NIS 2 e manifattura: chi produce macchine è dentro
Chi produce macchinari, apparecchiature elettriche, elettronica o componenti per autoveicoli spesso scopre dal cliente di rientrare nella NIS 2, non dalla norma.
Il D.Lgs. 138/2024 elenca la fabbricazione fra gli "altri settori critici" dell'Allegato II. Il perimetro comprende dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto. Superata la soglia di media impresa, l'azienda manifatturiera è di norma un soggetto importante.
Negli audit in campo vedo due errori ricorrenti, e sono gli stessi da Nord a Sud.
Il primo è pensare che la NIS 2 riguardi solo l'ufficio: posta, gestionale, server. In una fabbrica il rischio vero sta in reparto. PLC, sistemi SCADA, macchine a controllo numerico collegate alla rete aziendale per la teleassistenza del costruttore. Sistemi installati quindici anni fa, mai aggiornati, perché fermare la linea costa più di qualunque patch.
Il secondo è considerare la conformità un tema di documenti. Le misure di gestione del rischio previste all'articolo 24 del decreto riguardano anche la continuità operativa e la sicurezza della catena di approvvigionamento. Per un'azienda che produce su commessa, un incidente significa linea ferma, consegne saltate, penali. E l'obbligo di notifica degli incidenti significativi, all'articolo 25, ha tempi stretti che non si improvvisano la notte in cui il ransomware cifra il server di produzione.
C'è poi la posizione di chi non rientra per dimensione. Il fornitore di componenti di un soggetto essenziale riceve comunque le richieste contrattuali del cliente, con le stesse misure da dimostrare. Fuori dal perimetro formale, dentro quello reale.
La mia lettura è semplice: per la manifattura la NIS 2 è una norma sulla continuità produttiva prima che sull'informatica. Chi la affida solo all'IT ne vede metà.
Nelle vostre aziende, chi decide se una macchina di reparto può restare collegata alla rete per la teleassistenza?