Regolamento Macchine 2023/1230, la cybersecurity diventa requisito di sicurezza

Dal 20 gennaio 2027 la Direttiva Macchine 2006/42/CE andrà definitivamente in pensione, per lasciare il posto al nuovo Regolamento (UE) 2023/1230.

Chi ha vissuto il recepimento della precedente direttiva europea probabilmente si ricorda la sequenza: una volta arrivato il testo comunitario, è stato necessario aspettare il decreto attuativo italiano, che come spesso capita slitta e introduce sfumature proprie, e nel frattempo si è navigato nell’incertezza. Con il Regolamento 2023/1230 questo passaggio salta del tutto, poiché sarà applicato direttamente in ogni Stato membro a partire dal giorno stabilito, senza bisogno di recepimento nazionale.

La data da segnare in agenda per le aziende di noleggio italiane è dunque quella del 20 gennaio 2027, senza il consueto margine di attesa o di interpretazione locale cui la Direttiva Macchine ci aveva abituato.

In questo approfondimento ci concentriamo su uno degli aspetti più rilevanti per il noleggio: l’ingresso della cybersecurity tra i requisiti essenziali di sicurezza delle macchine. Non si tratta quindi di un’analisi esaustiva del nuovo Regolamento, alle cui altre novità dedicheremo un articolo specifico.

Regolamento Macchine 2023/1230, il punto sui mezzi già in servizio

In questo scenario, la buona notizia per il settore del noleggio è che le macchine già conformi alla vecchia direttiva non dovranno essere ri-certificate. Di fatto, potranno continuare a operare regolarmente, fermo restando l’obbligo, previsto dal D.Lgs. 81/08, di mantenerle in efficienza e in condizioni di sicurezza, e a patto che non subiscano una modifica sostanziale.

A questo proposito, il regolamento formalizza anche il concetto di “modifica sostanziale”, intendendo con questa espressione un intervento, eseguito con mezzi fisici o digitali e non previsto dal fabbricante, che crea un nuovo pericolo o aumenta un rischio esistente e che richiede di modificare il sistema di controllo della sicurezza o di adottare misure aggiuntive per la stabilità o la resistenza meccanica. Chi esegue una modifica di questo tipo diventa, dal punto di vista normativo, il nuovo fabbricante della macchina.

Per una PLE, per esempio, una “modifica sostanziale” può riguardare interventi sul sistema di controllo, sulla capacità di carico oppure sull’altezza di lavoro. Attività che vanno oltre la manutenzione ordinaria, quindi. 

Si tratta di una tematica molto interessante per il settore, poiché le aziende che noleggiano o rivendono una PLE, potrebbero trovarsi nella posizione di dover valutare se un intervento tecnico ricade o meno in questa casistica. Del resto, chi esegue una modifica sostanziale ne assume le responsabilità come fabbricante. E il noleggiatore, che in base all’art. 72 del D.Lgs. 81/08 deve attestare la conformità delle attrezzature al momento della consegna, rischia di attestare una conformità che non c’è più.

Un suggerimento da adottare fin da subito, quindi, è quello di tenere uno storico degli interventi di manutenzione e delle modifiche apportate su ogni mezzo della flotta, proprio perché potrebbe diventare materiale utile per dimostrare la conformità nell’arco del tempo.

Regolamento Macchine 2023/1230, le novità sulla cybersecurity

La novità più rilevante per il settore del noleggio, tuttavia, è un’altra: per la prima volta, la sicurezza informatica entra esplicitamente tra i requisiti essenziali di sicurezza delle macchine. Il Regolamento, infatti, stabilisce che il collegamento di una macchina a dispositivi o sistemi remoti non deve generare situazioni di pericolo.

Se vi ricordate, negli ultimi articoli pubblicati sul tema della sicurezza informatica abbiamo approfondito alcune delle criticità che possono interessare le aziende del noleggio, soprattutto quando si parla di flotte connesse. Se da un lato, infatti, la digitalizzazione del parco mezzi porta con sé innovazione e semplificazione dei processi, dall’altro espone le aziende a rischi e vulnerabilità da cui è necessario tutelarsi in modo rigoroso.

Fino ad oggi, la cybersecurity è sempre stata trattata come un tema collaterale, gestito più dai reparti IT che non dalle aziende nel loro complesso. Con il nuovo Regolamento, la sicurezza informatica diventa parte integrante della sicurezza del prodotto, al pari della stabilità, della resistenza strutturale o della protezione dagli schiacciamenti.

La prospettiva cambia quindi radicalmente: un accesso remoto non autorizzato o un malfunzionamento del collegamento non vengono più considerati solo un problema di protezione dei dati, ma un potenziale rischio per l’incolumità di chi lavora sulla macchina o nelle sue vicinanze.

Per il settore del noleggio, che negli ultimi anni ha investito parecchio in telemetria e gestione flotte da remoto, il tema tocca un nervo scoperto. Ogni mezzo connesso immesso sul mercato dal 20 gennaio 2027 (per il monitoraggio dei parametri operativi, per gli aggiornamenti software, per la geolocalizzazione…) sarà un punto di accesso che il costruttore dovrà progettare in sicurezza.. E chi noleggia dovrà saper gestire questo aspetto nel migliore dei modi.

Cosa cambia, nella pratica, per chi noleggia

Il requisito sulla cybersecurity è in realtà rivolto ai fabbricanti, che dovranno saper dimostrare, in fase di progettazione, che i collegamenti remoti non possono compromettere la sicurezza della macchina. Tuttavia, per le aziende del noleggio questo requisito riguarda soprattutto due fronti:

• la scelta dei fornitori: la conformità cybersecurity del sistema di connessione remota diventerà un criterio di valutazione fondamentale, tanto quanto le caratteristiche meccaniche della macchina; 

• la gestione operativa: credenziali di accesso ai portali di telemetria, aggiornamenti firmware, segmentazione delle reti aziendali rispetto ai sistemi di bordo non sono obblighi imposti dal Regolamento, ma sono ciò che permette al noleggiatore di consegnare al cliente una macchina il cui canale remoto non è stato compromesso.

Fino a poco tempo fa si poteva dire che il noleggio, sul fronte della sicurezza informatica, stava facendo passi avanti ma aveva ancora molta strada da percorrere. La digitalizzazione delle flotte, infatti, era cresciuta molto più rapidamente della sicurezza necessaria a gestirla.

Il Regolamento 2023/1230 cambia invece i termini della questione, perché trasforma quel percorso di miglioramento graduale in una scadenza precisa. Dal 20 gennaio 2027 ogni macchina nuova che entra in flotta dovrà nascere con la sicurezza dei collegamenti remoti progettata fin dall’origine: è dagli ordini dei prossimi mesi che conviene partire, e per farlo non basteranno gli adeguamenti tecnici dei costruttori.

Serviranno interesse reale verso il tema da parte di chi gestisce le flotte, attenzione operativa nella gestione quotidiana degli accessi da remoto e, soprattutto, formazione.