La Direttiva macchine, meglio nota come Direttiva 2006/42/EC, ha l’obiettivo principale di proteggere la sicurezza delle persone (safety). Ma l’arrivo di nuove tecnologie come intelligenza artificiale e la crescita di alcuni settori come IoT e robotica, ha posto l’urgenza di intervenire sulla direttiva con una proposta di un nuovo Regolamento macchine (Regulation of the European Parliament and of the Council on machinery products) atto a valutare gli impatti safety/cyber security di queste tecnologie e contribuire ancora di più alla trasformazione digitale.
Essendo un regolamento, sarà direttamente applicabile nei paesi membri della UE, dopo l’entrata in vigore.
Si tratta di un testo di 52 articoli e 11 Allegati.
Gli elementi che hanno guidato alla stesura della proposta sono:
- nuovi rischi derivanti da tecnologie emergenti: collaborazione sempre più spinta uomo-macchina o uomo-robot (ovvero CO-BOTS);
- aumento esponenziale della connettività delle macchine;
- presenza sempre maggiore di Software e necessità conseguente di aggiornamenti;
- presenza sempre maggiore di movimenti e/o macchine in movimento autonomo.
L’avvento di questo mondo nuovo ha creato nella precedente direttiva dei Gaps legislativi (obblighi per distributori, importatori o fabbricanti) e di concetti (Conformità UE) e definizioni (“modifica sostanziale” e “quasi-macchina”) che sono stati introdotti nuovi e/o rivisti nel Nuovo Regolamento per mantenere la conformità delle macchine ai requisiti essenziali di salute e Safety (cosiddetti EHSR, “Essential Health and Safety Requirements”).
Inoltre, con la proposta è stata anche prevista un’attenzione particolare alla documentazione. All’origine della Direttiva macchine c’è l’obbligo di fornire istruzioni e manuali d’uso in forma cartacea, ma di nuovo alla luce delle nuove tecnologie digitali e per ridurre l’impatto ambientale e ridurre anche i costi di questa documentazione, ora si richiederà una documentazione quasi esclusivamente digitale.
La proposta verrà resa coerente in forma finale anche con le normative in ambito cyber security (ad esempio il regolamento generale 2019/881) ed è questo il tema di cui ci occuperemo nel seguito di questo articolo.
Gestione dei rischi in ambito OT: come affrontarli nei diversi settori
Indice degli argomenti
La cyber security nel nuovo Regolamento macchine
La cyber security entra di diritto nel nuovo Regolamento, con un’importanza essenzialmente legata agli impatti sulla safety. Al fine di affrontare i rischi derivanti da azioni dolose di terzi e che hanno un impatto sulla safety delle macchine, la proposta aggiunge un nuovo EHSR 1.1.9 e chiarisce EHSR 1.2.1 sulla safety e l’affidabilità dei sistemi di controllo.
Nella proposta si legge che: “Si presume che i prodotti macchina certificati o per i quali sia stata rilasciata una dichiarazione di conformità nell’ambito di un sistema di sicurezza informatica adottato ai sensi del regolamento (UE) 2019/881 e i cui riferimenti siano stati pubblicati nella Gazzetta ufficiale dell’Unione europea siano resi conforme ai requisiti essenziali di salute e sicurezza di cui all’allegato III, punti 1.1.9 e 1.2.1, per quanto riguarda la protezione contro la corruzione e la Safety e l’affidabilità dei sistemi di controllo, nella misura in cui tali requisiti sono coperti dal certificato di Cybersecurity o dichiarazione di conformità o parti di essa”.
Vediamo a questo punto nel dettaglio i requisiti richiesti di cyber security.
Protezione contro la corruzione e affidabilità dei sistemi di controllo
Nella parte Allegati del nuovo Regolamento, ci sono i requisiti di cyber security.
Il testo dell’articolo 1.1.9 recita letteralmente così:
“La macchina deve essere progettata e costruita in modo tale che la connessione ad essa di un altro dispositivo, tramite qualsiasi caratteristica del dispositivo collegato o tramite qualsiasi dispositivo remoto che comunichi con la macchina, non porti a una situazione pericolosa.
Un componente hardware che è fondamentale per la conformità del prodotto macchina ai requisiti di salute e safety pertinenti deve essere progettato in modo tale da essere adeguatamente protetto contro la corruzione accidentale o intenzionale. Il prodotto macchina deve raccogliere prove di un intervento legittimo o illegittimo nel componente hardware.
Il software ei dati critici per la conformità del prodotto macchina ai pertinenti requisiti di salute e safety devono essere identificati come tali e devono essere adeguatamente protetti contro la corruzione accidentale o intenzionale.
La macchina deve identificare il software installato su di essa necessario per il suo funzionamento in sicurezza e deve essere in grado di fornire tali informazioni in qualsiasi momento in una forma facilmente accessibile.
Il prodotto macchina deve raccogliere le prove di un intervento legittimo o illegittimo nel software o di una modifica del software installato sul prodotto macchina o sulla sua configurazione”.
È quindi evidente la copertura di tutti gli aspetti principali della macchina, in quanto prodotto finale ma anche per i suoi componenti hardware e software.
Nel successivo articolo 1.2.1(a) si dice invece:
I sistemi di controllo devono essere progettati e costruiti in modo tale che:
“a) siano in grado di resistere, ove appropriato alle circostanze e ai rischi, alle sollecitazioni operative previste e alle influenze esterne previste e involontarie, compresi i tentativi dolosi di terzi di creare una situazione pericolosa;
da cui la necessità di protezione da cyber attacchi che possano avere impatti sulla safety.
Il nuovo Regolamento si applica anche a “modifiche sostanziali” ovvero “una modifica di una macchina, con mezzi fisici o digitali, dopo che tale macchina è stata immessa sul mercato o messa in servizio, che non è prevista dal fabbricante e a seguito della quale la conformità della macchina ai requisiti essenziali di salute e safety possa essere impattata”.
Rientrano, quindi, in questa definizione anche gli aggiornamenti software.
Gli allegati al nuovo Regolamento macchine
Tra i vari Allegati del nuovo regolamento, oltre all’Allegato III che contiene i requisiti EHSR visti prima di cyber security, rimandando al dettaglio che si può trovare nella norma per la descrizione completa, vorrei sottolineare i seguenti aspetti perché possono avere un riflesso sugli obiettivi di cyber security.
- Allegato I – Riguarda le tipologie di macchine ad Alto Rischio, tra cui rientra la categoria “Unità logiche per garantire le funzioni di sicurezza”, “Software che garantisce le funzioni di Safety, compresi i sistemi di intelligenza artificiale e macchine che incorporano sistemi di intelligenza artificiale che garantiscono funzioni di Safety”.
- Allegato II – Lista indicativa dei componenti Safety, tra cui nuovamente ritroviamo la categoria “Software che garantisce funzioni di Safety, compresi i sistemi di intelligenza artificiale”.
- Allegato IV – Documentazione tecnica, tra cui si cita la “valutazione dei rischi rispetto ai quali la macchina è progettata e costruita”, “un elenco dei requisiti essenziali di salute e sicurezza applicabili al prodotto-macchina”, rapporti sulle prove effettuate per verificare la conformità del macchinario ai requisiti essenziali di sicurezza e salute applicabili e “il codice sorgente o la logica programmata del software relativo alla sicurezza per dimostrare la conformità della macchina al presente regolamento a seguito di una richiesta motivata di un’autorità nazionale competente, purché ciò sia necessario affinché tali autorità possano verificare la conformità ai requisiti essenziali di salute e sicurezza di cui all’allegato III”.
Il nuovo Regolamento macchine nel settore OT
Il Nuovo Regolamento macchine intende, dunque, introdurre la cyber security come aspetto importante nei processi di sviluppo.
In ambito OT, lo standard di riferimento (IEC 62443) è già in grado di guidare la Cybersecurity per i sistemi di controllo e automazione industriali e si applica anche a diversi settori come IoT, Medical Devices e via dicendo. È uno standard che riguarda vari livelli di compliance come “componenti”, “sistemi”, “cicli di vita”.
Con i suoi sette Foundational Requirements, tre Security Levels, cinque Architecture levels, rappresenta sicuramente una base a cui riferirsi per la futura compliance al Nuovo Regolamento macchine.
Altri standard e best practices sono linee guida utili per soddisfare in futuro il Nuovo Regolamento. Ad esempio IEC TS 63074, “Safety of machinery – Security aspects related to functional Safety of Safety-related control systems”, collega safety e cyber security. Questo standard pubblicato molto recentemente, identifica gli aspetti rilevanti della serie IEC 62443 relativi alle minacce alla sicurezza e alle vulnerabilità che sono considerate per la progettazione e l’implementazione di sistemi di controllo relativi alla sicurezza (SCS, “Safety related Control Systems”) che possono portare alla perdita della capacità di mantenere un funzionamento sicuro di una macchina.
Tipici aspetti di sicurezza relativi alla macchina con potenziale relazione a SCS sono:
- vulnerabilità del SCS direttamente o indirettamente attraverso le altre parti della macchina che possono essere sfruttate da minacce alla sicurezza che possono sfociare in attacchi alla sicurezza (security breach);
- influenza sulle caratteristiche di sicurezza e sulla capacità dell’SCS di svolgere adeguatamente le sue funzioni;
- definizione di caso d’uso tipico e applicazione di un modello di minaccia corrispondente.
Anche la Direttiva NIS2 che abbraccia diversi settori critici, richiama spesso l’importanza del software, hardware, aggiornamenti conseguenti e best practices in generale (ad es. Zero Trust di cui abbiamo parlato in precedenti articoli, qui e qui), sempre con l’obiettivo di salvaguardare l’integrità della macchina e del dato per garantire un elevato livello di safety.
Conclusioni
Il nuovo Regolamento macchine è tuttora in fase di approvazione, si prevede una versione finale entro la seconda metà del 2023, poi seguirà la data di entrata in vigore che si collocherà presumibilmente a fine 2026 – metà 2027.
Il termine sembra ancora lontano, ma gli impatti come visto sono numerosi e l’adeguamento deve quindi iniziare per tempo. La discussione è solo all’inizio, alcuni punti aperti per ora restano tali (ad es. sul software open source), inoltre sono attese anche integrazioni o confronti con le altre norme in arrivo (IA, CRA).
La cyber security OT entra nel testo del nuovo Regolamento macchine assumendo un peso importante, con la possibilità che diventi un requisito obbligatorio per tutto il settore.
