Nell’ottobre 2026 un attacco informatico ha interessato i sistemi di refrigerazione di numerosi supermercati francesi. È un episodio che richiama una dimensione concreta della cybersecurity: la compromissione di un sistema digitale può alterare un processo fisico e incidere sulla continuità del servizio. [1]
Secondo le dichiarazioni di Danfoss riportate dalla stampa, molti apparati interessati appartenevano a generazioni obsolete e altri utilizzavano firmware non aggiornato; il produttore ha richiamato l’importanza degli aggiornamenti e della migrazione dai sistemi legacy. La documentazione tecnica Danfoss tratta separatamente la cessazione del supporto dei prodotti precedenti e gli aggiornamenti della serie AK-SM 800A. Queste informazioni sono rilevanti per la gestione del ciclo di vita, ma non costituiscono una ricostruzione forense dell’incidente né consentono di attribuire responsabilità ai singoli operatori. [1–3]
Il CERT-FR, nell’allerta del 12 ottobre 2026, conferma numerose compromissioni delle serie AK-SM (System Manager) e AK-SC (System Controller) e richiama il rischio delle interfacce di gestione esposte su Internet. Il bollettino non identifica una specifica vulnerabilità come causa accertata di tutte le compromissioni. Le modalità di accesso, le configurazioni dei siti e l’efficacia delle protezioni devono quindi essere tenute distinte dagli scenari generali di rischio. [4]
Indice degli argomenti
Cybersecurity OT: governance del rischio e processi fisici
Il punto da cui partire è questo: gli apparati che controllano un processo devono entrare nella governance della sicurezza, anche quando acquisto e manutenzione sono affidati a funzioni tecniche diverse dall’IT.
Le Operational Technology (OT) comprendono sistemi programmabili che monitorano o controllano l’ambiente fisico: automazione, controllori, supervisione e gestione degli edifici. La refrigerazione connessa rientra in questo ambito. Il NIST richiama espressamente la necessità di conciliare cybersecurity, prestazioni, affidabilità e sicurezza fisica. [5]
Un parametro alterato può causare danni anche se il dispositivo continua a funzionare. Occorre quindi considerare l’integrità di configurazioni e comandi, la disponibilità del controllo e l’attendibilità delle misure. Il rischio deve comprendere conseguenze sui prodotti, sulle persone e sui servizi, oltre agli impatti economici. La protezione deve estendersi ai gateway, alle postazioni di manutenzione e alle dipendenze cloud.
NIS2 e cybersecurity OT: applicabilità, responsabilità e notifiche
In Italia il riferimento è il d.lgs. 4 settembre 2024, n. 138, di recepimento della direttiva (UE) 2022/2555. L’articolo 24 richiede ai soggetti essenziali e importanti misure tecniche, operative e organizzative proporzionate per i sistemi utilizzati nelle attività e nei servizi. L’approccio multirischio comprende l’ambiente fisico, la continuità operativa, le vulnerabilità e la catena di approvvigionamento. Un apparato OT rilevante deve essere considerato nell’analisi applicabile. Modalità e termini vanno raccordati alle disposizioni ACN pertinenti. [6]
L’inclusione non deriva dalla sola presenza di un impianto connesso. Per il settore alimentare l’Allegato II richiama distribuzione all’ingrosso, produzione industriale e trasformazione. Il commercio al dettaglio, isolatamente considerato, non determina automaticamente l’assoggettamento; attività effettive, dimensioni e ulteriori criteri di legge richiedono una verifica specifica. [6]
L’articolo 23 attribuisce agli organi di amministrazione e direttivi compiti di approvazione delle modalità di implementazione delle misure, supervisione e formazione. Per gli incidenti significativi, l’articolo 25 prevede, nel regime applicabile, pre-notifica entro 24 ore, notifica entro 72 ore dalla conoscenza e relazione finale entro un mese dalla notifica; se l’incidente è ancora in corso si applicano le disposizioni specifiche sui successivi aggiornamenti. Non ogni anomalia OT è automaticamente notificabile. [6]
GDPR e sicurezza OT: prevenzione e gestione delle violazioni
Il GDPR disciplina la protezione dei dati personali, anche quando trattati in sistemi OT: account nominativi, recapiti per gli allarmi e registrazioni riferibili a persone possono renderlo rilevante. Gli articoli 24, 25 e 32 richiedono responsabilizzazione, protezione fin dalla progettazione e misure adeguate ai rischi per le persone. Gli obblighi preventivi esistono indipendentemente dall’accadimento di un attacco. [7]
Un incidente puramente tecnico non è automaticamente un data breach. Se compromette dati personali, la violazione può riguardare riservatezza, integrità o disponibilità, anche senza esfiltrazione. L’articolo 33 richiede la notifica all’autorità competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà. L’articolo 34 disciplina la comunicazione agli interessati in caso di rischio elevato, con le eccezioni previste. Tutte le violazioni di dati personali devono essere documentate. [7]
Il manutentore è responsabile del trattamento ai sensi dell’articolo 28 quando tratta dati personali per conto del titolare: la qualifica deve risultare dall’attività effettiva, non dalla sola possibilità di collegarsi a distanza. Anche l’identificazione del titolare richiede una verifica concreta. La valutazione GDPR va coordinata con quella NIS, senza confondere presupposti, destinatari e termini.
Cyber Resilience Act e Data Act per prodotti e sistemi OT
Il regolamento (UE) 2024/2847, Cyber Resilience Act, riguarda i prodotti con elementi digitali nel proprio ambito di applicazione. I principali requisiti di sicurezza e gestione delle vulnerabilità si applicano dall’11 dicembre 2027; gli obblighi dell’articolo 14 relativi alle vulnerabilità attivamente sfruttate e agli incidenti gravi con impatto sulla sicurezza si applicano dall’11 settembre 2026.
Questi ultimi riguardano anche prodotti immessi sul mercato prima del dicembre 2027. Per gli altri obblighi il regime transitorio richiede attenzione anche alle modifiche sostanziali. Non è quindi corretto escludere indistintamente il parco installato dal regolamento. [8]
Il regolamento (UE) 2023/2854, Data Act, generalmente applicabile dal 12 settembre 2025, regola invece accesso e uso dei dati. L’obbligo di progettazione dell’articolo 3, paragrafo 1, riguarda prodotti connessi e servizi correlati immessi sul mercato dopo il 12 settembre 2026. La qualificazione del prodotto e del servizio va verificata; non ogni manutenzione remota costituisce un servizio correlato. [9]
I diritti degli articoli 4 e 5 possono facilitare l’accesso ai dati pertinenti dell’impianto, ma non garantiscono indiscriminatamente tutti i log o ogni evidenza forense. Categorie di dati, disponibilità e condizioni normative delimitano il diritto. Accessibilità sicura dei dati non significa esposizione del controllore su Internet: conservazione delle evidenze e disponibilità dei registri devono essere presidiate anche contrattualmente. [9]
ISO/IEC 27001 e ISA/IEC 62443 per la cybersecurity OT
La ISO/IEC 27001:2022 fornisce il quadro del sistema di gestione della sicurezza delle informazioni. Il campo di applicazione, le interfacce e le dipendenze devono essere coerenti con i processi considerati. Un certificato non attesta automaticamente la copertura di ogni impianto né garantisce l’assenza di incidenti. [10]
La valutazione e il trattamento del rischio, con la Dichiarazione di Applicabilità, devono motivare i controlli necessari. In questo contesto assumono rilievo inventario (A.5.9), fornitori (A.5.19–A.5.22), preparazione ICT alla continuità (A.5.30), vulnerabilità (A.8.8), configurazione (A.8.9), backup (A.8.13), log e monitoraggio (A.8.15–A.8.16), sicurezza e segregazione delle reti (A.8.20–A.8.22). La selezione dipende dal rischio; non tutti i controlli dell’Allegato A sono indistintamente obbligatori. La ISO/IEC 27002:2022 ne supporta l’implementazione. [10–11]
Per l’OT, la serie ISA/IEC 62443 integra il quadro gestionale con requisiti specialistici: programma di sicurezza del gestore, valutazione del rischio e progettazione mediante zone e conduits, requisiti di sistema e di componenti, sviluppo sicuro e attività dei fornitori di servizi. I livelli di sicurezza vanno determinati rispetto al sistema e al rischio. Questi riferimenti non costituiscono, da soli, un obbligo universale di certificazione; possono assumere rilievo attraverso norme, contratti o scelte organizzative. [12]
Cybersecurity OT lungo il ciclo di vita degli impianti
L’inventario deve registrare modello, firmware, supporto, proprietario dell’asset, processo servito e percorsi di accesso, inclusi modem cellulari e strumenti dei fornitori. L’analisi deve individuare conseguenze e tempi tollerabili di interruzione, coinvolgendo IT, responsabili degli impianti e funzioni operative.
Accessi remoti e segregazione delle reti OT
Gli accessi remoti vanno concentrati su punti protetti e mantenuti: credenziali individuali, privilegi minimi, autenticazione multifattore sul percorso di accesso, autorizzazioni temporanee e revoca. Le interfacce di amministrazione non dovrebbero essere direttamente esposte a Internet. VPN e firewall devono essere configurati e verificati; la loro sola presenza non dimostra l’efficacia della protezione.
La segregazione richiede regole di comunicazione documentate e testate tra IT, OT e reti esterne. Una VLAN senza adeguati controlli sui flussi può essere insufficiente. I protocolli non autenticati o non cifrati richiedono una valutazione specifica e protezioni compatibili con il processo.
Aggiornamenti, monitoraggio e continuità operativa
Aggiornamenti e modifiche devono essere pianificati, provati e autorizzati, con backup e possibilità di recupero. Per gli apparati non aggiornabili occorrono misure compensative, responsabilità, riesami e un piano di sostituzione. La semplice accettazione interna del rischio non supera eventuali obblighi inderogabili.
Le variazioni di parametri critici devono essere tracciate e confrontabili con configurazioni approvate. Il monitoraggio dovrebbe correlare accessi, comandi e dati fisici, con allarmi verificati e personale reperibile. Per i processi critici va valutata una protezione indipendente dal controllo principale, progettata per ridurre i guasti comuni e la possibilità di una compromissione simultanea.
I backup OT devono includere programmi, configurazioni e parametri, con copie protette e prove di ripristino. I piani di emergenza devono prevedere isolamento selettivo, esercizio locale dove sicuro, ricambi e criteri di riattivazione. Scansioni, test intrusivi e software di protezione richiedono validazione: una verifica improvvisata su un impianto in esercizio può provocare disservizi.
Contratti, incidenti e conservazione delle prove
I contratti devono attribuire compiti verificabili per aggiornamenti, accessi, allarmi, comunicazione degli incidenti e disponibilità delle evidenze. In emergenza, messa in sicurezza delle persone e del processo e conservazione delle prove vanno coordinate: reset e ripristini possono eliminare informazioni utili all’indagine.
Dalla sicurezza OT a otto verifiche operative
Il percorso seguente è una proposta operativa da adattare alla criticità dell’impianto. Non rappresenta un elenco di obblighi identici per ogni organizzazione. Per ciascuna attività occorre assegnare un responsabile, una scadenza e un criterio di verifica; priorità e tempi derivano dal rischio e dagli obblighi applicabili.
1. Individuare il processo e il responsabile. Il gestore dell’impianto, con IT e sicurezza, identifica funzioni critiche, conseguenze di parametri alterati e tempi tollerabili di interruzione. Evidenze: scheda del processo, responsabili nominati, scenari e dipendenze. Esito atteso: ogni impianto critico ha un referente e un rischio valutato.
2. Ricostruire gli asset e gli accessi. Tecnici OT e manutentori censiscono apparati, firmware, stato di supporto, interfacce e collegamenti remoti, compresi quelli cellulari. Evidenze: inventario, schema di rete e matrice dei flussi. Verifica: conferma tecnica dei percorsi effettivi con metodi compatibili con il processo, privilegiando inizialmente raccolta documentale e osservazione passiva.
3. Ridurre l’esposizione e controllare le identità. IT e responsabile OT verificano raggiungibilità esterna, account e autorizzazioni dei fornitori. Evidenze: configurazioni dei punti di accesso, elenco utenti, MFA sul percorso remoto, regole e registrazioni delle sessioni. Verifica: accessi limitati ai soggetti e alle funzioni autorizzati, con revoca provata. Ogni isolamento deve essere concordato per non compromettere l’esercizio sicuro.
4. Verificare la segregazione. IT e OT approvano i soli flussi necessari tra reti aziendali, impianti e servizi esterni. Evidenze: matrice delle comunicazioni e regole firewall. Verifica: test autorizzati dimostrano che i percorsi non previsti sono bloccati; la presenza di una VLAN non è un criterio sufficiente.
5. Governare vulnerabilità e fine supporto. Il responsabile dell’asset, con il manutentore, confronta versioni e avvisi del produttore, pianifica aggiornamenti e registra gli impedimenti. Evidenze: piano di trattamento, prove di compatibilità, misure compensative e sostituzioni finanziate. Verifica: ogni vulnerabilità rilevante ha una decisione motivata, un responsabile e una data di riesame; gli aggiornamenti prevedono recupero dalla configurazione precedente.
6. Proteggere i parametri e provare gli allarmi. Il responsabile OT definisce configurazioni approvate, limiti e autorizzazioni di modifica. Evidenze: copie delle configurazioni, cronologia delle variazioni e verbali di prova degli allarmi. Verifica: un’anomalia simulata in condizioni sicure raggiunge il presidio previsto e attiva l’escalation; per i processi critici viene valutata l’indipendenza delle protezioni dal controllore principale.
7. Provare il recupero del processo. Operazioni, OT e continuità verificano disponibilità di backup, componenti e competenze. Evidenze: copie protette, istruzioni di ripristino, ricambi e risultati delle esercitazioni. Verifica: recupero di una configurazione approvata entro i tempi definiti e validazione tecnica prima della rimessa in servizio. Nella refrigerazione, la valutazione della sicurezza dei prodotti resta distinta dal ripristino informatico.
8. Preparare la risposta e verificare gli adempimenti. Sicurezza, responsabile dell’impianto e funzioni competenti definiscono contatti, isolamento, conservazione delle evidenze e valutazioni di notifica; il DPO è coinvolto per i profili relativi ai dati personali. Evidenze: piano di risposta, obblighi contrattuali e verbali delle simulazioni. Verifica: una prova dimostra chi decide, chi interviene e chi valuta separatamente i presupposti NIS, GDPR ed eventuali ulteriori obblighi applicabili.
Le priorità vanno fissate considerando insieme conseguenze fisiche, esposizione, possibilità di sfruttamento e capacità di recupero. Una vulnerabilità meno elevata nella classificazione tecnica può richiedere un intervento prioritario se consente di alterare un processo critico. L’eliminazione dell’esposizione remota non necessaria, la verifica degli accessi e la disponibilità di configurazioni affidabili sono punti di partenza da valutare subito.
In audit, queste attività devono produrre un registro unico delle azioni: asset o processo interessato, rischio, misura, responsabile, termine, evidenza e stato. La chiusura richiede una verifica dell’efficacia, non la sola dichiarazione di esecuzione. Indicatori utili sono la copertura dell’inventario, gli accessi remoti riesaminati, le eccezioni scadute, gli allarmi provati e i ripristini riusciti. Gli obiettivi devono essere definiti dall’organizzazione in funzione del rischio.
L’incidente francese offre dunque una ragione concreta per riesaminare gli impianti connessi. La qualità della governance si misura nella capacità di dimostrare chi può intervenire, quali modifiche sono consentite, come vengono rilevate le anomalie e come si recupera il controllo del processo. La cybersecurity OT deve accompagnare acquisto, integrazione, manutenzione e dismissione, con verifiche periodiche dell’efficacia delle misure.
Fonti
[1] Reuters, 12 ottobre 2026, “Hackers heat French supermarket fridges, sparking fires and spoiling food”; Le Monde, 13 ottobre 2026, “A disastrous day for French supermarkets after massive cyberattack targets refrigeration systems”. Dichiarazioni aziendali riportate dalla stampa.
[2] Danfoss, Tech Insider October 2025: https://www.danfoss.com/en/service-and-support/articles/dcs/tech-insider-october-2025/
[3] Danfoss, software AK-SM 800A: https://www.danfoss.com/it-it/service-and support/downloads/dcs/adap-kool-software/ak-sm-800a/
[4] CERT-FR, CERTFR-2026-ALE-012, 12 ottobre 2026: https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/
[5] NIST SP 800-82 Rev. 3 (2023), Guide to Operational Technology Security. La Rev. 4 era in consultazione alla data del presente articolo: https://csrc.nist.gov/pubs/sp/800/82/r3/final
[6] Direttiva (UE) 2022/2555; d.lgs. 138/2024, artt. 23–25 e Allegato II; disposizioni attuative ACN applicabili: https://www.acn.gov.it/portale/nis
[7] Regolamento (UE) 2016/679, artt. 4, 24, 25, 28, 32–34; Garante, scheda Data Breach: https://www.garanteprivacy.it/data-breach
[8] Regolamento (UE) 2024/2847, in particolare artt. 14, 69 e 71; Commissione europea: https://digital-strategy.ec.europa.eu/en/policies/cra-summary
[9] Regolamento (UE) 2023/2854, in particolare artt. 2–5 e 50; Commissione europea: https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained
[10] ISO/IEC 27001:2022, con Amd 1:2024, clausole 4.3, 6.1.2, 6.1.3 e Allegato A.
[11] ISO/IEC 27002:2022, Information security controls.
[12] Serie ISA/IEC 62443, in particolare parti 2-1, 2-4, 3-2, 3-3, 4-1 e 4-2;
Partecipa alla community