CRA, la sicurezza entra nel ciclo di vita dell’automazione
Una nuova responsabilità per i prodotti connessi
La sicurezza informatica degli impianti produttivi non è più un requisito separato rispetto ad altri come disponibilità, affidabilità e continuità operativa. La progressiva connessione di macchine, linee e componenti industriali ha enormemente ampliato la superficie di attacco e rende ogni dispositivo digitale un potenziale punto di accesso all’infrastruttura OT.
In questo scenario, il Cyber Resilience Act (CRA) ha introdotto per la prima volta guideline a livello europeo che contemplano requisiti di cybersecurity di tutti i prodotti con elementi digitali. Il regolamento si applica nella sua interezza a partire dall’11 dicembre 2027, mentre le disposizioni in materia di notifica di vulnerabilità attivamente sfruttate e incidenti gravi, sono in vigore dall’11 settembre 2026.
Il campo di applicazione è ampio: rientrano nel perimetro del CRA prodotti la cui funzione comprende connessioni, dirette o indirette, fisiche o logiche, sia verso un dispositivo che verso una rete. Per tutti i produttori, il CRA non rappresenta quindi soltanto l’ennesimo adeguamento tecnico, ma richiede una vera e propria revisione strutturale dei processi attraverso l’analisi dei rischi, lo sviluppo sicuro, la gestione (e rilevamento) delle vulnerabilità, aggiornamenti, documentazione e supporto durante l’intero ciclo di vita del prodotto.
Il tema della cybersecurity diventa quindi parte integrante dell’accesso al mercato europeo, oltre che un criterio di valutazione indispensabile per costruttori di macchine, integratori e utilizzatori finali. Il CRA adotta un approccio basato sul rischio; le misure di sicurezza considerano minacce, vulnerabilità, conseguenze di un possibile attacco e contesto d’uso del prodotto. In quest’ottica, se la conformità del singolo modulo è una componente importante, non sostituisce però la correttezza di una progettazione sicura riguardo all’intera rete industriale.
Il CRA incontra il riferimento internazionale ISA/IEC 62443 relativo alla cybersecurity degli ambienti OT. I principi relativi allo sviluppo sicuro del prodotto, i requisiti tecnici per i componenti IACS (Industrial Automation and Control System Components), nonché i livelli di sicurezza e valutazione, contribuiscono a tradurre gli obiettivi in pratiche applicabili lungo la catena del valore.
Per i costruttori di macchine e linee ciò significa valutare i componenti non più in base a prestazioni, compatibilità e disponibilità, ma anche in termini di aggiornabilità, supporto e trattamento delle vulnerabilità, gestione accessi e documentazione. In questo contesto, un semplice modulo di I/O diventa così parte integrante della strategia di sicurezza di un intero sistema di automazione.
Quali dispositivi saranno interessati
Il CRA riguarda, come accennato, i prodotti con elementi digitali dotati di software o connessione dati interna o esterna perché nel mondo dell’automazione industriale il cosiddetto ‘perimetro’ comprende macchine e linee che comunicano attraverso reti industriali. Anche la data di immissione dei prodotti sul mercato è determinante: quelli immessi prima dell’11 dicembre 2027 non sono soggetti al CRA, fatta eccezione per modifiche sostanziali successive. Di conseguenza sono esclusi anche i ricambi identici, realizzati secondo le stesse specifiche del componente sostituito.
E nei componenti in questione troviamo I/O remoti e moduli di comunicazione installati direttamente sul campo. Sebbene spesso essi siano considerati come componenti periferici, raccolgono e trasferiscono informazioni, dialogano con PLC e sistemi di supervisione e possono offrire funzioni di configurazione via web. Ed è per questo motivo che la loro sicurezza contribuisce alla resilienza dell’intera architettura di automazione.
Per Murrelektronik, l’attenzione si concentra in particolar modo sulle famiglie di prodotti dotate di funzionalità digitali e di comunicazione, pertanto dispositivi IO-Link, i moduli di I/O remoto e i sistemi di connessione per l’automazione. Il CRA esclude dal campo di applicazione i componenti privi di elementi digitali, come connettori, distributori passivi e sistemi di distribuzione dell’alimentazione.
Dalla conformità alla resilienza: un percorso già avviato
Murrelektronik sta affrontando l’adeguamento al CRA come programma trasversale che coinvolge tecnologia, sviluppo prodotto, processi interni e assistenza. Questo percorso comprende una task force dedicata attraverso la creazione di un Product Security Incident Response Team (PSIRT), la formazione interna ed esterna e un’analisi sistematica del portfolio al fine di individuare prodotti interessati, requisiti mancanti e interventi necessari.
Un passaggio centrale è l’integrazione del principio di security by design, dove l’elemento cybersecurity viene considerato fin dalle fasi di progettazione e sviluppo, e non come un’aggiunta successiva. A questo si affianca la security by default, secondo cui le impostazioni iniziali devono offrire il livello di protezione più elevato ragionevolmente possibile. In questo contesto, la cybersecurity non è più un requisito opzionale da aggiungere al prodotto, ma una caratteristica che deve accompagnarlo dalla progettazione fino alla dismissione. Occorre quindi lavorare non solo sulle funzioni tecniche, ma anche sui processi che garantiscono aggiornamenti, gestione delle vulnerabilità e supporto nel tempo.
Nel caso dei moduli Murrelektronik, ad esempio, il webserver viene disabilitato di default. L’utente può abilitarlo quando sia necessario per la messa in servizio, l’accesso risulta protetto da password e la password standard non può essere riutilizzata dopo la prima configurazione. Gli switch di rete gestiti supportano il protocollo syslog (System Logging Protocol), in modo tale da poter inviare gli eventi ai sistemi di sicurezza e alle piattaforme SIEM (Security Information and Event Management) già presenti nell’impianto. Di conseguenza, un prodotto sicuro non può essere valutato isolatamente dal contesto in cui viene installato; analisi de rischi e l’utilizzo previsto aiutano a definire quali misure siano necessarie, dalla segmentazione della rete alla cifratura, fino alle policy di aggiornamento e monitoraggio. E di monitoraggio si parla non solo in termini di diagnostica ma anche di visibilità sulle librerie e sui componenti software impiegati. Ciò consente di correlare più rapidamente eventuali vulnerabilità con i prodotti coinvolti e di supportare una gestione più puntuale degli aggiornamenti.
Una sicurezza che continua dopo l’acquisto
Il CRA estende infatti la responsabilità del produttore oltre il momento della vendita: a questo proposito Murrelektronik ha previsto per i propri prodotti un periodo di supporto, assistenza tecnica e patch di sicurezza. I prodotti rilasciati dal 2025 sono inoltre coperti dal processo di gestione delle vulnerabilità coordinato dal PSIRT.
Il percorso di Murrelektronik verso la conformità comprende infine l’aggiornamento della documentazione, la valutazione dei prodotti e, quando necessario, interventi firmware o software. La disponibilità dello standard armonizzato europeo resta un passaggio atteso, ma non interrompe il lavoro preparatorio: hardware, firmware e software vengono già sviluppati e verificati in vista dei requisiti del regolamento.
Per chi progetta e gestisce impianti industriali, il valore di questo approccio non consiste soltanto nell’acquistare prodotti conformi, ma significa poter contare su componenti progettati con criteri di sicurezza, informazioni trasparenti e un impegno di supporto definito nel tempo. In un’automazione sempre più interconnessa, la resilienza nasce da una combinazione di tecnologia, processi e responsabilità condivise: il CRA rende questa combinazione un requisito europeo, mentre soluzioni come i moduli I/O sicuri, aggiornabili e integrabili nei sistemi di monitoraggio contribuiscono a renderla concreta sul campo.
