Cybersicurezza industriale: NIS2, Cyber Resilience Act e Regolamento Macchine ridisegnano gli obblighi 2026-2027

Le imprese che gestiscono impianti di produzione, linee automatizzate o dispositivi connessi entrano in una fase in cui la sicurezza informatica dei sistemi industriali (Operational Technology, OT) smette di essere una scelta organizzativa e diventa un obbligo normativo scandito da scadenze precise. Nel biennio 2026-2027 si sommano tre strumenti europei distinti: una direttiva recepita in Italia e due regolamenti direttamente applicabili.

NIS2: il conto alla rovescia di ottobre 2026

La direttiva NIS2 è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il riferimento tecnico oggi applicabile è la Determinazione ACN n. 379907 del 19 dicembre 2025, in applicazione dal 15 gennaio 2026, che ha sostituito la Determinazione n. 164179 del 14 aprile 2025. I soggetti importanti adottano le misure dell'Allegato 1: 37 misure articolate in 87 requisiti. I soggetti essenziali adottano quelle dell'Allegato 2: 43 misure e 116 requisiti.

Per le aziende già inserite nell'elenco ACN nel 2025 il termine per rendere operative le misure di sicurezza di base, con evidenze documentali dimostrabili, è di diciotto mesi dalla comunicazione di inserimento. Non c'è quindi una data unica nazionale: ogni soggetto ha la propria. Poiché le prime comunicazioni sono partite fra il 12 e il 13 aprile 2025, per chi è entrato nella prima tornata la scadenza cade a metà ottobre 2026. Superata la propria data, l'Agenzia per la Cybersicurezza Nazionale può avviare le prime attività ispettive. L'obbligo riguarda diciotto settori, tra cui energia, trasporti, sanità, manifattura e produzione alimentare, e si estende di fatto anche ai fornitori rilevanti dei soggetti obbligati.

Cyber Resilience Act e Regolamento Macchine

Sul fronte dei prodotti, il Regolamento (UE) 2024/2847 (Cyber Resilience Act) ha reso operativo dall'11 settembre 2026 l'obbligo, previsto dall'articolo 14, di segnalare vulnerabilità attivamente sfruttate e incidenti gravi sui prodotti con elementi digitali, hardware e software, con tempistiche strette: i fabbricanti devono presentare un allarme rapido entro 24 ore dal momento in cui vengono a conoscenza della vulnerabilità, una notifica completa entro 72 ore e una relazione finale entro 14 giorni. La piena applicazione del regolamento è fissata all'11 dicembre 2027.

Dal 20 gennaio 2027 entrerà invece pienamente in vigore il Regolamento Macchine (UE) 2023/1230, che abroga la direttiva 2006/42/CE senza alcun periodo transitorio: le macchine immesse sul mercato prima di quella data restano soggette alla vecchia direttiva, quelle successive al nuovo regolamento, che introduce per la prima volta requisiti di cybersicurezza vincolanti per i prodotti industriali.

Per le imprese manifatturiere e per chi fornisce componenti o servizi a soggetti NIS2 è quindi il momento di verificare la propria posizione presso l'ACN e di programmare gli adeguamenti tecnici e documentali richiesti dalle scadenze dell'autunno 2026.