Direttiva NIS2 e sicurezza informatica aziendale

NIS2 e sicurezza dei sistemi industriali (OT/ICS)

La convergenza tra reti informatiche tradizionali (IT) e sistemi di controllo industriale (OT — Operational Technology) ha trasformato radicalmente il profilo di rischio degli impianti produttivi. Sistemi come SCADA (Supervisory Control and Data Acquisition), PLC (Programmable Logic Controller) e DCS (Distributed Control System), un tempo isolati in reti chiuse, sono oggi sempre più connessi a reti aziendali e a internet, esponendosi a minacce informatiche che possono avere conseguenze fisiche dirette sui processi produttivi e sulla sicurezza dei lavoratori.

La Direttiva NIS2 classifica come soggetti essenziali le organizzazioni operanti in settori quali energia, trasporti, acque reflue, infrastrutture digitali e sanità. Sono invece soggetti importanti quelli appartenenti a settori come la produzione manifatturiera di elevata criticità, la chimica, l'alimentare e i servizi postali, a partire da determinate soglie dimensionali (in genere 50 dipendenti o 10 milioni di euro di fatturato). Entrambe le categorie sono tenute ad adottare misure di gestione del rischio cyber proporzionate al livello di criticità.

Tra gli obblighi previsti dal D.Lgs. 138/2024 figura la nomina di un responsabile NIS2 (o di un organo di gestione responsabile) che garantisca l'attuazione delle misure di sicurezza, segua adeguata formazione in materia di cybersecurity e risponda degli adempimenti verso l'Autorità Nazionale Competente NIS (ACN — Agenzia per la Cybersicurezza Nazionale). La mancata registrazione presso ACN entro i termini previsti e l'inadempimento degli obblighi di sicurezza espongono l'organizzazione a sanzioni amministrative significative.

Un cyberattacco a sistemi OT può determinare l'arresto improvviso di linee di produzione, la manipolazione di parametri di processo (temperature, pressioni, velocità di macchinari), la disattivazione di sistemi di sicurezza integrati (Emergency Shutdown System — ESD) o la manomissione dei segnali di allarme. Le conseguenze possono includere esplosioni, rilasci di sostanze pericolose, collisioni di veicoli industriali e infortuni gravi o mortali ai lavoratori presenti nell'impianto.

Adempimenti NIS2 che incrociano il D.Lgs. 81/08

Il rischio da cyberattacco ai sistemi OT deve essere integrato nel Documento di Valutazione dei Rischi (DVR) redatto ai sensi dell'art. 28 del D.Lgs. 81/08. Il datore di lavoro, nell'individuare tutti i rischi cui sono esposti i lavoratori, è tenuto a considerare anche i rischi derivanti da vulnerabilità informatiche dei sistemi che governano i macchinari e i processi produttivi. L'eventuale compromissione di un PLC che controlla una pressa, una centrifuga o un sistema di movimentazione automatizzata costituisce un rischio per la salute e la sicurezza dei lavoratori ai sensi del D.Lgs. 81/08, indipendentemente dalla sua origine informatica.

La gestione degli incidenti richiesta dalla NIS2 si interseca con le procedure di emergenza previste dall'art. 43 D.Lgs. 81/08. Le organizzazioni soggette alla NIS2 devono predisporre procedure di risposta agli incidenti cyber che tengano conto degli effetti fisici sull'ambiente di lavoro, coordinando i team IT/OT con l'RSPP e con il medico competente per la gestione delle conseguenze sulla salute dei lavoratori. Gli incidenti significativi devono essere notificati ad ACN entro 24 ore (preallarme) e 72 ore (notifica completa).

La business continuity e il ripristino d'emergenza (disaster recovery) previsti dalla NIS2 devono integrare le procedure di evacuazione, blocco di emergenza e riavvio sicuro degli impianti già previste nel piano di emergenza aziendale ex art. 43 D.Lgs. 81/08, evitando che il riavvio dei sistemi informatici compromessi avvenga senza la preventiva verifica delle condizioni di sicurezza fisica degli impianti.

La formazione dei lavoratori sulla cybersecurity è espressamente richiesta dalla NIS2 per il personale che utilizza sistemi informatici. Nel contesto degli ambienti OT, questa formazione va integrata con quella prevista dall'art. 36-37 D.Lgs. 81/08 in materia di sicurezza sul lavoro, sensibilizzando gli operatori a riconoscere segnali anomali nei comportamenti delle macchine che potrebbero indicare una compromissione informatica (movimenti inattesi, variazioni di parametri, allarmi silenziati).