Nel 2025 il settore manifatturiero è stato, per il quinto anno consecutivo, il più attaccato al mondo: oltre un quarto degli incidenti informatici osservati a livello globale ha riguardato una fabbrica. Il ransomware contro il manifatturiero è passato da 937 incidenti nel 2024 a 1.466 nel 2025, circa la metà di tutti gli attacchi ransomware industriali documentati. Nello stesso anno gli avvisi sulle vulnerabilità dei sistemi di controllo industriale hanno superato quota 500, un nuovo record.

La ragione è semplice: in officina un attacco non ruba soltanto dati, ferma le macchine. Un PLC (controllore logico programmabile) bloccato, un sistema SCADA (supervisione e acquisizione dati) irraggiungibile, un sensore manomesso: la produzione si interrompe e i danni crescono di ora in ora. Un caso ben documentato, l'attacco a Jaguar Land Rover del settembre 2025, ha tenuto ferme le linee per circa cinque settimane. Per una fabbrica la sicurezza non è una questione di ufficio: è una questione di impianto, e va progettata con regole diverse.

Perché l'OT non è l'IT

Nella tecnologia informatica (IT) il bene da proteggere è soprattutto la riservatezza dei dati. Nella tecnologia operativa (OT), cioè tutto ciò che controlla fisicamente l'impianto, la priorità è un'altra: la disponibilità (l'impianto deve restare acceso) e la safety (sicurezza di persone e macchine). Da questa differenza derivano quattro vincoli concreti.

  • Sistemi legacy non aggiornabili. Molti PLC, pannelli operatore e sistemi SCADA girano su versioni datate di Windows o su sistemi operativi proprietari che non si possono aggiornare senza rompere il software di automazione. La patch (aggiornamento correttivo) spesso non esiste, o non è applicabile.
  • Protocolli nati senza sicurezza. I protocolli industriali sono stati progettati per la rapidità e l'affidabilità, non per l'autenticazione o la cifratura: chi entra in rete, in molti casi, può parlare direttamente con le macchine.
  • Vita utile lunghissima. Un macchinario può restare in servizio per decenni, un sistema informatico per pochi anni. Il parco installato in officina è quindi molto più vecchio di quello dell'ufficio, e spesso fuori supporto.
  • Niente riavvii a cuor leggero. In IT un riavvio è routine; in OT può significare fermare la linea. Per questo le difese "aggressive" dell'IT, come le scansioni attive o l'installazione automatica degli aggiornamenti, qui sono impraticabili o pericolose.

La convergenza IT/OT apre la porta

Fino a pochi anni fa la rete di produzione era isolata. Oggi non più: la spinta all'efficienza ha avvicinato i due mondi. Lo stesso cablaggio collega ufficio e reparto, i manutentori interni e i fornitori accedono da remoto ai macchinari, e i dati di produzione finiscono nel cloud per analisi e reportistica, come accade con la manutenzione predittiva basata sull'intelligenza artificiale (AI).

Ogni ponte è anche un possibile passaggio. Un accesso remoto con credenziali riciclate, una VPN (rete privata virtuale) mal configurata, un sensore IoT (Internet delle cose) collegato senza controlli: ognuno di questi punti può diventare la via dalla scrivania dell'ufficio alla linea. Per questo la sicurezza OT non si riduce a "mettere l'antivirus anche sul PLC". Serve una governance separata ma coordinata tra i due mondi, con competenze dedicate.

Come si protegge un impianto

La buona notizia è che esistono modelli consolidati: non serve inventare nulla, serve applicarli con costanza.

  • Separare i livelli (modello Purdue). Un'architettura a livelli che distingue il campo (sensori e attuatori), il controllo (PLC e SCADA) e l'IT aziendale, creando un confine netto tra rete di produzione e rete d'ufficio.
  • Zone e condotti (IEC 62443). Lo standard internazionale per la sicurezza industriale raggruppa gli asset in zone con requisiti omogenei, collegate da condotti controllati, e definisce livelli di sicurezza crescenti secondo un approccio di difesa in profondità (defense in depth).
  • Inventario degli asset. Non si protegge ciò che non si conosce: sapere quali dispositivi sono in rete, con quale firmware (il programma interno del dispositivo) e sotto quale responsabilità è il primo passo di ogni piano OT.
  • Accesso remoto controllato. L'accesso dei manutentori, interni ed esterni, va autorizzato caso per caso, tracciato e chiuso appena finisce il lavoro, possibilmente senza credenziali condivise.
  • Monitoraggio passivo. Nelle reti OT si osserva il traffico senza interrogare i dispositivi, per non introdurre disturbi su apparati delicati.
  • Patch "negoziate". Gli aggiornamenti si testano in un ambiente di collaudo e si pianificano nelle finestre di fermo impianto; dove non è possibile applicarli, si compensa con segmentazione e regole di firewall.
  • Backup e ripristino testati. Copie offline e piani di continuità provati sul campo: contro il ransomware in fabbrica conta quanto tempo serve per ripartire, non quanto è elegante il backup.

Cosa dice la legge

Questa impostazione non è più solo una buona pratica. La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, include il manifatturiero tra i settori in perimetro e chiede un'analisi del rischio che tenga conto anche degli impianti; restano le soglie dimensionali (in genere oltre 50 dipendenti o oltre 10 milioni di euro di fatturato), ma chi rientra ha obblighi di notifica degli incidenti entro 24 e 72 ore, con sanzioni fino a 10 milioni di euro o al 2% del fatturato. I dettagli operativi sono nell'articolo sugli obblighi di sicurezza e notifica della NIS2.

Sul fronte dei prodotti, il Cyber Resilience Act impone dall'11 settembre 2026 la segnalazione delle vulnerabilità sfruttate e dall'11 dicembre 2027 requisiti essenziali di sicurezza per i prodotti con elementi digitali, dispositivi industriali compresi: ne parla l'approfondimento su cosa cambia con il Cyber Resilience Act. Anche l'etichettatura di sicurezza dei dispositivi connessi, tema delle etichette di cybersecurity per l'IoT, va nella stessa direzione. IEC 62443 resta il linguaggio tecnico comune per dimostrare, in fabbrica, di aver fatto le cose per bene.

In sintesi

Cinque mosse operative per una PMI manifatturiera che vuole ridurre l'esposizione dei propri impianti.

  • Fai l'inventario di PLC, SCADA, sensori e apparati di rete: senza elenco non c'è piano.
  • Segmenta la rete di produzione da quella d'ufficio e applica zone e condotti secondo IEC 62443.
  • Governa l'accesso remoto: autorizzazioni nominative, tracciate e temporanee, anche per i fornitori.
  • Pianifica patch e backup con finestre concordate e test di ripristino reali, non sulla carta.
  • Definisci una governance OT con responsabilità chiare e, se mancano le competenze interne, affidati a un partner specializzato come quelli della nostra area cybersecurity.

Il punto di partenza è sempre lo stesso: misurare l'esposizione degli impianti prima che lo faccia un attacco. Un fermo di linea programmato per mettere in sicurezza l'impianto costa molto meno di un fermo causato da qualcun altro.