Regolamento Macchine 2023/1230: cosa cambia per il software.
I due requisiti dell'Allegato III che toccano interventi e versioni del software di sicurezza, cosa chiedono in pratica e come si collegano al Cyber Resilience Act.
In breve. Il Regolamento (UE) 2023/1230 sostituisce la Direttiva Macchine 2006/42/CE e si applica dal 20 gennaio 2027. Tra i requisiti essenziali dell'Allegato III, due riguardano direttamente il software: la protezione contro la corruzione (punto 1.1.9) e la registrazione degli interventi e delle versioni del software di sicurezza (punto 1.2.1, lettera f).
Le date da ricordare
| Data | Cosa succede |
|---|---|
| 11/09/2026 | Cyber Resilience Act: si applicano gli obblighi di segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi. |
| 20/01/2027 | Si applica il Regolamento Macchine 2023/1230 alle macchine immesse sul mercato da questa data. |
| 11/12/2027 | Il Cyber Resilience Act si applica per intero ai prodotti con elementi digitali. |
Le regole non sono retroattive: le macchine immesse sul mercato prima del 20 gennaio 2027 restano soggette alla direttiva con cui sono state marcate. I modelli che uscirete a gennaio, però, si progettano oggi.
Punto 1.1.9 — Protezione contro la corruzione
La macchina deve essere progettata in modo che il collegamento di un altro dispositivo, anche da remoto, non porti a situazioni pericolose. Le parti hardware e software rilevanti per la sicurezza devono essere protette contro la corruzione accidentale o intenzionale.
Quando non è possibile impedire un intervento, il regolamento chiede che lo si possa rilevare: gli interventi legittimi e i tentativi di intervento devono lasciare evidenze. È qui che entrano integrità del firmware, controllo delle versioni attese e registrazione delle sessioni di assistenza.
Punto 1.2.1 f) — Registro degli interventi e delle versioni
Tra i requisiti di sicurezza e affidabilità dei sistemi di comando, il punto 1.2.1 chiede che vengano registrati i dati generati in relazione a un intervento e le versioni del software di sicurezza caricate dopo l'immissione sul mercato o la messa in servizio.
Questi dati vanno conservati per cinque anni dal caricamento, con il solo scopo di dimostrare la conformità della macchina, anche su richiesta motivata di un'autorità nazionale competente.
Cosa vuol dire, in pratica
- sapere quale versione del software di sicurezza gira su ogni macchina, e da quando;
- avere una traccia di ogni intervento: chi, quando, con quale metodo, cosa è cambiato;
- poter dimostrare che questa traccia non è stata ritoccata a posteriori;
- conservarla in modo ordinato per cinque anni e poterla esibire.
Le norme armonizzate
Per la cybersicurezza delle macchine è in preparazione la norma prEN 50742, che dovrebbe dare presunzione di conformità per la protezione contro la corruzione. Fino alla sua pubblicazione, molti costruttori fanno riferimento alla serie IEC 62443 per i componenti e i processi.
E il Cyber Resilience Act?
Il Regolamento (UE) 2024/2847, il Cyber Resilience Act, riguarda i prodotti con elementi digitali, compresi molti componenti delle macchine: gateway, HMI, controllori, software. Chiede tra l'altro gestione delle vulnerabilità, aggiornamenti di sicurezza e una distinta dei componenti software (SBOM).
Per il costruttore di macchine i due regolamenti si incontrano sulle stesse domande: che software c'è a bordo, chi lo può cambiare, come si dimostra cosa è successo. Ormatrace raccoglie anche la SBOM dei dispositivi e la confronta ogni giorno con le vulnerabilità pubblicate.
Dove si inserisce Ormatrace
| Requisito | Evidenza raccolta da Ormatrace |
|---|---|
| 1.1.9 · rendere evidenti gli interventi | Catena di evidenze, controllo del firmware atteso, integrità dei file, sessioni remote attribuite |
| 1.2.1 f) · registrare gli interventi | Eventi di intervento con utente, metodo, prima e dopo, sicurezza, autorizzazione |
| 1.2.1 f) · versioni del software di sicurezza | Storico delle versioni e delle impronte del firmware, conservato cinque anni |
| Conservazione e richiesta dell'autorità | Registro solo in aggiunta, radici giornaliere firmate, report esportabile per macchina |
| CRA · componenti software | SBOM CycloneDX e confronto quotidiano con le vulnerabilità note |
Ormatrace supporta questi requisiti con evidenze tecniche. Non certifica la macchina: la conformità resta del costruttore e della sua valutazione dei rischi.