Cyber Resilience Act e Regolamento Macchine: che cosa cambia per chi costruisce macchine
Una macchina con un controllore, un pannello operatore o un router per l'assistenza remota è insieme una «macchina» e un «prodotto con elementi digitali». Dal 20 gennaio 2027 si applica il Regolamento Macchine (UE) 2023/1230, dall'11 dicembre 2027 il Cyber Resilience Act per intero: due regolamenti, un solo fascicolo tecnico se si lavora bene. E l'obbligo di segnalazione del CRA vale già oggi.
Aggiornato al 14 ottobre 2026 · Non costituisce consulenza legale.
| Regolamento Macchine (UE) 2023/1230 | Cyber Resilience Act (UE) 2024/2847 | |
|---|---|---|
| Da quando | 20 gennaio 2027 | Segnalazioni dall'11 settembre 2026; tutto il resto dall'11 dicembre 2027 |
| Di che cosa si occupa | Sicurezza fisica della macchina, compresi i rischi informatici che possono comprometterla (manomissioni, accessi non autorizzati ai sistemi di comando) | Sicurezza informatica del prodotto per tutto il ciclo di vita: componenti, vulnerabilità, aggiornamenti, segnalazioni |
| Che cosa chiede sul software | Che il software di sicurezza non sia corrotto e che le modifiche siano tracciate | SBOM, gestione delle vulnerabilità, aggiornamenti gratuiti, periodo di assistenza, documentazione |
| Come si dimostra | Marcatura CE con la procedura prevista dal Regolamento Macchine | Marcatura CE con la procedura prevista dal CRA (autovalutazione per i prodotti ordinari) |
La Commissione europea, nelle sue FAQ sul CRA, conferma che una macchina con elementi digitali deve rispettare entrambi i regolamenti.
Una macchina è fatta anche di componenti di altri
Il costruttore di macchine è soprattutto un integratore: controllori, pannelli, azionamenti, router industriali, software di supervisione. Ognuno di questi è un prodotto con elementi digitali del suo fabbricante; la macchina che li contiene è il tuo. Per il Cyber Resilience Act sei fabbricante di un prodotto «ordinario», con obblighi di SBOM e di gestione delle vulnerabilità, e dipendi dai tuoi fornitori per le informazioni.
- I controllori industriali e i sistemi di automazione non compaiono tra i prodotti «importanti» del testo finale: per la gran parte delle macchine vale l'autovalutazione.
- Integrare un componente di classe più alta non rende «importante» la macchina (articolo 7).
- Il lavoro vero è raccogliere e verificare le SBOM dei fornitori e seguire i loro avvisi di sicurezza.
Che cosa chiedere ai fornitori di componenti
- La SBOM del componente, in formato leggibile da un sistema automatico, aggiornata a ogni versione del firmware
- Il canale ufficiale degli avvisi di sicurezza e il contatto per le vulnerabilità
- Il periodo di assistenza dichiarato e la politica degli aggiornamenti
- La dichiarazione di conformità e le istruzioni per l'installazione sicura
- Un impegno contrattuale a comunicare tempestivamente le vulnerabilità che toccano il componente
Non fare il lavoro due volte
I due regolamenti chiedono cose vicine: analisi dei rischi, documentazione tecnica, istruzioni, dichiarazione di conformità, tracciabilità delle modifiche. Conviene trattarli insieme.
Un'unica analisi dei rischi
Con una sezione sui rischi informatici che toccano la sicurezza (Regolamento Macchine) e una sulla sicurezza informatica del prodotto (CRA), che si richiamano.
Un unico fascicolo tecnico
Con la SBOM, l'elenco dei componenti digitali e dei loro fornitori, il periodo di assistenza, la politica degli aggiornamenti.
Un unico processo nel tempo
Vulnerabilità, aggiornamenti e modifiche sostanziali gestiti con lo stesso registro, utile a entrambi i regolamenti e alle richieste dei clienti.
Che cosa fa Assiduo per i costruttori di macchine
AAssiduo fa
- Censisce macchine, versioni e componenti digitali integrati, con i relativi fornitori
- Ti aiuta a chiedere e a verificare le SBOM dei fornitori
- Raccoglie gli avvisi dei fornitori in un unico posto e li collega alle macchine interessate
- Valuta con persone quali vulnerabilità toccano davvero le tue macchine
- Conserva decisioni ed evidenze, utili al fascicolo tecnico e alle richieste dei clienti
TuA te resta
- La progettazione sicura della macchina e la valutazione dei rischi
- La correzione e gli aggiornamenti del software di bordo
- La decisione e l'invio delle segnalazioni
- La marcatura CE e le dichiarazioni di conformità, per entrambi i regolamenti
Domande frequenti
La mia macchina non è connessa a internet. Il CRA si applica?
Il regolamento riguarda i prodotti che possono collegarsi, direttamente o indirettamente, a un dispositivo o a una rete: basta una porta di rete, un'interfaccia per l'assistenza remota o una connessione al sistema di fabbrica. Una macchina puramente meccanica o senza alcuna interfaccia dati resta fuori.
Il fornitore del controllore è conforme: basta?
No. La conformità del componente aiuta, ma la macchina è un prodotto tuo: devi sapere che cosa contiene, seguire le vulnerabilità che la toccano e segnalare quelle sfruttate.
Un cliente tedesco mi chiede la SBOM «secondo TR-03183». Che cos'è?
La linea guida dell'ufficio federale tedesco per la sicurezza informatica (BSI) che descrive campi minimi e formati di una SBOM. Non è legge in Italia, ma è il riferimento tecnico più usato dai clienti europei.
Costruisci macchine? Parti dal tuo perimetro
Poche domande sui tuoi prodotti e sui componenti che integri. Gratuito, senza caricare file.
Configura il tuo presidioOppure leggi la guida alla SBOM.