Regolamento Macchine e Cyber Resilience Act: i punti di contatto
Una macchina con un controllore, un pannello operatore o un collegamento per l'assistenza remota è soggetta dal 20 gennaio 2027 al Regolamento Macchine e dall'11 dicembre 2027 al Cyber Resilience Act (CRA) per intero. La conformità a uno non copre l'altro. Questo articolo spiega che cosa vale per entrambi, che cosa no e che cosa cambia per costruttori e mandatari.
In sintesi
- nessuno dei due regolamenti presume la conformità all'altro: la Commissione scrive che rispettare i requisiti di uno «non può essere considerato automaticamente» sufficiente per l'altro;
- esiste un ponte: un certificato di esame UE del tipo rilasciato per i requisiti di cibersicurezza del Regolamento Macchine vale come evidenza anche per il CRA, per quei rischi, fino all'11 giugno 2028;
- il costruttore che integra controllori, pannelli e gateway è il fabbricante della macchina anche per il CRA; i componenti restano prodotti dei loro fabbricanti;
- il mandatario può assumere entrambi i mandati, ma quello del CRA dura quanto il periodo di assistenza e chiede documentazione aggiornata per tutto quel tempo.
Due regolamenti che non si sostituiscono
Il Regolamento Macchine (UE) 2023/1230 chiede due cose sul fronte informatico. Il punto 1.1.9 dell'Allegato III, «protezione dall'alterazione»: software e dati critici per la sicurezza protetti da modifiche, software installato identificabile, interventi registrati. Il punto 1.2.1: sistemi di comando che resistono anche a «tentativi deliberati ragionevolmente prevedibili da parte di terzi», con la traccia delle versioni del software di sicurezza conservata per cinque anni.
Il Regolamento Macchine non cita il CRA: è del 2023, il CRA del 2024. La sua unica presunzione di conformità in materia (articolo 20, paragrafo 9) passa per i sistemi europei di certificazione del Cybersecurity Act, e nessuno è oggi pubblicato per le macchine. Il CRA cita il Regolamento Macchine solo nel considerando 53: la conformità al CRA «potrebbe facilitare» quella ai punti 1.1.9 e 1.2.1, ma «tali sinergie devono essere dimostrate dal fabbricante», che segue entrambe le procedure di valutazione. Le domande frequenti della Commissione sul CRA lo ripetono senza margini: la conformità a uno solo dei due regolamenti non soddisfa automaticamente l'altro.
Il ponte tra i due regolamenti
Gli orientamenti della Commissione del luglio 2026 aggiungono il meccanismo pratico che mancava. Un certificato di esame UE del tipo che copre i requisiti di cibersicurezza del Regolamento Macchine resta valido ai fini del CRA per i rischi che copre, in base all'articolo 69 del regolamento, fino all'11 giugno 2028 o alla sua scadenza se anteriore. Per quei rischi il fabbricante non deve rivalutare nulla, anche se il certificato è stato chiesto volontariamente.
Il ponte copre solo i rischi trattati dal Regolamento Macchine. Gestione delle vulnerabilità, SBOM (Software Bill of Materials), la distinta base del software, aggiornamenti sicuri, periodo di assistenza: tutto questo resta a carico del fabbricante secondo il CRA, insieme a una valutazione dei rischi di cibersicurezza completa.
Le date e le macchine immesse nel 2027
| Data | Che cosa si applica |
|---|---|
| 11 settembre 2026 | Obbligo di segnalazione del CRA (articolo 14), anche per le macchine già sul mercato |
| 20 gennaio 2027 | Regolamento Macchine per intero, compresi i punti 1.1.9 e 1.2.1; la direttiva 2006/42/CE cessa |
| 11 dicembre 2027 | CRA per intero: requisiti essenziali, documentazione, marcatura CE |
| 11 giugno 2028 | Fine della validità dei certificati del Regolamento Macchine come evidenza per il CRA |
Una macchina immessa tra il 20 gennaio e l'11 dicembre 2027 deve rispettare il Regolamento Macchine, requisiti informatici compresi, e del CRA solo l'obbligo di segnalazione. Resta fuori dal resto del CRA finché non subisce una modifica sostanziale, e un aggiornamento del software può esserlo. La richiesta dell'industria di rinviare i requisiti informatici del Regolamento Macchine alla data del CRA non è stata accolta: ad aprile 2026 la Commissione ha dichiarato che non è previsto alcun rinvio.
La norma EN 50742 sulla protezione dall'alterazione ha concluso il voto formale a ottobre 2026 secondo le fonti di settore, ma la citazione nella Gazzetta Ufficiale dell'Unione, che dà la presunzione di conformità, non è ancora avvenuta. Per il CRA nessuna norma armonizzata è ancora citata.
Il costruttore è il fabbricante dell'insieme
Chi assembla controllori, pannelli, azionamenti e gateway in una macchina immessa sul mercato come prodotto unico è, per il CRA, il fabbricante di quel prodotto nel suo insieme. I componenti restano prodotti dei rispettivi fabbricanti: il costruttore non li certifica di nuovo, ma esercita la diligenza dovuta dell'articolo 13, paragrafo 5, appoggiandosi alla loro dichiarazione di conformità UE e alla loro documentazione.
| Componente | Categoria CRA |
|---|---|
| PLC, CNC, pannelli operatore, software di supervisione, azionamenti con porta di rete | Non elencati negli Allegati III e IV: categoria ordinaria, autovalutazione |
| Router, modem e switch industriali; schede e moduli di rete, anche Fieldbus | Prodotti importanti di classe I |
| Firewall industriali, sistemi di rilevamento delle intrusioni, ipervisori | Prodotti importanti di classe II, valutazione di terza parte |
Integrare un componente di classe I o II non cambia la categoria della macchina: conta la funzione principale del prodotto nel suo insieme (articolo 7). I ricambi identici forniti nel canale post-vendita sono esenti dal CRA.
Fascicolo tecnico e dichiarazione
I due fascicoli si sovrappongono su analisi dei rischi, norme applicate, relazioni di prova e istruzioni, con oggetti diversi: il Regolamento Macchine guarda ai rischi per la salute e la sicurezza, il CRA alla sicurezza informatica del prodotto. Il CRA chiede in più quello che nel fascicolo macchine non c'è: la SBOM, la politica di divulgazione coordinata delle vulnerabilità, la descrizione del meccanismo di aggiornamento sicuro, le informazioni usate per determinare il periodo di assistenza. L'Allegato IV del Regolamento Macchine chiede le copie delle dichiarazioni di conformità dei prodotti incorporati: quelle dei componenti secondo il CRA entrano quindi anche nel fascicolo macchine.
Nessuno dei due impone un fascicolo unico. La dichiarazione di conformità UE invece è unica per legge, con la stessa formula nell'articolo 28 del CRA e nell'articolo 21 del Regolamento Macchine, e può consistere in un fascicolo delle singole dichiarazioni.
Il mandatario tra i due regolamenti
Il Regolamento Macchine lo chiama «mandatario» (articolo 12), il CRA «rappresentante autorizzato» (articolo 18): è la stessa figura, nominata con mandato scritto. I compiti minimi coincidono: tenere a disposizione delle autorità la dichiarazione di conformità e la documentazione tecnica, fornirle su richiesta motivata, collaborare alle azioni per eliminare i rischi. Le differenze sono tre.
- Durata. Dieci anni per il Regolamento Macchine; per il CRA dieci anni o il periodo di assistenza del prodotto, se più lungo.
- Aggiornamento. La documentazione tecnica del CRA va tenuta aggiornata per tutto il periodo di assistenza (articolo 31): il mandatario deve ricevere dal fabbricante nuove versioni, SBOM e valutazioni dei rischi, non un fascicolo chiuso al momento dell'immissione.
- Segnalazione. L'obbligo di segnalare al CSIRT le vulnerabilità attivamente sfruttate resta del fabbricante e non entra nel mandato. Il mandatario che vuole esserne informato lo scrive nel contratto.
Nessuno dei due regolamenti obbliga il fabbricante extra-UE a nominare un mandatario. Un solo soggetto italiano può assumere i due mandati, con due atti distinti o con un mandato che citi entrambi i regolamenti.
Un caso concreto
I dati sono di fantasia. Una società bresciana è mandataria di un costruttore turco di presse con pannello operatore e modulo per l'assistenza remota. Per le presse immesse dal 20 gennaio 2027 il costruttore chiede un certificato di esame UE del tipo che includa i punti 1.1.9 e 1.2.1: quel certificato gli servirà anche per il CRA, per quei rischi, fino all'11 giugno 2028. La mandataria rinnova il mandato citando entrambi i regolamenti e aggiunge due clausole: la consegna della SBOM e della valutazione dei rischi aggiornate a ogni versione del firmware, e l'avviso immediato di ogni vulnerabilità attivamente sfruttata, perché la segnalazione resta del costruttore ma i clienti italiani chiameranno lei. Dall'11 dicembre 2027 ogni pressa esce con una sola dichiarazione di conformità che cita i due regolamenti.
Domande frequenti
La macchina ha il certificato di esame UE del tipo: devo rifare tutto per il CRA?
No, per i rischi coperti dal certificato, e fino all'11 giugno 2028. Devi però completare la valutazione dei rischi di cibersicurezza del CRA e coprire quello che il Regolamento Macchine non tratta: SBOM, gestione delle vulnerabilità, aggiornamenti, periodo di assistenza.
Il fornitore del PLC è conforme al CRA: la macchina è a posto?
No. La conformità del componente ti aiuta a dimostrare la tua, ma la macchina è un prodotto tuo: devi sapere che cosa contiene, seguire le vulnerabilità che la toccano e segnalare quelle sfruttate.
Una macchina senza alcun collegamento dati è soggetta al CRA?
No. Il CRA riguarda i prodotti che possono collegarsi, direttamente o indirettamente, a un dispositivo o a una rete. Una macchina con soli segnali elettrici resta fuori dal CRA ma dentro il Regolamento Macchine, requisiti informatici compresi.
Da dove cominciare
Il lavoro comune ai due regolamenti è sapere che cosa c'è nelle macchine vendute: quali componenti digitali, di quali fornitori, con quali versioni. Il configuratore di Assiduo parte da qui. È gratuito, non chiede di caricare file e mostra il risultato prima della registrazione.
Fonti: regolamento (UE) 2023/1230, articoli 12, 20, 21 e 52, Allegato III, punti 1.1.9 e 1.2.1, Allegato IV; regolamento (UE) 2024/2847, considerando 53, articoli 7, 13, 18, 28, 31, 69 e 71, Allegati III, IV e VII; Commissione europea, orientamenti sull'applicazione del Cyber Resilience Act, C(2026) 5252 del 27 luglio 2026, paragrafi 29, 120, 141, 152, 167-173 e 248-257, e domande frequenti sul CRA, versione 1.4 del 4 settembre 2026, sezioni 2.4 e 4.4; verbale del gruppo di esperti della Commissione sulle macchine del 27 aprile 2026; regolamento di esecuzione (UE) 2025/2392. Consultate il 30 ottobre 2026. Leggi anche: la guida per i costruttori di macchine, la piattaforma unica ENISA, come verificare la SBOM di un fornitore.