Una macchina con un controllore programmabile, un'HMI, un computer integrato o un'interfaccia di rete può ricadere sia nel Regolamento Macchine UE (Regolamento (UE) 2023/1230) sia nel Cyber Resilience Act UE (Regolamento (UE) 2024/2847). Il CRA si applica quando la macchina è un prodotto con elementi digitali e la sua finalità prevista o l'uso ragionevolmente prevedibile include una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Un considerando specifico del CRA nomina questa sovrapposizione di doppio regime e indica due sezioni del Regolamento Macchine che coprono la sicurezza di matrice cyber, le sezioni 1.1.9 e 1.2.1. Questa pagina spiega cosa dica il considerando, come l'evidenza CRA si mappi sul lato Macchine e dove le due valutazioni della conformità restano separate.
Riepilogo
- Entrambi i regimi possono applicarsi contemporaneamente. Una macchina nel campo del Regolamento Macchine richiede anche un trattamento CRA quando è un prodotto con elementi digitali con una connessione dati diretta o indiretta a un dispositivo o a una rete. Le macchine non rientrano tra le esclusioni del CRA.
- Il CRA ancora la sovrapposizione del doppio regime. I fabbricanti rientranti in entrambi i regolamenti devono rispettarli entrambi, e la sovrapposizione di cibersicurezza lato Macchine si concentra nelle sezioni 1.1.9 e 1.2.1 del Regolamento Macchine.
- La sovrapposizione riguarda i guasti di sicurezza di matrice cyber. Un sistema di comando la cui logica di sicurezza può essere manomessa via rete risulta non sicuro nel senso del Regolamento Macchine e insicuro nel senso del CRA. Gli stessi controlli ingegneristici (validazione dell'input, autenticazione, protezione dell'integrità della logica di sicurezza) parlano a entrambi i regolamenti.
- L'evidenza CRA può avere peso sul lato Macchine, ma il collegamento va dimostrato. Il CRA consente la sinergia e indica le norme armonizzate come ponte. L'onere di dimostrare il legame ricade sul fabbricante, nel fascicolo tecnico.
- Ciascun regime mantiene la propria valutazione della conformità. Il Regolamento Macchine ha le proprie procedure, con intervento dell'organismo notificato per le categorie di macchine a rischio più elevato; il CRA segue le proprie procedure di conformità. Lo stesso organismo notificato può eseguire entrambe le valutazioni, solo se detiene entrambe le designazioni.
La sovrapposizione in quattro numeri: due regolamenti, due sezioni del Regolamento Macchine, l'ancoraggio CRA che le lega e le date che mettono in vigore il doppio regime.
Dove i due regolamenti si sovrappongono
Il Regolamento Macchine disciplina la sicurezza; il CRA disciplina la cibersicurezza. Il Regolamento Macchine disciplina la sicurezza delle macchine immesse sul mercato UE. Il CRA disciplina i prodotti con elementi digitali la cui finalità prevista o il cui uso ragionevolmente prevedibile include una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Una macchina moderna che contiene un PLC, un'HMI, un controllore integrato o un'interfaccia di rete soddisfa spesso entrambe le prove, ma il controllo del campo CRA va comunque eseguito.
La sovrapposizione riguarda i guasti di sicurezza di matrice cyber. Un sistema di comando la cui logica rilevante per la sicurezza può essere manomessa via rete risulta non sicuro nel senso del Regolamento Macchine e insicuro nel senso del CRA. Gli stessi controlli ingegneristici (validazione dell'input, autenticazione, protezione dell'integrità della logica di sicurezza) parlano a entrambi i regolamenti.
Il CRA fissa la sovrapposizione in due sezioni del Regolamento Macchine:
Regolamento Macchine §1.1.9
Protezione contro la corruzione dei sistemi di comando. La manomissione cyber della logica rilevante per la sicurezza, come l'iniezione di codice in un PLC, lo spoofing del segnale di un interblocco o le scritture firmware non autorizzate, costituisce sia un guasto di sicurezza ai sensi del Regolamento Macchine sia un guasto di cibersicurezza ai sensi del CRA. Gli stessi controlli ingegneristici (protezione dell'integrità, aggiornamenti firmati, validazione dell'input) parlano a entrambi i regolamenti.
Regolamento Macchine §1.2.1
Sicurezza e affidabilità dei sistemi di comando, anche contro la manipolazione deliberata. La logica di comando che perde integrità sotto attacco, come un arresto di emergenza bypassato da remoto o un interblocco di protezione disabilitato via software, risulta non sicura ai sensi del Regolamento Macchine e insicura ai sensi del CRA. I controlli ingegneristici di cibersicurezza e i controlli di sicurezza funzionale convergono sullo stesso irrobustimento.
Entrambe le sezioni recano contenuto di cibersicurezza, perché la corruzione e la manipolazione deliberata dei sistemi di comando sono minacce cyber con conseguenze sulla sicurezza.
- Protezione dei pericoli meccanici (ripari, barriere fotoelettriche, interblocchi).
- Circuiti di arresto di emergenza e funzioni di arresto rilevanti per la sicurezza.
- Ergonomia dell'operatore, visibilità e raggiungibilità.
- Limiti di rumore, vibrazioni ed emissioni.
- Istruzioni per l'operatore su movimentazione sicura, trasporto e manutenzione.
- Stabilità meccanica e integrità strutturale.
- Protezione dei sistemi di comando contro la corruzione.
- Sicurezza e affidabilità dei sistemi di comando contro la manipolazione deliberata.
- Valutazione del rischio dei guasti di sicurezza di matrice cyber.
- Documentazione tecnica della progettazione sicura dei sistemi di comando.
- Gestione delle vulnerabilità per la logica di comando rilevante per la sicurezza.
- Distinta base del software che copre i componenti del sistema di comando.
- Gestione attiva delle vulnerabilità per l'intero periodo di supporto.
- Segnalazione di vulnerabilità e incidenti gravi al CSIRT coordinatore e a ENISA.
- Politica di divulgazione coordinata delle vulnerabilità.
- Comunicazione della distinta base del software per le autorità di vigilanza del mercato su richiesta motivata.
- Impegni di aggiornamento di sicurezza lungo tutto il periodo di supporto.
- Aggiornamenti di sicurezza gratuiti per il periodo di supporto.
Sovrapposizione fra CRA e Regolamento Macchine. I due regimi si applicano contemporaneamente a una macchina con elementi digitali. Il contenuto di cibersicurezza del lato Macchine si concentra nelle sezioni 1.1.9 e 1.2.1 del Regolamento Macchine. Gli artefatti CRA (valutazione del rischio, fascicolo tecnico, processo di gestione delle vulnerabilità, distinta base del software) fanno da ponte verso il fascicolo tecnico Macchine una volta che il fabbricante ne dimostri il legame.
Cosa dice il CRA sulla sovrapposizione con le macchine
Il CRA lega i due regimi attraverso il Considerando 53. In termini chiari dice al fabbricante di una macchina con elementi digitali quattro cose:
| Cosa dice il considerando | Cosa significa nella pratica |
|---|---|
| Entrambi i regimi possono applicarsi, senza esenzione per le macchine | Una macchina rientrante nel Regolamento (UE) 2023/1230 che è anche un prodotto CRA con elementi digitali deve soddisfare i requisiti essenziali di cibersicurezza del CRA e i requisiti essenziali di sicurezza e di tutela della salute del Regolamento Macchine. Le macchine non rientrano tra le esclusioni del CRA. |
| Gli stessi rischi di cibersicurezza possono manifestarsi in entrambi | I due regolamenti affrontano minacce cyber simili da angoli diversi: il Regolamento Macchine attraverso la sicurezza, il CRA attraverso la cibersicurezza. Dove si sovrappongono, gli stessi controlli ingegneristici (validazione dell'input, autenticazione, protezione dell'integrità della logica di sicurezza) parlano a entrambi. |
| Il lavoro CRA può avere peso sul lato Macchine, ma solo dove i regimi si sovrappongono | La valutazione del rischio CRA (Articolo 13(2)), la documentazione tecnica (Allegato VII) e il processo di gestione delle vulnerabilità (Allegato I parte II) producono evidenze che si mappano sulla §1.1.9 del Regolamento Macchine (protezione contro la corruzione) e sulla §1.2.1 (sicurezza e affidabilità dei sistemi di comando). Su ogni altra parte del Regolamento Macchine, il lavoro Macchine si esegue secondo il Regolamento Macchine. |
| Il fabbricante collega i punti nel fascicolo tecnico | Il considerando è permissivo, non automatico. Per usare l'evidenza CRA come evidenza ai sensi del Regolamento Macchine, il fabbricante mappa i controlli di matrice CRA su sezioni specifiche del Regolamento Macchine e cita norme armonizzate che coprano entrambi i regimi. |
Il considerando si chiude con un'ulteriore istruzione che l'articolo ripete sotto: ciascun regime mantiene la propria procedura di valutazione della conformità ed entrambe vanno seguite.
Come l'evidenza CRA si mappa al Regolamento Macchine
Una mappatura pragmatica della sovrapposizione:
| Requisito del Regolamento Macchine | Evidenza CRA che lo supporta |
|---|---|
| Regolamento Macchine §1.1.9 (protezione contro la corruzione) | Valutazione del rischio CRA (Articolo 13(2)), Allegato I parte I configurazione sicura per impostazione predefinita, autenticazione e controllo degli accessi, protezione dell'integrità dei dati |
| Regolamento Macchine §1.2.1 (sicurezza e affidabilità dei sistemi di comando) | CRA Allegato I parte I disponibilità delle funzioni essenziali, mitigazione dello sfruttamento, registrazione degli eventi di sicurezza; Allegato I parte II test di sicurezza periodici |
| Fascicolo tecnico del Regolamento Macchine | Documentazione tecnica CRA ai sensi dell'Allegato VII (riferibile per rinvio), distinta base del software CRA, politica CRA di gestione delle vulnerabilità |
La mappatura è informativa, non normativa. Il fabbricante deve giustificare il legame nel fascicolo tecnico per ciascuna macchina specifica, e la formula del considerando secondo cui «tali sinergie devono essere dimostrate» pone l'onere a carico del fabbricante.
Le valutazioni della conformità restano separate
Ciascun regime mantiene la propria procedura di valutazione della conformità. Il Considerando 53 indica che il fabbricante deve seguire le procedure applicabili ai sensi del CRA e del Regolamento (UE) 2023/1230. Il Regolamento Macchine ha le proprie procedure, compreso l'intervento dell'organismo notificato per le categorie di macchine a rischio più elevato; il CRA ha le proprie ai sensi dell'Articolo 32 e dell'Allegato VIII.
Un solo organismo notificato può eseguire entrambe le valutazioni, solo se detiene entrambe le designazioni. La stessa macchina può richiedere l'intervento dell'organismo notificato per entrambi i regimi, eventualmente con lo stesso organismo se è stato designato ai sensi di entrambi i regolamenti. Gli organismi notificati sono designati regolamento per regolamento; una designazione ai sensi del Regolamento Macchine non si estende al CRA.
Per la decisione del percorso di valutazione della conformità CRA, si veda valutazione della conformità CRA. Per i requisiti di documentazione tecnica, si veda documentazione tecnica CRA.
Errori comuni
| Affermazione | Perché fallisce |
|---|---|
| «Una sola marcatura CE significa una sola valutazione della conformità.» | La marcatura CE si appone una sola volta sul prodotto, ma ciascun regime applicabile richiede comunque la propria valutazione della conformità, la propria documentazione tecnica e la propria dichiarazione. |
| «Il nostro organismo notificato ai sensi del Regolamento Macchine copre automaticamente il CRA.» | Gli organismi notificati sono designati regolamento per regolamento. Un organismo presente per il Regolamento Macchine non diventa automaticamente organismo notificato CRA; verifichi l'elenco NANDO della Commissione per entrambi i regolamenti rispetto al numero dell'organismo. |
| «Nessuna interfaccia internet significa che il CRA non si applica.» | Software integrato, firmware o un controllore programmabile possono rendere la macchina un prodotto con elementi digitali; anche una connessione dati indiretta attraverso un sistema connettibile porta la macchina nell'ambito. |
| «La sezione 1.1.9 del Regolamento Macchine da sola dimostra la conformità di cibersicurezza CRA.» | La sezione 1.1.9 affronta la protezione contro la corruzione, che è una fetta della sicurezza di matrice cyber. I requisiti essenziali del CRA sono più ampi e il fabbricante deve comunque dimostrare la conformità all'intero insieme CRA. |
| «Il considerando sulla sinergia ci consente di riutilizzare automaticamente l'evidenza CRA sul lato Macchine.» | Il considerando è permissivo, non automatico. Il fabbricante deve mappare i controlli di matrice CRA su sezioni specifiche del Regolamento Macchine e citare nel fascicolo tecnico norme armonizzate che coprano entrambi i regimi. |
Domande frequenti
Il CRA sostituisce o prevale sul Regolamento Macchine?
No. Il Regolamento Macchine continua a disciplinare la sicurezza delle macchine, e il CRA aggiunge obblighi di cibersicurezza quando la macchina è anche un prodotto con elementi digitali. Il fabbricante rientrante in entrambi i regimi deve rispettare i requisiti essenziali di cibersicurezza del CRA e i requisiti essenziali di sicurezza e di tutela della salute del Regolamento Macchine. Il CRA ancora la sovrapposizione alla protezione contro la corruzione e alla sicurezza e affidabilità dei sistemi di comando (Considerando 53).
Una sola marcatura CE può coprire entrambi i regimi?
Una sola marcatura CE può stare sul prodotto, ma il lavoro di conformità sottostante resta separato. La marcatura CE indica che il prodotto rispetta la normativa di armonizzazione dell'Unione applicabile. Per una macchina con elementi digitali ciò significa la valutazione della conformità del Regolamento Macchine più la valutazione della conformità CRA. La marcatura è unica, ma ciascun regime applicabile richiede la propria evidenza di conformità e la propria dichiarazione (Articolo 32).
Da quando si applicano i due regolamenti?
Il Regolamento Macchine (Regolamento (UE) 2023/1230) si applica integralmente dal 20 gennaio 2027, sostituendo la direttiva Macchine 2006/42/CE per i prodotti immessi sul mercato a partire da tale data. Il CRA (Regolamento (UE) 2024/2847) si applica integralmente dall'11 dicembre 2027 per i prodotti immessi sul mercato da tale data (Articolo 71(2)). I prodotti con elementi digitali immessi sul mercato prima dell'11 dicembre 2027 sono soggetti ai requisiti CRA solo se, da tale data, subiscono una modifica sostanziale; gli obblighi di segnalazione dell'Articolo 14 si applicano comunque a tutti i prodotti nel campo dall'11 settembre 2026 (Articolo 69(2); Articolo 69(3)).
Il mio organismo notificato per il Regolamento Macchine copre anche il CRA?
Solo se l'organismo detiene entrambe le designazioni. Gli organismi notificati sono designati regolamento per regolamento, quindi un organismo presente per un modulo del Regolamento Macchine non diventa automaticamente organismo notificato CRA. Verifichi l'elenco ufficiale NANDO della Commissione europea per entrambi i regolamenti rispetto al numero dell'organismo; se entrambe le designazioni sono presenti, un solo organismo può svolgere entrambe le valutazioni (Articolo 43).
E se la mia macchina non avesse interfaccia di rete? Il CRA si applica comunque?
Forse. L'assenza di un'interfaccia internet non esclude automaticamente una macchina dal CRA, ma il test di ambito richiede comunque una connessione dati. Una macchina rientra nel campo CRA solo quando la sua finalità prevista o l'uso ragionevolmente prevedibile include una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Software integrato, firmware o un controllore programmabile possono rendere la macchina un prodotto con elementi digitali, ma una macchina senza tale connessione dati richiede un'analisi di ambito accurata, non un sì automatico (Articolo 2(1)).