Negli ambienti industriali gli obblighi normativi devono confrontarsi con asset datati, continuità produttiva ed esigenze di safety e security. Una guida ai principali riferimenti per la sicurezza OT e al loro ruolo nella gestione del rischio cyber
NIS2 e sicurezza OT sono strettamente collegate. La direttiva europea NIS2 nasce con l’obiettivo di innalzare e rendere più omogeneo il livello di cybersecurity nell’Unione europea, ampliando rispetto alla precedente NIS sia il numero dei settori e delle organizzazioni coinvolte sia le responsabilità nella gestione del rischio cyber. Il punto è che la NIS2 non chiede semplicemente di adottare una serie di tecnologie di sicurezza: chiede alle organizzazioni di governare il rischio cyber in funzione dei sistemi e dei servizi da cui dipende la loro operatività.
Per le imprese industriali interessate dalla normativa, questo significa includere nella valutazione anche sistemi e reti OT quando dalla loro compromissione possono derivare conseguenze sulla produzione, sulla continuità operativa o sulla sicurezza. Il tema riguarda in particolare la manifattura, l’energia, i trasporti, la gestione delle acque e gli altri settori nei quali le tecnologie operative sostengono processi critici. La sicurezza OT entra quindi nella compliance NIS2 non perché la direttiva prescriva uno specifico modello di cybersecurity industriale, ma perché quei sistemi possono essere parte del rischio che l’organizzazione è tenuta a identificare, valutare e gestire.
Indice degli argomenti
NIS2 e sicurezza OT: gli obblighi per le imprese industriali
In Italia, la NIS2 è stata recepita con il D.Lgs. 138/2024, che individua i soggetti essenziali e importanti interessati dalla disciplina e impone loro misure tecniche, operative e organizzative adeguate e proporzionate ai rischi per la sicurezza dei sistemi informativi e di rete. La normativa adotta un approccio basato sul rischio: non prescrive lo stesso livello di protezione per ogni sistema, ma richiede di commisurarlo alle caratteristiche e alla criticità dei sistemi informativi e di rete utilizzati per le attività dell’organizzazione o per l’erogazione dei servizi.
Devono quindi essere considerati il grado di esposizione al rischio, la probabilità che si verifichi un incidente e la sua gravità, compreso il possibile impatto sociale ed economico.
Più nel dettaglio, la direttiva introduce un approccio multirischio che considera non soltanto gli attacchi informatici, ma le diverse cause che possono compromettere sistemi e servizi e il loro ambiente fisico. Le misure richieste comprendono almeno analisi dei rischi e sicurezza dei sistemi, gestione degli incidenti, continuità operativa (inclusi backup, disaster recovery e gestione delle crisi), sicurezza della supply chain, gestione delle vulnerabilità, verifica dell’efficacia delle misure adottate, cyber hygiene e formazione, crittografia, controllo degli accessi, gestione degli asset e autenticazione.
Negli ambienti OT questo principio assume un significato particolare. La valutazione, infatti, non può fermarsi al valore del dato o alla vulnerabilità tecnica del singolo asset, ma deve considerare anche le conseguenze che la compromissione o l’indisponibilità di sistemi e reti può produrre sul processo fisico e sulla continuità operativa. La stessa Commissione chiarisce che gli obblighi di gestione del rischio riguardano tutte le operazioni e i servizi del soggetto interessato, non soltanto specifici asset IT.
Il ruolo dell’ACN tra vigilanza, controlli e sanzioni
A presidiare l’attuazione di questi obblighi in Italia è l’Agenzia per la cybersicurezza nazionale (ACN), Autorità nazionale competente NIS, cui il D.Lgs. 138/2024 attribuisce anche funzioni di regolamentazione, vigilanza ed esecuzione. Per inciso, la fase di censimento si è conclusa: secondo i dati ACN, sono oltre 20.000 i soggetti individuati in perimetro, di cui più di 5.000 essenziali.
Il 2026 è l’anno in cui gli obblighi diventano pienamente operativi, con la notifica degli incidenti attiva dal gennaio 2026 e le prime verifiche ispettive previste da ottobre 2026. Per i soggetti essenziali, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo.
Come valutare il rischio nella sicurezza OT
È proprio nell’applicazione di questi obblighi agli ambienti OT che emergono le specificità dei sistemi industriali. La criticità di un asset non dipende soltanto dal suo valore tecnologico o dai dati che contiene, ma dalla funzione che svolge nel processo e dalle conseguenze che una sua compromissione o indisponibilità può produrre. Un sistema legacy che non può essere aggiornato, ad esempio, può presentare una maggiore esposizione alle vulnerabilità ma essere indispensabile per mantenere operativo un impianto.
Allo stesso modo, l’interruzione di un sistema apparentemente secondario può bloccare una dipendenza da cui dipende l’intera produzione. Valutare il rischio OT significa quindi considerare insieme condizioni di esposizione, dipendenze, possibilità di intervento e impatto potenziale sulla Safety e sulla Security industriale, per stabilire quali asset richiedono maggiore protezione e quali misure sono concretamente applicabili.
Sicurezza OT: dagli obblighi NIS2 ai controlli tecnici
Il punto di attenzione è che la NIS2 stabilisce che cosa deve essere governato, ma non descrive nel dettaglio come proteggere un ambiente industriale. È in questo contesto che standard, framework e linee guida tecniche permettono alle aziende di tradurre gli obblighi previsti dalla normativa in criteri, processi e controlli applicabili ai sistemi di produzione.
Dalla conformità normativa alla progettazione della sicurezza OT cambia quindi il livello della decisione: una volta identificati e prioritizzati i rischi, bisogna stabilire quali requisiti di sicurezza applicare ai diversi asset e sistemi, quali comunicazioni consentire, quali controlli adottare. Per orientarsi tra i diversi riferimenti è importante distinguerne natura e campo di applicazione.
NOTA: INSERIRE QUI INFOGRAFICA SICUREZZA OT_LA MAPPA DEI RIFERIMENTI NORMATIVI
NIST SP 800-82: adattare la cybersecurity agli ambienti OT
È una guida tecnica pubblicata dal National Institute of Standards and Technology (NIST) statunitense per la sicurezza delle tecnologie operative. L’attuale Revision 3, pubblicata nel 2023, ha ampliato il perimetro dai tradizionali Industrial Control System (ICS) all’insieme dei sistemi OT che interagiscono con l’ambiente fisico, includendo, oltre ai sistemi di controllo industriale, building automation, trasporti e sistemi di controllo degli accessi fisici.
Il suo contributo consiste soprattutto nell’indicare come adattare la cybersecurity alle caratteristiche dell’OT. Performance, affidabilità, disponibilità e safety possono infatti rendere inapplicabili o rischiosi controlli normalmente utilizzati nell’IT. La guida parte quindi da architetture, asset, minacce e vulnerabilità e fornisce indicazioni per selezionare e adattare le contromisure, dalla segmentazione delle reti al controllo degli accessi, dalla protezione delle comunicazioni al monitoraggio e alla gestione delle vulnerabilità.
La Revision 3 comprende anche un OT overlay che adatta i controlli NIST SP 800-53 ai sistemi OT in funzione del loro livello di impatto. Per un’organizzazione soggetta alla NIS2, il valore è quindi operativo: aiuta a passare dall’identificazione del rischio alla scelta di controlli compatibili con il processo industriale che devono proteggere, evitando di trasferire automaticamente nell’OT misure progettate per sistemi IT.
ISA/IEC 62443: progettare la sicurezza dei sistemi industriali
ISA/IEC 62443 è una famiglia di standard internazionali specificamente sviluppata per la cybersecurity dei sistemi di automazione e controllo industriale (IACS). Nata dal lavoro avviato nel 2002 dal comitato ISA99 dell’International Society of Automation e sviluppata con l’International Electrotechnical Commission, definisce requisiti e processi per proteggere questi sistemi lungo il loro ciclo di vita, distribuendo responsabilità tra asset owner, fornitori di servizi, system integrator e produttori di componenti e sistemi. In Europa le diverse parti della serie vengono adottate come norme EN IEC e, in Italia, recepite come CEI EN IEC 62443.
Rispetto a NIST SP 800-82, la serie consente quindi di strutturare più nel dettaglio come progettare e mantenere la sicurezza dell’ambiente industriale in funzione del rischio. Uno dei principi centrali è la suddivisione del sistema in zone, che raggruppano asset con requisiti di sicurezza comuni, e conduits, che governano le comunicazioni tra zone differenti. La valutazione del rischio permette di definire per ciascuna zona e conduit il target security level, cioè il livello di protezione richiesto, e di individuare le contromisure necessarie per raggiungerlo.
La sicurezza non viene quindi applicata indistintamente a tutti gli asset: funzione nel processo, criticità, comunicazioni necessarie e conseguenze di una compromissione determinano requisiti e livelli di protezione differenti. È il passaggio con cui la valutazione del rischio può essere trasformata in un’architettura di sicurezza OT e in responsabilità distribuite lungo l’intero ciclo di vita del sistema.
ISO/IEC 27001: governance e gestione della sicurezza
ISO/IEC 27001 è lo standard internazionale che definisce i requisiti per un sistema di gestione della sicurezza delle informazioni (ISMS). L’edizione attuale, ISO/IEC 27001:2022, richiede all’organizzazione di identificare e valutare i rischi per la sicurezza delle informazioni e di definire processi, responsabilità e controlli per trattarli e migliorarne nel tempo la gestione. È applicabile a organizzazioni di qualsiasi dimensione e settore e, a differenza di ISA/IEC 62443, non è specificamente progettato per gli ambienti OT.
Per un’impresa industriale i due riferimenti possono quindi svolgere funzioni complementari. ISO/IEC 27001 struttura a livello organizzativo la governance e il processo di gestione del rischio; ISA/IEC 62443 permette di declinarli sulle caratteristiche specifiche dei sistemi di automazione e controllo industriale. È una distinzione rilevante anche nell’applicazione della NIS2, perché le misure di cybersecurity devono comprendere sia gli ambienti IT sia quelli OT, che possono richiedere standard e controlli differenti. Un parere dell’Advisory Group di ENISA indica infatti ISO/IEC 27001 come riferimento frequentemente utilizzato per l’IT e ISA/IEC 62443 per l’OT industriale.
ENISA: indicazioni europee e limiti delle guide NIS2
ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, non definisce uno standard OT, ma produce linee guida, raccomandazioni e good practice a supporto delle organizzazioni e degli Stati membri. Sul fronte industriale ha pubblicato nel tempo indicazioni specifiche per la sicurezza di ICS e SCADA, affrontando temi come identificazione degli asset critici, dipendenze delle reti di comunicazione, scenari di attacco, incident response e misure di protezione.
Nel 2025 ENISA ha inoltre pubblicato la NIS2 Technical Implementation Guidance, che fornisce indicazioni operative, esempi di evidenze e mapping con standard esistenti per attuare le misure di gestione del rischio previste dalla NIS2. Il documento ha però un perimetro preciso: supporta l’applicazione del Regolamento di esecuzione (UE) 2024/2690 e riguarda principalmente infrastrutture digitali, fornitori di servizi gestiti e altre categorie di servizi digitali.
Non costituisce quindi una guida generale per implementare la NIS2 negli ambienti OT industriali, anche se ENISA precisa che alcune indicazioni possono essere utili anche ad altre organizzazioni pubbliche e private. Per un’impresa industriale, le pubblicazioni ENISA rappresentano quindi un riferimento istituzionale europeo complementare agli standard tecnici: aiutano a interpretare il quadro normativo e a confrontare le proprie pratiche con raccomandazioni e good practice sviluppate a livello UE, senza sostituire i controlli e i requisiti specifici per l’OT definiti da riferimenti come ISA/IEC 62443.
Cyber Resilience Act: i requisiti per i prodotti utilizzati nell’OT
Nel quadro europeo va considerato anche il Cyber Resilience Act (CRA), Regolamento (UE) 2024/2847, che introduce requisiti obbligatori di cybersecurity per i prodotti con elementi digitali immessi sul mercato dell’Unione. A differenza della NIS2, che impone alle organizzazioni che rientrano nel suo perimetro di gestire i rischi per la sicurezza dei propri sistemi e servizi, il CRA interviene sui prodotti hardware e software il cui utilizzo prevede una connessione logica o fisica, diretta o indiretta, con un dispositivo o una rete.
Essendo un regolamento europeo, è direttamente applicabile anche in Italia, senza necessità di recepimento nazionale. La maggior parte delle disposizioni si applicherà dall’11 dicembre 2027, mentre alcuni obblighi entrano in applicazione anticipatamente. Per i produttori significa integrare la cybersecurity dalla progettazione e dallo sviluppo fino alla manutenzione del prodotto, effettuando una valutazione del rischio, rispettando requisiti di sicurezza by design e by default e gestendo le vulnerabilità durante il periodo di supporto, anche attraverso aggiornamenti di sicurezza. Il regolamento prevede inoltre procedure di valutazione della conformità e, quando ne ricorrono le condizioni, la marcatura CE.
Il CRA interessa quindi anche l’OT quando nell’ambiente industriale vengono utilizzati prodotti con elementi digitali che ricadono nel suo campo di applicazione. NIS2 e CRA intervengono quindi su aspetti complementari del rischio cyber: la prima responsabilizza le organizzazioni che rientrano nel suo perimetro anche rispetto alla sicurezza della supply chain; il secondo introduce requisiti di cybersecurity per i prodotti con elementi digitali che possono entrare anche negli ambienti OT.
NIST CSF 2.0: governare la strategia di sicurezza OT
NIST Cybersecurity Framework 2.0 aggiunge un ulteriore livello di lettura. Non è uno standard specifico per l’OT e non prescrive quali tecnologie adottare, ma fornisce una struttura comune per organizzare e governare la gestione del rischio cyber attraverso sei funzioni: Govern, Identify, Protect, Detect, Respond e Recover. Le organizzazioni possono utilizzarle per ricondurre controlli, processi e responsabilità a un modello unitario e verificare dove esistono eventuali lacune nella propria strategia di cybersecurity.
Negli ambienti industriali questo permette di mettere in relazione le indicazioni specifiche di NIST SP 800-82 e ISA/IEC 62443 con una visione più ampia della gestione del rischio. Govern definisce strategia, responsabilità e criteri con cui il rischio viene governato; Identify permette di conoscere asset, dipendenze e rischi; Protect raccoglie le misure necessarie a ridurne l’esposizione; Detect, Respond e Recover organizzano invece le capacità necessarie per individuare un incidente, contenerne gli effetti e ripristinare sistemi e processi. Le sei funzioni non rappresentano fasi successive, ma concorrono a una gestione continua del rischio cyber.
Sicurezza OT e resilienza: backup, ripristino e continuità produttiva
Il punto di arrivo non è però la conformità in sé, ma la capacità dell’organizzazione di continuare a operare e ripristinare i sistemi quando le misure di prevenzione non riescono a evitare un incidente. Non a caso, tra le misure richieste dalla NIS2 rientrano business continuity, gestione dei backup, disaster recovery e crisis management. Negli ambienti OT significa sapere quali asset sono indispensabili per mantenere o riavviare la produzione, quali dati, configurazioni e applicazioni devono essere recuperati e in quanto tempo.
Partecipa alla community