Regolamento Macchine 2023/1230: Cybersecurity e Modifica Sostanziale

Il Regolamento Macchine (UE) 2023/1230 cambia il modo in cui produttori, OEM, system integrator e utilizzatori industriali devono guardare alle macchine connesse, ai retrofit digitali, agli accessi remoti, agli aggiornamenti software e alle integrazioni IT/OT. Il punto non è solo proteggere una macchina sul piano informatico: è capire quando una modifica fisica o digitale può incidere sulla sicurezza della macchina, creare un nuovo pericolo o aumentare un rischio esistente.

È qui che entra il concetto più delicato: la modifica sostanziale. Il Regolamento la definisce come una modifica della macchina o di un prodotto correlato, realizzata con mezzi fisici o digitali dopo l’immissione sul mercato o la messa in servizio, non prevista o pianificata dal fabbricante, che incide sulla sicurezza creando un nuovo pericolo o aumentando un rischio esistente.

Questo non significa che ogni modifica IoT, ogni aggiornamento firmware o ogni accesso remoto faccia automaticamente decadere la conformità della macchina. Significa però una cosa molto concreta: quando una modifica digitale tocca sicurezza, comportamento, controllo, accesso remoto, software critico o integrazione con reti OT, il rischio introdotto va verificato tecnicamente.

ISGroup interviene su questa parte come partner tecnico-offensivo: penetration test, security auditing, threat modeling, firmware analysis, reverse engineering e security validation per verificare se la modifica introduce superfici d’attacco reali.

Cosa introduce il Regolamento Macchine sul fronte cyber

Il Regolamento Macchine (UE) 2023/1230 sostituisce la Direttiva Macchine 2006/42/CE e stabilisce requisiti di salute e sicurezza per la progettazione e costruzione di macchine, prodotti correlati e quasi-macchine, assicurando al tempo stesso la libera circolazione dei prodotti conformi nel mercato UE. Si applica dal 20 gennaio 2027.

Il cambio è rilevante perché il regolamento tiene conto di una realtà che riguarda quasi ogni ambiente industriale moderno: macchine connesse, software di controllo, firmware aggiornabile, manutenzione remota, telemetria, dashboard cloud, gateway edge, integrazione con reti IT e OT, sistemi con componenti AI o semi-autonomi, safety function influenzate da software, dati o configurazioni.

Il Regolamento contiene requisiti specifici sulla protezione contro la corruzione: la connessione della macchina a un altro dispositivo, anche tramite dispositivo remoto, non deve portare a una situazione pericolosa. Componenti hardware, software e dati rilevanti per la conformità ai requisiti essenziali di salute e sicurezza devono essere protetti contro corruzione accidentale o intenzionale.

Tradotto in linguaggio industriale: se una macchina può ricevere comandi, aggiornamenti, dati, configurazioni o accessi da remoto, quella superficie digitale non è più un dettaglio IT. Può diventare un tema di sicurezza macchina.

Perché la cybersecurity entra nella sicurezza delle macchine

Una macchina connessa può essere influenzata da software di controllo, parametri modificabili, firmware aggiornabile, interfacce di manutenzione, credenziali di accesso, collegamenti VPN, API, dashboard industriali, sistemi SCADA/HMI, gateway IoT, protocolli industriali, componenti cloud e account di fornitori esterni.

Il Regolamento stabilisce che i sistemi di controllo devono essere progettati e costruiti in modo da prevenire situazioni pericolose: i parametri della macchina non devono cambiare in modo incontrollato se quel cambiamento può portare a situazioni pericolose, e modifiche a impostazioni o regole devono essere prevenute quando possono condurre a situazioni pericolose.

Da qui nasce il collegamento tra cybersecurity e safety. Un attacco informatico, una configurazione errata, una credenziale compromessa o un accesso remoto mal gestito possono alterare parametri, logiche, comandi o disponibilità della macchina. Non si tratta solo di sicurezza informatica in senso stretto: è rischio cyber-safety.

Cos’è una modifica sostanziale

La definizione di modifica sostanziale nel Regolamento è più precisa di come spesso viene raccontata. Una modifica è sostanziale quando ricorrono diversi elementi: riguarda una macchina o un prodotto correlato già immesso sul mercato o messo in servizio; avviene con mezzi fisici o digitali; non era prevista o pianificata dal fabbricante; incide sulla sicurezza della macchina; crea un nuovo pericolo oppure aumenta un rischio esistente; richiede l’aggiunta di ripari, dispositivi di protezione o ulteriori misure protettive secondo i criteri indicati dal regolamento.

Questa formulazione evita due errori opposti. Il primo è minimizzare: “è solo una modifica software, quindi non riguarda la sicurezza macchina”. Il secondo è estremizzare: “ogni modifica digitale è automaticamente modifica sostanziale”. La posizione corretta è più tecnica: una modifica digitale va valutata quando può incidere sul comportamento della macchina, sulle sue funzioni di sicurezza, sui parametri critici, sull’accesso al software, sulla configurazione o sul controllo remoto.

Il Regolamento chiarisce inoltre che operazioni di riparazione e manutenzione che non incidono sulla conformità della macchina ai requisiti essenziali di salute e sicurezza non dovrebbero essere considerate modifiche sostanziali.

Chi effettua una modifica sostanziale può diventare “fabbricante”

Il punto più rilevante dal punto di vista commerciale e operativo è questo: chi effettua una modifica sostanziale può assumere obblighi da fabbricante. L’articolo 18 del Regolamento stabilisce che una persona fisica o giuridica che effettua una modifica sostanziale è considerata fabbricante ai fini del regolamento ed è soggetta agli obblighi del fabbricante per quella macchina o prodotto, o per la parte interessata se la modifica impatta solo una parte di un insieme di macchine.

Chi effettua la modifica sostanziale deve assicurare e dichiarare, sotto la propria responsabilità, che la macchina o il prodotto correlato sia conforme ai requisiti applicabili e deve applicare la procedura di valutazione della conformità pertinente.

In pratica, il tema non riguarda solo il produttore originario. Può riguardare anche:

Utilizzatori industriali che modificano macchine in campo;
System integrator che collegano macchine legacy a reti industriali;
OEM che aggiungono telemetria o manutenzione remota;
Aziende che fanno retrofit digitale;
Fornitori che installano gateway o accessi remoti;
Gruppi industriali che integrano macchine in linee automatizzate;
Manutentori che introducono nuove logiche, sensori, firmware o interfacce.

Il Regolamento chiarisce inoltre che un importatore o distributore può essere considerato fabbricante se immette il prodotto sul mercato con il proprio nome o marchio, o se modifica un prodotto già immesso sul mercato in modo tale da poter incidere sulla conformità ai requisiti applicabili.

Quando una modifica digitale può diventare un problema cyber-safety

Non tutte le modifiche digitali sono uguali. Il punto è capire se la modifica introduce una nuova superficie d’attacco o altera un elemento rilevante per sicurezza, controllo o comportamento della macchina. Di seguito i scenari più frequenti.

Accesso remoto per manutenzione o teleassistenza

Una VPN, un agent remoto, un router industriale, un tunnel permanente o un accesso fornitore possono diventare un canale di ingresso verso PLC, HMI, SCADA o segmenti OT. Le domande rilevanti non riguardano solo il funzionamento dell’accesso, ma chi può accedere, da dove, con quale autenticazione, con quali privilegi, su quali asset, con quali log, con quali limiti temporali, con quale segregazione e cosa succede se l’account viene compromesso. Se un accesso remoto consente di modificare parametri, inviare comandi, aggiornare software o raggiungere sistemi critici, deve essere verificato tecnicamente.

Telemetria e connessione cloud

Molte macchine vengono connesse a dashboard cloud per monitoraggio, diagnostica o manutenzione predittiva. Questa integrazione può introdurre API, broker MQTT, gateway edge, database, agent software, credenziali macchina-cloud e canali di comunicazione persistenti. La telemetria può sembrare “solo lettura”, ma spesso gli stessi canali usati per osservare possono diventare canali per configurare, aggiornare o comandare.

Aggiornamento firmware o software

Un aggiornamento firmware può correggere vulnerabilità, ma può anche introdurne di nuove. I punti da verificare includono la firma degli aggiornamenti, l’integrità del pacchetto, la possibilità di rollback non autorizzato, la protezione del canale di distribuzione, il controllo delle versioni, la gestione del fallimento dell’update, l’impatto sulle funzioni di sicurezza e la possibilità di caricare firmware modificato. Se l’aggiornamento riguarda software critico per la sicurezza o il controllo della macchina, il test tecnico diventa essenziale.

Integrazione IT/OT

Collegare una macchina a una rete aziendale, a un MES, a un ERP, a un data lake industriale o a una piattaforma cloud può modificare il profilo di rischio. Una rete OT piatta, una segmentazione debole o regole firewall permissive possono permettere movimento laterale da IT a OT. In questi casi, il problema non è solo la singola macchina, ma l’architettura complessiva.

Modifica dei parametri o delle logiche di controllo

Le modifiche a parametri, ricette, soglie, logiche operative o configurazioni di sicurezza possono incidere direttamente sul comportamento della macchina. Il Regolamento presta particolare attenzione al fatto che parametri e impostazioni non cambino in modo incontrollato quando ciò può portare a situazioni pericolose. Se un attaccante, un utente non autorizzato o un errore operativo può modificare quei parametri, il rischio non è teorico.

Modifica digitale, rischio introdotto e verifica consigliata

Tipo di modifica	Possibile rischio introdotto	Verifica tecnica consigliata
Apertura accesso remoto	Compromissione credenziali, accesso non autorizzato, pivot verso OT	Remote Access Security Review, penetration test controllato, verifica MFA e privilegi
Connessione a dashboard cloud	API esposte, token compromessi, data exposure, canali bidirezionali non previsti	API security testing, cloud/backend assessment, threat modeling
Gateway IoT su rete OT	Ponte non controllato tra macchina, cloud e rete industriale	Network security assessment, protocol testing, verifica segmentazione
Aggiornamento firmware	Firmware alterato, rollback, update non firmato, backdoor	Firmware security assessment, reverse engineering, test update mechanism
Modifica software HMI/SCADA	Controlli insufficienti, comandi non autorizzati, escalation privilegi	Application security test, access control review, code review
Nuovo protocollo industriale	Parsing vulnerabile, replay, spoofing, fuzzing failure	Protocol security testing, fuzzing controllato, traffic analysis
Integrazione IT/OT	Movimento laterale, esposizione di PLC/HMI, reti piatte	OT network assessment, segmentation review, penetration test OT
Modifica parametri safety-related	Alterazione comportamento macchina, rischio operativo o safety	Configuration review, test autorizzazioni, threat modeling cyber-safety
Aggiunta moduli AI/edge analytics	Decisioni non controllate, input manipolabili, output non validati	Security review architetturale, data flow analysis, abuse case testing
Manutenzione remota da fornitore	Account condivisi, accesso permanente, scarsa tracciabilità	Supplier access review, logging review, least privilege assessment

Questa tabella non serve a decidere da sola se una modifica sia “sostanziale” in senso legale. Serve a capire quando la modifica introduce un rischio tecnico che merita una verifica.

La modifica richiede una verifica tecnica? Domande di autovalutazione

Le domande seguenti permettono una prima autovalutazione prima di coinvolgere un team tecnico.

La modifica introduce una connessione nuova? VPN, gateway, cloud, API, Wi-Fi, router industriale, accesso fornitore, telemetria: se sì, serve almeno una verifica della superficie esposta.
La modifica tocca software, firmware o configurazioni critiche? Firmware macchina, HMI, PLC logic, software di controllo, configurazioni safety-related: se sì, serve una review tecnica del codice, del firmware o della configurazione.
La modifica consente comandi, aggiornamenti o cambi parametri da remoto? Se sì, serve verificare autenticazione, autorizzazione, integrità dei comandi, logging e tracciabilità.
La modifica collega IT e OT? Se sì, serve verificare segmentazione, regole firewall, percorsi di accesso, asset raggiungibili e possibilità di movimento laterale.
La modifica non era prevista dal fabbricante originario? Se sì, il tema della modifica sostanziale va valutato con attenzione, anche sul piano documentale e di conformità.
Un abuso della modifica potrebbe creare un nuovo pericolo o aumentare un rischio esistente? Se sì, la verifica tecnica non è opzionale: è il modo più concreto per misurare il rischio introdotto.

Esempio operativo: retrofit con accesso remoto su macchina legacy

Un’azienda manifatturiera aggiunge teleassistenza remota a una macchina legacy. L’intervento include un router industriale, una VPN sempre attiva, un account fornitore condiviso, accesso a HMI, possibilità di modificare parametri, connessione alla rete OT di stabilimento, nessuna autenticazione multifattore, log non centralizzati e segmentazione minima.

Formalmente, l’obiettivo è migliorare la manutenzione. Tecnicamente, la macchina passa da sistema isolato o semi-isolato a sistema raggiungibile da remoto: la superficie d’attacco cambia in modo sostanziale.

Un assessment tecnico dovrebbe verificare l’esposizione del router e dei servizi, la robustezza dell’autenticazione, i privilegi dell’account fornitore, la possibilità di raggiungere altri asset OT, la modificabilità dei parametri, il logging degli accessi, la segregazione tra teleassistenza e rete industriale, la possibilità di abuso della VPN e l’impatto di una compromissione sul comportamento macchina.

Il risultato non è una sentenza legale sulla conformità. È un’evidenza tecnica: quali rischi sono stati introdotti, quali sono sfruttabili, quali vanno mitigati e quali correzioni vanno validate.

Come verificare tecnicamente il rischio introdotto

La verifica tecnica di una modifica digitale non dovrebbe limitarsi a una checklist documentale. Serve un approccio strutturato che copra le fasi seguenti.

Threat modeling della modifica. Prima di testare, bisogna capire cosa cambia: quali asset vengono aggiunti, quali canali di comunicazione vengono aperti, quali account vengono creati, quali funzioni diventano remote, quali dati vengono trasmessi, quali comandi possono essere eseguiti, quali sistemi OT diventano raggiungibili e quali failure mode diventano possibili. Il threat model permette di identificare i percorsi d’attacco più realistici.

Security review architetturale. Verifica segmentazione IT/OT, posizionamento del gateway, regole firewall, canali cloud, accessi fornitori, autenticazione, logging, segregazione delle funzioni ed esposizione delle interfacce.

Vulnerability assessment controllato. In OT non si esegue scanning aggressivo senza pianificazione. Si definiscono finestre, asset, limiti, modalità e procedure di stop. L’obiettivo è identificare vulnerabilità note, configurazioni insicure e servizi esposti senza mettere a rischio la produzione.

Penetration test OT mirato. Verifica se un attaccante potrebbe sfruttare le debolezze individuate per ottenere accesso, aumentare privilegi, raggiungere asset critici o manipolare funzioni rilevanti. In ambienti industriali, il test deve essere controllato, concordato e proporzionato al rischio operativo.

Firmware e software security assessment. Quando la modifica include firmware, software embedded, HMI, dashboard o app, servono test dedicati: firmware analysis, reverse engineering, source code review, API testing, test autenticazione/autorizzazione, verifica update sicuro, verifica credenziali hardcoded, test servizi nascosti o debug interface.

Protocol security testing. Se la modifica introduce protocolli industriali o canali di comunicazione machine-to-machine, serve verificare autenticazione, integrità, replay, spoofing, manipolazione dei messaggi, robustezza del parsing, cifratura e gestione errori.

Report, remediation e re-test. Il valore non sta solo nel trovare vulnerabilità, ma nel produrre evidenze utilizzabili: executive summary, report tecnico, classificazione rischio, scenari di attacco, impatti cyber-safety, remediation plan con priorità, re-test ed evidenza di correzione.

Output di un assessment utile

Un assessment ben fatto deve parlare a più interlocutori. Il management ha bisogno di capire esposizione, impatto e priorità. Il team IT/OT ha bisogno di indicazioni tecniche operative. Il team R&D ha bisogno di dettagli su firmware, codice, protocolli, update e architettura. Il responsabile compliance o qualità ha bisogno di evidenze documentabili.

Output	A cosa serve
Executive summary	Sintesi per la direzione: rischio e decisioni
Threat model	Comprendere superfici d’attacco e scenari
Report tecnico	Dettaglio vulnerabilità, evidenze, PoC controllate
Piano di remediation basato sul rischio	Priorità di correzione basate su impatto reale
Report di re-test	Evidenza della correzione
Note su architettura e sicurezza	Indicazioni su segmentazione, accessi, logging, hardening
Mappatura asset e superficie d’attacco	Base per assessment ricorrenti futuri
Evidenze tecniche	Supporto ad audit, risk assessment e percorsi di conformità

Regolamento Macchine, CRA e NIS2: tre livelli distinti

Le normative cyber-industriali non vanno sovrapposte in modo confuso. È utile distinguere tre livelli di riferimento.

Livello	Norma / standard	Focus
Prodotto digitale	Cyber Resilience Act	Sicurezza di software, hardware e prodotti con elementi digitali
Macchina / safety	Regolamento Macchine 2023/1230	Sicurezza della macchina, inclusi rischi introdotti da software, connessioni e modifiche
Organizzazione / rischio	NIS2	Gestione del rischio cyber a livello aziendale e supply chain
Framework tecnico industriale	IEC 62443	Controlli tecnici per ambienti industriali, sistemi IACS, zone e conduits

Il denominatore comune è che non basta dichiarare sicurezza: bisogna verificarla, documentarla e mantenerla nel tempo.

Quando attivare un assessment

Un assessment non dovrebbe essere attivato solo dopo un incidente. I momenti più opportuni sono prima di introdurre un accesso remoto, prima di collegare una macchina a una rete OT o IT, prima di installare un gateway IoT, prima di rilasciare un firmware, prima di aggiornare software di controllo, prima di un retrofit industriale, prima di una nuova integrazione cloud, prima di commercializzare una macchina connessa, dopo una remediation, dopo modifiche a parametri o funzioni critiche e periodicamente come controllo ricorrente.

La domanda da porsi in ottica Regolamento Macchine è: questa modifica può incidere sulla sicurezza, sul comportamento o sul controllo della macchina? Se la risposta è sì o non è chiara, serve una verifica tecnica.

Il supporto tecnico di ISGroup

ISGroup supporta OEM, costruttori di macchine, system integrator e utilizzatori industriali con attività tecniche mirate alla verifica del rischio introdotto da modifiche digitali, accessi remoti, retrofit, software, firmware e integrazioni IT/OT. Le attività includono IoT/OT Security Assessment, penetration test OT, penetration test su macchine connesse, security auditing, threat modeling, hardware security testing, software security testing, firmware analysis, reverse engineering, source code review, API security testing, protocol security testing, Remote Access Security Review, vulnerability assessment controllato, remediation plan e re-test.

ISGroup non certifica la macchina e non sostituisce organismi notificati o consulenti legali. ISGroup produce ciò che spesso manca nei percorsi di adeguamento, qualifica o audit: evidenze tecniche ottenute testando la sicurezza come farebbe un attaccante.

Hai aggiunto un accesso remoto, un gateway, una dashboard cloud, una telemetria, un firmware aggiornabile o una nuova integrazione IT/OT? Prima che una modifica digitale diventi esposizione operativa, commerciale o regolatoria, è opportuno verificare se introduce superfici d’attacco reali. ISGroup esegue assessment, penetration test, security auditing e reverse engineering su dispositivi IoT, macchine connesse, firmware, software, protocolli, reti OT e accessi remoti.

Domande frequenti sul Regolamento Macchine e cybersecurity

Cos’è una modifica sostanziale nel Regolamento Macchine 2023/1230?
È una modifica fisica o digitale di una macchina o di un prodotto correlato, effettuata dopo l’immissione sul mercato o la messa in servizio, non prevista dal fabbricante, che incide sulla sicurezza creando un nuovo pericolo o aumentando un rischio esistente.
Ogni modifica digitale è una modifica sostanziale?
No. Non ogni modifica software, firmware o IoT è automaticamente sostanziale. La valutazione dipende dall’impatto sulla sicurezza, sul comportamento della macchina, sui rischi esistenti e sull’eventuale introduzione di nuovi pericoli. Riparazioni e manutenzioni ordinarie che non incidono sulla conformità ai requisiti essenziali non rientrano nella definizione.
Chi effettua una modifica sostanziale diventa fabbricante?
Sì. Il Regolamento stabilisce che la persona fisica o giuridica che effettua una modifica sostanziale è considerata fabbricante ai fini del regolamento ed è soggetta ai relativi obblighi, inclusa la procedura di valutazione della conformità.
Un accesso remoto può essere rilevante ai fini della modifica sostanziale?
Può diventarlo se l’accesso remoto consente di modificare parametri, raggiungere sistemi critici, inviare comandi, aggiornare software o incidere sul comportamento sicuro della macchina. In questi casi è opportuno verificare tecnicamente il rischio introdotto.
Cosa c’entra la cybersecurity con la sicurezza macchina?
Una vulnerabilità cyber può permettere accesso non autorizzato, modifica di parametri, alterazione di configurazioni, blocco di sistemi o manipolazione di software e dati critici. Il Regolamento richiede protezione contro corruzione accidentale o intenzionale di hardware, software e dati rilevanti per la sicurezza della macchina.
ISGroup certifica la conformità al Regolamento Macchine?
No. ISGroup non certifica macchine, non sostituisce organismi notificati e non fornisce pareri legali. L’intervento riguarda la parte tecnica: penetration test, assessment, security auditing, reverse engineering e validazione delle superfici d’attacco.

Regolamento Macchine 2023/1230 e cybersecurity: modifica sostanziale