Protezione dall’alterazione ai sensi del regolamento macchine: allegato III, punto 1.1.9, nella valutazione del rischio
Dal 20 gennaio 2027 l’allegato III, parte B, punto 1.1.9, del regolamento macchine (UE) 2023/1230 richiede che dispositivi collegati e accessi remoti non determinino una situazione pericolosa, che hardware, software e dati rilevanti per la sicurezza siano protetti da un’alterazione accidentale e intenzionale e che la macchina individui il proprio software rilevante per la sicurezza e raccolga prove degli interventi. Il punto 1.2.1 aggiunge che i sistemi di comando, se del caso, resistano ai tentativi deliberati ragionevolmente prevedibili da parte di terzi e che gli interventi e il software di sicurezza caricato restino tracciabili per cinque anni dopo il caricamento; entrambi vanno esaminati nella valutazione del rischio. CE-Copilot copre la protezione dall’alterazione come parte della valutazione del rischio: inventario delle interfacce, 15 scenari di minaccia come pericoli con misure su tre livelli, basati sul progetto di norma prEN 50742, e una lista di controllo delle evidenze, nel piano Starter a partire da 119 € al mese (licenza di tre mesi alla volta, prezzo finale; lista di controllo nei rapporti di prova dal piano Professional).
Che cosa richiede il punto 1.1.9
Il punto 1.1.9 «Protezione dall’alterazione» è nuovo nella normativa sulle macchine. Si compone di cinque commi, qui riassunti dalla versione consolidata:
Dispositivi collegati e accesso remoto
1.1.9, primo comma
Il collegamento di un altro dispositivo, tramite qualsiasi caratteristica di tale dispositivo o tramite un dispositivo remoto che comunica con la macchina, non deve determinare una situazione pericolosa.
Hardware rilevante per la sicurezza
1.1.9, secondo comma
I componenti hardware che trasmettono segnali o dati importanti per l’accesso a software fondamentali per la conformità devono essere adeguatamente protetti da un’alterazione accidentale o intenzionale. La macchina raccoglie prove degli interventi legittimi o illegittimi su tali componenti.
Software e dati
1.1.9, terzo comma
Software e dati critici per il rispetto dei requisiti essenziali di sicurezza e di tutela della salute devono essere individuati come tali e adeguatamente protetti da un’alterazione accidentale o intenzionale.
Identificazione del software installato
1.1.9, quarto comma
La macchina individua il software installato necessario per il funzionamento in condizioni di sicurezza ed è in grado di fornire tale informazione in qualsiasi momento in un formato facilmente accessibile.
Prove degli interventi su software e configurazione
1.1.9, quinto comma
La macchina raccoglie prove degli interventi legittimi o illegittimi sul software e delle modifiche del software installato o della sua configurazione.
Il legame con il punto 1.2.1 «Sicurezza ed affidabilità dei sistemi di comando»
Il punto 1.2.1 applica la stessa idea al sistema di comando. I sistemi di comando devono resistere, se del caso, a circostanze e rischi e agli influssi esterni, compresi espressamente i tentativi deliberati ragionevolmente prevedibili da parte di terzi che conducono a una situazione pericolosa (lettera a)). Un’avaria nell’hardware o nella logica del sistema di comando non deve creare situazioni pericolose (lettera b)). I limiti delle funzioni di sicurezza sono stabiliti nella valutazione del rischio e non sono consentite modifiche pericolose delle impostazioni o delle norme, neanche durante una fase di apprendimento (lettera d)). Nuova è la lettera f): la registrazione di tracciamento dei dati generati in relazione a un intervento e delle versioni del software di sicurezza caricato dopo l’immissione sul mercato deve essere disponibile per cinque anni dopo il caricamento, a seguito di una richiesta motivata di un’autorità nazionale competente.
Due ulteriori punti riguardano ogni macchina collegata: in caso di comando wireless, un guasto della comunicazione o della connessione o una connessione difettosa non deve determinare una situazione pericolosa (punto 1.2.1, ultimo comma), e l’interruzione, il ripristino o la variazione della connessione alla rete di comunicazione non devono creare situazioni pericolose (punto 1.2.6). L’obiettivo di protezione di tutti questi requisiti è la sicurezza delle persone, non la protezione dei dati o del know-how.
Che cosa deve dimostrare il fabbricante
Il regolamento macchine non prescrive una determinata tecnologia, ma ogni requisito deve essere soddisfatto in modo tracciabile. Nella pratica nascono queste evidenze:
| Requisito | Punto | Evidenza tipica |
|---|---|---|
| Le interfacce non determinano una situazione pericolosa | 1.1.9, primo comma | Inventario delle interfacce, scenari di minaccia con misure per ogni interfaccia nella valutazione del rischio, descrizione delle interfacce per gli integratori |
| Hardware rilevante per la sicurezza protetto, interventi tracciabili | 1.1.9, secondo comma | Elenco dei gruppi costruttivi protetti, sigilli, porte bloccate, elenco degli eventi del sistema di comando con un registro di esempio |
| Software e dati individuati e protetti | 1.1.9, terzo comma | Registro del software e dei dati rilevanti per la sicurezza con versioni e checksum, descrizione dei controlli di integrità e della protezione degli accessi |
| Software installato identificabile in qualsiasi momento | 1.1.9, quarto comma | Screenshot della visualizzazione della versione, confronto con il verbale di collaudo |
| Interventi su software e configurazione registrati | 1.1.9, quinto comma | Registro delle modifiche e degli eventi con utente, ora, contenuto e versione, modalità di esportazione |
| Il sistema di comando resiste ai tentativi deliberati prevedibili da parte di terzi | 1.2.1, lettera a) | Concetto di sicurezza con zone, ruoli e regole per le password, evidenze di hardening, rapporto di prova |
| Nessuna modifica pericolosa di impostazioni o norme | 1.2.1, lettera d) | Limiti delle funzioni di sicurezza dalla valutazione del rischio, protezione da scrittura dei parametri rilevanti per la sicurezza |
| Registrazione di tracciamento per cinque anni dopo il caricamento | 1.2.1, lettera f) | Concetto di archiviazione e conservazione per i dati degli interventi e le versioni del software di sicurezza, procedura di esportazione per le richieste delle autorità |
| La perdita della rete di comunicazione o del collegamento radio non è pericolosa | 1.2.6; 1.2.1, ultimo comma | Rapporto di prova su perdita di comunicazione e riavvio in tutti i modi operativi, tempo di arresto in caso di perdita del collegamento |
La documentazione tecnica contiene la valutazione del rischio con l’elenco dei requisiti applicabili e le misure di protezione (allegato IV, parte A, lettera b)) e i rapporti di prova (lettera g)). Nuova è la lettera m): il codice sorgente o la logica di programmazione del software relativo alla sicurezza è messo a disposizione a seguito di una richiesta motivata di un’autorità nazionale competente, qualora sia necessario per verificare i requisiti essenziali (si veda anche l’articolo 10, paragrafo 3).
prEN 50742, IEC 62443 e la presunzione di conformità
prEN 50742 «Sicurezza del macchinario, protezione dall’alterazione» è il progetto di norma per il punto 1.1.9, elaborato presso il CENELEC. In Germania è stato pubblicato come progetto DIN EN 50742 (VDE 0113-742):2026-03. Secondo un articolo tecnico di IBF Solutions GmbH (ultimo aggiornamento 5 ottobre 2026) il progetto è in fase di approvazione; non è stabilito quando sarà pubblicata la EN. Il progetto non ha alcun riferimento nella Gazzetta ufficiale a titolo del regolamento macchine. Una presunzione di conformità ai sensi dell’articolo 20, paragrafo 1, nasce solo con un tale riferimento.
Secondo quell’articolo il progetto descrive due approcci. Il percorso A si basa su un’analisi delle minacce specifica del fabbricante secondo EN ISO 12100, cioè all’interno della consueta valutazione del rischio. Il percorso B utilizza la serie IEC 62443 con il processo di sviluppo sicuro (IEC 62443-4-1), i requisiti di sistema (-3-3) e i requisiti dei componenti (-4-2).
IEC 62443 è la serie consolidata per la sicurezza informatica dei sistemi di automazione industriale e un buon orientamento per le misure di sicurezza. Ai sensi del regolamento macchine non è una norma armonizzata e non conferisce presunzione di conformità. Se la applica, la descriva nella documentazione tecnica come specifica tecnica applicata (allegato IV, parte A, lettera f)) e mostri nella valutazione del rischio come le misure riducono i pericoli per le persone.
L’articolo 20, paragrafo 9, prevede un’ulteriore via verso la presunzione: le macchine certificate, o per le quali è stata emessa una dichiarazione di conformità, nell’ambito di un sistema di certificazione della cibersicurezza adottato ai sensi del regolamento (UE) 2019/881 i cui riferimenti sono pubblicati nella Gazzetta ufficiale sono considerate conformi ai punti 1.1.9 e 1.2.1 nella misura in cui il certificato o la dichiarazione coprono tali requisiti. Verifichi se un tale sistema è un’opzione per il Suo prodotto.
Il rapporto con il regolamento sulla ciberresilienza e la direttiva sulle apparecchiature radio
- Regolamento sulla ciberresilienza (UE) 2024/2847. Si applica ai prodotti con elementi digitali, comprese le macchine collegate, e tutela la cibersicurezza del prodotto per tutta la sua vita. Gli obblighi di segnalazione dell’articolo 14 si applicano dall’11 settembre 2026, anche ai prodotti già consegnati; gli altri obblighi si applicano ai prodotti immessi sul mercato dall’11 dicembre 2027. Secondo il considerando 53, il rispetto dei requisiti del CRA può facilitare la dimostrazione della conformità ai punti 1.1.9 e 1.2.1; il fabbricante dimostra la sinergia e segue la valutazione della conformità ai sensi di entrambi i regolamenti. La conformità al CRA non crea una presunzione per il punto 1.1.9. Dettagli nella guida Il regolamento sulla ciberresilienza per le macchine.
- Direttiva 2014/53/UE sulle apparecchiature radio. Per le apparecchiature radio immesse sul mercato dal 1° agosto 2025 al 10 dicembre 2027 si applicano, tramite il regolamento delegato (UE) 2022/30, i requisiti di cibersicurezza dell’articolo 3, paragrafo 3, lettere d), e) ed f), con la serie EN 18031. Il regolamento delegato (UE) 2026/339 lo abroga con effetto dall’11 dicembre 2027; da allora subentra il CRA. Se una macchina con un modulo radio installato in modo permanente sia nel suo insieme un’apparecchiatura radio non è chiarito in modo definitivo.
La stessa interfaccia può quindi comparire in un massimo di tre valutazioni con obiettivi di protezione diversi: le persone (regolamento macchine), la rete e i dati (direttiva sulle apparecchiature radio) e il prodotto per tutta la sua vita (CRA). Calendario e metodi nella guida Cibersicurezza delle macchine.
Il procedimento in sette passi
1. Registrare interfacce e beni da proteggere
Ogni via attraverso cui dati o comandi raggiungono la macchina: rete e bus di campo, manutenzione remota, connessione cloud, radio, USB e schede di memoria, pannello operatore con gestione dei parametri, accesso di programmazione al sistema di comando, percorso di aggiornamento, hardware di sicurezza accessibile nel quadro elettrico e dispositivi di terzi collegati. Si aggiungono il software e i dati critici per la sicurezza, come il programma di sicurezza, i valori limite e i parametri di muting.
2. Individuare le minacce come pericoli
Per ogni interfaccia si chieda: un’alterazione accidentale o intenzionale può provocare una situazione pericolosa? Scenari tipici sono parametri di sicurezza modificati tramite la rete, un accesso remoto mentre qualcuno lavora nella zona pericolosa, una versione software non approvata dopo un aggiornamento, contatti di sicurezza ponticellati o una perdita di comunicazione seguita da un riavvio inatteso.
3. Stimare e ponderare il rischio
Come per qualsiasi altro pericolo: gravità del possibile danno e probabilità. Per gli scenari di sicurezza informatica la probabilità dipende soprattutto da quanto è raggiungibile l’interfaccia (internet, rete locale, solo in loco), dall’impegno necessario e dal fatto che un intervento venga rilevato o no.
4. Definire le misure in ordine di priorità
Secondo il punto 1.1.2, lettera b), prima la progettazione, ad esempio parametri rilevanti per la sicurezza conservati solo nel controllore di sicurezza e non scrivibili tramite la rete di processo; poi misure di protezione tecniche come autenticazione, aggiornamenti firmati, segmentazione e registrazione; per ultime le informazioni per l’uso.
5. Ponderare il rischio residuo e verificare l’efficacia
Rivaluti il rischio residuo per ogni scenario e verifichi le misure: visualizzazione della versione, voci di registro dopo un aggiornamento, comportamento in caso di perdita di comunicazione, abilitazione in loco dell’accesso remoto. I risultati rientrano nei rapporti di prova di cui all’allegato IV, parte A, lettera g).
6. Evidenze nella documentazione tecnica
La valutazione del rischio con l’elenco dei requisiti applicabili, compreso il punto 1.1.9, e le misure di protezione (allegato IV, parte A, lettera b)), le specifiche tecniche applicate per i progetti di norma o la IEC 62443 (lettera f)) e i rapporti di prova (lettera g)). Il codice sorgente o la logica di programmazione del software relativo alla sicurezza è messo a disposizione a seguito di una richiesta motivata di un’autorità nazionale competente (lettera m), articolo 10, paragrafo 3).
7. Indicazioni nelle istruzioni per l’uso
Il punto 1.7.4.2 non prevede una voce specifica sulla sicurezza informatica. Le indicazioni rientrano nella messa in servizio e nell’uso (lettera k)), nei rischi residui (lettera l)) e nelle misure di protezione che l’utilizzatore deve adottare (lettera m)): dove è visualizzata la versione del software, la procedura di aggiornamento seguita da una prova di funzionamento delle funzioni di sicurezza (punto 1.1.2, lettera e)), i requisiti per la rete dell’utilizzatore, l’abilitazione dell’accesso remoto e la conservazione dei registri.
Esempi: interfaccia, minaccia, misure
| Interfaccia | Minaccia | Misure tipiche |
|---|---|---|
| Rete, OPC UA, MES | Un accesso in scrittura non autorizzato modifica i tempi di muting o i limiti di velocità | Parametri di sicurezza solo nel controllore di sicurezza, non scrivibili tramite la rete di processo; autenticazione, checksum della configurazione di sicurezza, registro di ogni modifica |
| Manutenzione remota, VPN | Modifica del programma o reset da remoto mentre ci sono persone nella zona pericolosa | Accesso remoto senza percorso verso il controllore di sicurezza, abilitazione solo in loco e limitata nel tempo, indicazione «accesso remoto attivo», registro delle sessioni |
| Aggiornamento software | Viene installata una versione manipolata o non approvata del software di sicurezza | Firmware firmato e verificato prima dell’attivazione, checksum sul pannello operatore, voce di versione conservata per cinque anni, prova di funzionamento dopo ogni aggiornamento |
| Quadro elettrico | Contatti di sicurezza ponticellati o DIP switch del modulo di sicurezza modificati | Quadro chiuso a chiave, sigilli, connettori codificati, apertura registrata con marca temporale |
| Bus di campo, radio | Perdita di comunicazione, poi avvio inatteso con valori di riferimento non aggiornati | Monitoraggio temporale dei telegrammi di sicurezza, passaggio allo stato sicuro, riavvio solo dopo conferma |
Come CE-Copilot copre la protezione dall’alterazione
CE-Copilot segue il percorso A del progetto prEN 50742: l’analisi delle minacce fa parte della valutazione del rischio secondo EN ISO 12100, valutata con lo stesso indice di rischio di gravità e probabilità di ogni altro pericolo.
Modulo «Protezione dall’alterazione» nella valutazione del rischio
Compare nell’editor della valutazione del rischio non appena la descrizione della macchina cita interfacce digitali come rete, manutenzione remota, USB, radio o un pannello operatore con gestione dei parametri; altrimenti lo visualizza tramite «Valutazioni ai sensi di altri atti giuridici». L’inventario delle interfacce comprende dieci tipi di interfaccia ed è precompilato dalla descrizione; le menzioni esplicitamente negate, come «senza Wi-Fi», non vengono riprese. Lei conferma o corregge la selezione, che viene salvata nel profilo macchina del progetto.
dal piano Starter
15 scenari di minaccia come pericoli
Per le interfacce selezionate il modulo propone scenari adatti, dalla manipolazione dei parametri tramite la rete fino alla mancata registrazione. Viene ripreso solo ciò che Lei spunta nella finestra di selezione: come pericolo del tipo «Manipolazione/sicurezza informatica» con scenario, fasi del ciclo di vita, riferimento normativo, gravità e probabilità precompilate e misure su tre livelli. Il riferimento segue il quadro giuridico del progetto: in un progetto soggetto al regolamento macchine l’allegato III, punti 1.1.9, 1.2.1 e 1.2.6; in un progetto soggetto alla direttiva macchine l’allegato I, punti 1.2.1 e 1.2.6, come stato dell’arte, con una nota sul punto 1.1.9 dal 20 gennaio 2027. Ogni scenario indica come riferimento i requisiti di sistema corrispondenti della IEC 62443-3-3.
dal piano Starter
Ricerca dei pericoli con IA che considera le interfacce
Se l’inventario contiene interfacce, la ricerca dei pericoli con IA chiede in aggiunta scenari specifici della macchina in cui un’alterazione proprio di queste interfacce può provocare una situazione pericolosa, valutati come gli altri pericoli. I suggerimenti sono bozze per la Sua verifica tecnica.
dal piano Starter, nell’ambito del contingente IA del piano
Evidenze nell’esportazione
L’esportazione PDF e Word della valutazione del rischio e il dossier di progetto complessivo contengono un riquadro «Protezione dall’alterazione» con il numero degli scenari valutati, l’inventario delle interfacce e la base giuridica, compresa la nota esplicita che senza un riferimento nella Gazzetta ufficiale non c’è presunzione di conformità.
dal piano Starter
Sezione dei rapporti di prova con dodici requisiti
I requisiti da A1 ad A12 si riferiscono ai punti 1.1.9, 1.2.1 e 1.2.6, oltre alle istruzioni per l’uso e al processo di aggiornamento, ciascuno con riferimento normativo, evidenza attesa e rimando alla IEC 62443. In un progetto soggetto al regolamento macchine tutti e dodici sono obbligatori; in un progetto soggetto alla direttiva macchine i requisiti che esistono solo nel regolamento sono indicati come raccomandazioni per l’immissione sul mercato dal 20 gennaio 2027.
dal piano Professional
Capitolo sulla cibersicurezza nelle istruzioni per l’uso
Le interfacce verificate compaiono nelle istruzioni per l’uso con denominazione, protocollo, collegamento e percorso di aggiornamento. Le informazioni sulla protezione degli accessi sono volutamente escluse dal documento, affinché le istruzioni non diventino una descrizione delle vulnerabilità.
modulo Istruzioni per l’uso dal piano Professional, acquisto una tantum per progetto
Un unico inventario per regolamento macchine, apparecchiature radio e CRA
I dettagli per ogni interfaccia e i beni da proteggere li gestisce una sola volta; il modulo Apparecchiature radio e la pagina «Cibersicurezza (CRA)» usano lo stesso inventario. Il modulo segnala inoltre che la valutazione dei rischi di cibersicurezza ai sensi del CRA è una valutazione separata accanto al punto 1.1.9.
inventario dal piano Starter, pagina Cibersicurezza (CRA) dal piano Professional
Che cosa CE-Copilot non fa: nessuna certificazione, nessun test di penetrazione, nessuna verifica del Suo software di comando e nessuna classificazione in livelli di sicurezza secondo la IEC 62443 o il progetto di norma (il percorso B è indicato per ogni scenario come riferimento, non eseguito). L’app non contiene il testo della prEN 50742. Piani e prezzi sono elencati nella pagina dei prezzi; dove altro la Sua macchina richiede interventi prima del 20 gennaio 2027 lo mostra la verifica di preparazione al regolamento macchine gratuita.
FAQ
Domande frequenti
Il punto 1.1.9 si applica a ogni macchina?
Da quando devo dimostrare la protezione dall’alterazione?
La prEN 50742 è una norma armonizzata?
Basta applicare la IEC 62443?
Che rapporto c’è tra la protezione dall’alterazione e il regolamento sulla ciberresilienza?
La protezione dall’alterazione deve far parte della valutazione del rischio?
Che cosa va nelle istruzioni per l’uso in materia di protezione dall’alterazione?
Esiste un software che integri la protezione dall’alterazione nella valutazione del rischio?
Fonti
- Regolamento (UE) 2023/1230 relativo alle macchine, versione consolidata del 27 luglio 2026
- Regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza)
- Regolamento delegato (UE) 2026/339 che abroga il regolamento delegato (UE) 2022/30
- DIN Media: progetto di norma DIN EN 50742 (VDE 0113-742):2026-03, consultato il 3 novembre 2026
Conformità UE delle macchine gestita internamente, in italiano
Questa guida è scritta dal team di CE-Copilot, una piattaforma software per l'intero processo CE delle macchine nell'UE: classificazione delle direttive, una ricerca norme su 3600+ norme con stato di armonizzazione, valutazione del rischio secondo EN ISO 12100, documentazione della sicurezza funzionale, rapporti di prova, documentazione tecnica, istruzioni per l'uso e dichiarazione di conformità UE. I documenti vengono esportati in sette lingue, tra cui il cinese, la dichiarazione di conformità UE in tedesco, inglese, francese, italiano, spagnolo e polacco. La piattaforma è disponibile in italiano e in inglese; l'IA redige le bozze, Lei verifica e approva.
Altre guide
Questa guida è un’informazione generale per i fabbricanti di macchine, verificata sui testi giuridici ufficiali dell’UE (stato: 3 novembre 2026). Non costituisce consulenza legale. Per decisioni sul Suo prodotto specifico consulti i testi giuridici (EUR-Lex) o un consulente qualificato.