Direttiva NIS2 e automazione industriale: guida pratica alla conformità
Come mappare i rischi cyber di un impianto di automazione sui requisiti della direttiva NIS2, usando la matrice di rischio e il modulo cyber della piattaforma allineati allo standard IEC 62443.
Perché la NIS2 riguarda anche l'automazione industriale
La direttiva NIS2 (UE 2022/2555) estende l'ambito della precedente NIS ad un numero molto più ampio di soggetti "essenziali" e "importanti", inclusi molti operatori manifatturieri, energetici e logistici che integrano sistemi OT/ICS. Per gli integratori di automazione questo significa dover dimostrare — con evidenze documentali — la gestione dei rischi cyber degli asset di impianto, non solo dell'IT d'ufficio.
I 4 pilastri operativi richiesti
- Analisi dei rischi su asset OT (PLC, HMI, drive, reti di campo) con criteri ripetibili.
- Misure tecniche e organizzative proporzionate al rischio (segmentazione, hardening, backup, patching).
- Gestione degli incidenti con notifica early warning entro 24h e report entro 72h.
- Sicurezza della supply chain, inclusi fornitori di componenti di automazione.
Mapping NIS2 ↔ IEC 62443 ↔ moduli della piattaforma
La piattaforma modella i tre concetti chiave dello standard IEC 62443 (asset, minaccia/rischio, contromisura) su tre entità del modulo cyber:
cyber_asset— inventario degli asset OT del progetto (equivalente al requisito NIS2 di "identificazione degli asset").cyber_rischio— scenari di minaccia valutati per probabilità e impatto sulla matrice di rischio (art. 21 NIS2, "gestione dei rischi").cyber_misura— contromisure tecniche/organizzative collegate ad ogni rischio (zone & conduits IEC 62443-3-3).
Tabella di corrispondenza
| Requisito NIS2 (art. 21) | IEC 62443 | Modulo piattaforma |
|---|---|---|
| Analisi dei rischi | 62443-3-2 (risk assessment) | Matrice rischio + cyber_rischio |
| Sicurezza dei sistemi | 62443-3-3 (SR/RE) | cyber_misura |
| Gestione degli incidenti | 62443-2-1 (CSMS) | Agenda Lavoro + Relazione Tecnica |
| Supply chain | 62443-2-4 (service providers) | cyber_asset (campo fornitore) |
Workflow consigliato in 5 passi
- Censire gli asset OT nel modulo Cyber > Asset con criticità e zona di rete.
- Valutare i rischi per ogni asset critico usando la matrice probabilità/impatto (scala 1-5).
- Definire le contromisure ancorate a controlli IEC 62443-3-3 (identificazione, controllo accessi, integrità, confidenzialità, disponibilità).
- Documentare il piano nella Relazione Tecnica del progetto: diventa l'evidenza da esibire in caso di audit.
- Riesaminare almeno annualmente e ad ogni modifica sostanziale (nuovo PLC, nuovo collegamento remoto).
Errori più comuni
- Trattare la NIS2 come "adempimento IT": la rete di stabilimento e i CPS sono nel perimetro.
- Copiare misure generiche senza collegarle allo scenario di rischio specifico dell'impianto.
- Non aggiornare il registro asset dopo modifiche impiantistiche.
Prossimi passi
Apri un progetto, attiva il modulo Cyber dalle Impostazioni e importa gli asset dell'impianto. In meno di un'ora hai la baseline documentale richiesta dalla direttiva NIS2 per un sito di automazione industriale.