprietarie.
Inoltre, nel medio termine occorrerà: evolvere verso architetture basate su standard aperti; adottare cataloghi dati e strumenti di metadata management; integrare modelli semantici condivisi; aggiornare la contrattualistica secondo i principi introdotti dal Data Act.
Le imprese che inizieranno per tempo questo percorso potranno trasformare un adempimento normativo in un’opportunità di innovazione, oltre a migliorare la flessibilità operativa a ridurre la dipendenza tecnologica dai singoli fornitori.
Partecipa alla community