Dal 20 gennaio 2027 il Regolamento Macchine (UE) 2023/1230 entrerà in vigore in tutta Europa e quindi anche in Italia, fondendo per la prima volta in un unico quadro normativo i requisiti di sicurezza funzionale e quelli di industrial security. Una novità importante, che si unisce a NIS 2 e al Cyber Resilience Act. Pilz sta adeguando prodotti, servizi e piattaforme software per supportare le imprese nella conformità alle nuove normative.
“La normativa europea attuale, in particolare la direttiva NIS 2, il Regolamento Macchine e il Cyber Resilience Act, dimostra che la security non è più opzionale ma è ormai un requisito obbligatorio”, dice Thomas Pilz, Managing Partner dell’azienda. Da qui in avanti l’accesso al mercato europeo per i costruttori di macchine e l’esercizio di impianti all’interno dell’Unione saranno subordinati a requisiti di safety e security sempre più stringenti, in alcuni casi del tutto nuovi.
Al centro della strategia dell’azienda ci sono quattro elementi che si intrecciano: gli obblighi introdotti dal nuovo regolamento, l’architettura di rete a zone e conduit descritta dagli standard IEC 62443 ed EN 50742, la gestione degli accessi attraverso l’Identification and Access Management (I.A.M.) e la piattaforma cloud Myzel per la conformità continua lungo tutto il ciclo di vita della macchina.
A completare il quadro, dalla metà del 2026 Pilz introduce due nuovi servizi di consulenza dedicati alla valutazione dei rischi di security.
Indice degli argomenti
Il Regolamento Macchine ridisegna i confini tra safety e security
Il Regolamento Macchine (UE) 2023/1230 sostituisce l’attuale Direttiva Macchine e per la prima volta impone ai costruttori l’integrazione della Security by Design: le misure di protezione contro manipolazioni, accessi non autorizzati o modifiche software non sicure devono essere previste già nella fase di progettazione e costruzione.
Il testo disciplina in modo rigoroso i processi di aggiornamento e le procedure di accesso da remoto, prescrivendo la verificabilità e la tracciabilità delle funzioni di sicurezza.
I dati diagnostici assumono un ruolo centrale non solo per individuare un guasto, ma per ricostruire con precisione le cause dell’attivazione di una funzione di protezione, riducendo i tempi di fermo dell’impianto.
La nuova regolamentazione sposta il baricentro dell’impianto normativo dal concetto tradizionale di certificazione puntuale a quello di conformità continua. Se in passato l’adeguamento si esauriva prevalentemente al momento dell’immissione della macchina sul mercato, il nuovo quadro esige il mantenimento costante dei requisiti di sicurezza hardware, software e di cybersecurity lungo l’intero ciclo di vita operativo dell’impianto.
Un passaggio centrale riguarda la gestione della documentazione tecnica. I manuali d’uso e le dichiarazioni di conformità dovranno essere forniti in formato digitale e mantenuti accessibili per un arco temporale di almeno dieci anni dalla data di immissione sul mercato.
L’adempimento di tale vincolo non costituisce un mero formalismo, ma richiede l’adozione di architetture digitali e procedure strutturate di archiviazione e tracciabilità dei dati, indispensabili per prevenire irregolarità e contenziosi in sede di audit o verifiche ispettive.
Una delle novità più rilevanti riguarda gli impianti interconnessi: per la prima volta il concetto di “modifica sostanziale” viene codificato in un testo di legge. Nel caso di una conversione, test e documentazione relativi alle parti non modificate dell’impianto possono restare validi, a condizione che l’intervento non introduca nuovi rischi.
Diversamente chi collega più macchine o quasi-macchine dando origine a una linea interconnessa e generando nuovi rischi di interfaccia assume la qualifica legale di costruttore dell’intero impianto. Diventa quindi responsabile del funzionamento coordinato e sicuro dell’insieme, incluse le funzioni trasversali come l’arresto d’emergenza generale, con l’obbligo di estendere la valutazione dei rischi all’intera infrastruttura.
“Il Regolamento Macchine è molto più di un adeguamento normativo: segna un cambio di paradigma nella sicurezza industriale”, spiega Jürgen Bukowski, Senior Manager Consulting & Services Operations di Pilz.
Secondo il manager il regolamento avrà ricadute anche fuori dai confini europei, perché i costruttori di tutto il mondo dovranno adeguare prodotti, processi e concetti di sicurezza per continuare a operare nel mercato dell’Unione, in particolare sui requisiti di cybersecurity, documentazione digitale e processi software sicuri.
Zone, conduit e difesa in profondità: la nuova architettura di rete
Perché un incidente non venga causato da una manipolazione o da un attacco informatico, l’integrità delle misure di sicurezza deve restare intatta. Ne è convinto Andreas Willert, Head of Industrial Security di Pilz Austria: per il manager la security non è più un elemento accessorio ma un requisito di base perché la safety funzioni davvero.
Per rispondere a questa sfida, la progettazione dell’architettura di rete industriale deve fare riferimento alle norme IEC 62443 ed EN 50742, fondate sui principi di segmentazione in zone e condotti e sulla strategia di difesa in profondità (Defense-in-Depth). Questo approccio organizza i sistemi in ambiti operativi distinti, regolando e filtrando i flussi di comunicazione ai punti di passaggio per isolare eventuali minacce.
All’interno di questo schema architetturale, Pilz promuove la separazione tra le funzioni di sicurezza e l’automazione standard. L’esecuzione dei compiti di safety su componenti hardware dedicati, come i moduli PNOZmulti 2 o myPNOZ, assicura che la logica di protezione rimanga operativa e isolata rispetto a bug software, aggiornamenti non coordinati o attacchi informatici diretti alla rete standard.
L’indipendenza strutturale riduce l’impatto economico lungo il ciclo di vita dell’impianto, traducendosi in una contrazione del Total Cost of Ownership (TCO): la separazione limita la complessità manutentiva, riduce la necessità di interventi di supporto specializzato e abbatte i costi legati alle licenze software.
La segregazione delle reti e l’integrazione di sistemi diagnostici avanzati migliorano al contempo la tracciabilità operativa.
“I dati diagnostici non riguardano solo che cosa si è rotto, ma soprattutto che cosa è accaduto esattamente”, dice Willert. La disponibilità di dati diagnostici granulari permette infatti di individuare con esattezza la causa di un blocco della linea, riconoscendo se l’arresto è stato generato dalla pressione di uno specifico pulsante d’emergenza o dall’interruzione di una barriera fotoelettrica in un punto preciso dell’impianto, accelerando l’analisi delle cause e riducendo i tempi di ripristino.
Per supportare l’implementazione di tali architetture, Pilz affianca ai propri componenti hardware un programma formativo focalizzato sulla certificazione CESA (Certified Expert in Security Assessment), fornendo ai progettisti le competenze necessarie per valutare i rischi cyber e sviluppare reti conformi alle nuove normative.
Dall’identificazione degli accessi alla piattaforma Myzel
“Chi è autorizzato a fare cosa su quale macchina? È una domanda fondamentale per un concetto di sicurezza che copra sia la safety sia la industrial security”, spiega Christoph Baumeister, Senior Manager Product Management di Pilz.
Il Regolamento Macchine impone ai costruttori di garantire protezione da corruzioni accidentali o intenzionali e di prevedere controlli prima che i parametri di una macchina possano essere modificati; per gli operatori attivi in Europa, la Work Equipment Directive richiede che i diritti vengano assegnati in base ai profili professionali e raccomanda l’introduzione di procedure di autenticazione efficaci, come le tessere di accesso.
Tecnicamente questi obblighi si traducono in un sistema di Identification and Access Management (I.A.M.), come quello di Pilz basato sul lettore PITreader: i permessi e le qualifiche dell’operatore sono memorizzati su un transponder RFID e, se la persona possiede l’autorizzazione necessaria, le viene concesso l’accesso al processo. L’accesso viene registrato e può essere ricostruito in caso di emergenza.
Il sistema non si limita all’accesso fisico: copre anche il login Windows su PC e l’abilitazione delle porte USB industriali, uno dei principali punti di ingresso per gli incidenti di security, controllando l’importazione di programmi, l’esportazione di dati e il collegamento di tastiere.
Perché il potenziale della gestione di identità e accessi si traduca pienamente nella pratica occorrono anche misure organizzative: istruzioni di lavoro, formazione e controlli periodici sulle procedure.
Se questi passaggi vengono trascurati, in caso di incidente o fermo produzione i responsabili aziendali possono essere chiamati personalmente a risponderne, in quanto garanti. Anche con un organico ridotto mantenere una visione d’insieme non è semplice, e in caso di incidente la prima verifica riguarda proprio la formazione e i briefing di sicurezza ricevuti dal dipendente.
Queste informazioni confluiscono nella Myzel Lifecycle Platform, la piattaforma SaaS di Pilz che accompagna i responsabili di produzione e safety lungo l’intero ciclo di vita della macchina.
Il cuore del sistema è myCore, dove macchinari, personale e i relativi dati vengono registrati insieme alla documentazione: istruzioni, valutazioni, validazioni, dichiarazioni di conformità, piani di manutenzione e registri di formazione.
Il sistema I.A.M. di Pilz permette di gestire tutti gli accessi e i permessi a livello centrale nel workflow myAccessControl, che mostra in modo chiaro anche la modalità operativa sicura selezionata.
Quando una qualifica necessaria per un determinato compito sta per scadere, la piattaforma segnala la necessità di intervenire e ogni azione compiuta nel sistema viene registrata in un audit log che ne garantisce la tracciabilità.
Qualora la certificazione scada senza essere rinnovata, la piattaforma Myzel blocca automaticamente l’autorizzazione nel database dei permessi, impedendo l’accesso alle macchine da parte dell’operatore senza certificazione, garantendo così ai responsabili di produzione il rispetto continuo dei doveri di vigilanza.
“I fogli Excel e gli archivi cartacei non sono più all’altezza del compito: sono soggetti a errori, critici in caso di audit e rallentano la gestione in caso di incidente”, spiega Bukowski.
Myzel è pensata anche come piattaforma condivisa tra costruttore e operatore: il costruttore, o una società di consulenza come Pilz, può usarla per trasferire la documentazione della macchina all’operatore, mentre una funzione di importazione consente di trasferire agevolmente le informazioni già esistenti nel sistema.
I nuovi servizi SEM e SAM completano il portfolio cloud e AI di Pilz
Oltre ad adeguare i propri prodotti ai requisiti del Regolamento Macchine e del Cyber Resilience Act, Pilz mette a disposizione di costruttori e operatori competenze maturate in decenni di attività nella marcatura CE, offerte sotto forma di servizi e formazione.
Dopo aver lanciato lo scorso anno un programma di formazione multilivello sull’Industrial Security, dalla metà del 2026 l’azienda introduce a livello globale due nuovi servizi modulari, la Security Evaluation of Machinery (SEM) e la Security Assessment of Machinery (SAM), pensati per supportare la valutazione dei rischi di security e l’identificazione delle vulnerabilità delle macchine.
Il portfolio si concentra su tecnologie cloud e di AI, di cui la piattaforma Myzel rappresenta l’esempio più maturo. Come abbiamo già approfondito in questo articolo, Myzel include già un modulo di AI addestrato da Pilz per l’analisi visiva dei macchinari: l’operatore scatta una fotografia a un componente dell’impianto, come una pressa o un quadro elettrico, e l’algoritmo identifica i rischi meccanici o elettrici presenti, elaborando automaticamente una prima bozza di valutazione del rischio e suggerendo le relative misure di mitigazione, che lo specialista è poi chiamato a convalidare.
A garanzia della piena trasparenza dei processi, ogni operazione, modifica o validazione effettuata all’interno della piattaforma viene registrata in modo permanente in un registro di audit (audit log), rendendo l’intero storico tracciabile e verificabile in sede di ispezione.
I nuovi servizi SEM e SAM estendono questo approccio dal singolo macchinario alla dimensione della security, offrendo alle aziende una valutazione strutturata dei rischi legati a manipolazioni, accessi non autorizzati e vulnerabilità software.
“Safety e security sono due facce della stessa medaglia e vanno considerate insieme”, ripete Thomas Pilz, per il quale la sicurezza non è soltanto una forma di protezione ma un presupposto di fiducia e di crescita: le aziende che costruiscono su sistemi sicuri, sostiene il manager, riescono a scalare più rapidamente, ridurre i costi, investire con maggiore affidabilità e innovare con più margine di manovra.
