L’ottobre 2026 è stato segnato da un episodio che ha dimostrato quanto la cybersecurity OT possa influire direttamente sui processi fisici. Numerosi supermercati francesi hanno subito un’interruzione della refrigerazione a seguito di un attacco informatico che ha compromesso i controller dei loro impianti. L’evento ha messo sotto pressione la continuità del servizio, evidenziando la vulnerabilità di sistemi che tradizionalmente erano considerati “solo industriali”.
Attacco alle piattaforme di refrigerazione dei supermercati francesi
Le indagini hanno rilevato che una parte consistente dei dispositivi coinvolti apparteneva a generazioni precedenti, con firmware non aggiornato e supporto tecnico terminato. Danfoss produttore delle unità AK-SM 800A, ha confermato che molti apparati erano obsoleti e che la migrazione verso versioni più recenti era consigliata da tempo. La documentazione Danfoss separa chiaramente la cessazione del supporto per prodotti legacy e le procedure di aggiornamento, ma non fornisce elementi per ricostruire l’attacco né attribuire responsabilità specifiche.
Dettagli tecnici e vulnerabilità rilevate
Il CERT-FR ha emesso un avviso il 12 ottobre 2026, segnalando compromissioni delle serie AK-SM (System Manager) e AK-SC (System Controller). L’allerta ha sottolineato il pericolo di interfacce di gestione esposte su Internet, senza però indicare una vulnerabilità unica responsabile di tutti i casi. Le modalità di accesso differivano in base alle configurazioni locali, rendendo necessario distinguere tra errori di configurazione e rischi strutturali.
Quadro normativo: NIS2, GDPR e nuove direttive UE
In Italia, il d.lgs. 4 settembre 2024, n. 138 recepisce la direttiva NIS2 (UE) 2022/2555, imponendo misure tecniche, operative e organizzative per gli operatori essenziali. L’articolo 24 richiede una valutazione multirischio che includa l’ambiente fisico, la continuità operativa e la catena di fornitura. Per il settore alimentare, l’Allegato II specifica che la sola presenza di una rete di distribuzione al dettaglio non è sufficiente per l’inquadramento; sono valutate dimensioni e attività concrete.
L’articolo 23 attribuisce alla dirigenza la responsabilità di approvare le misure di sicurezza, mentre l’articolo 25 stabilisce tempistiche di notifica: pre-avviso entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Non ogni anomalia OT richiede la notifica, ma gli incidenti che impattano la continuità del servizio o la sicurezza delle persone rientrano nella soglia di segnalazione.
Implicazioni del GDPR nella sicurezza OT
Il GDPR si applica anche ai sistemi OT quando trattano dati personali, come contatti per allarmi o registrazioni legate a dipendenti. Gli articoli 24, 25 e 32 impongono al titolare di adottare misure di protezione fin dalla progettazione e di effettuare valutazioni di impatto. Un guasto tecnico che non comporta violazione di dati non è automaticamente un data breach, ma se vengono compromessi dati personali, la violazione deve essere notificata entro 72 ore (articolo 33) e, se necessario, informare gli interessati (articolo 34).
Il manutentore che accede ai sistemi OT per conto del titolare diventa responsabile del trattamento (articolo 28) e deve dimostrare, con contratti e registri, la legittimità del proprio operato. La valutazione GDPR deve essere allineata a quella NIS2, evitando duplicazioni o conflitti di responsabilità.
Cyber Resilience Act, Data Act e obblighi per i prodotti OT
Il Cyber Resilience Act (UE) 2024/2847 introduce requisiti di sicurezza per prodotti con componenti digitali, in vigore dal 11 dicembre 2027. Tuttavia, le disposizioni relative a vulnerabilità attivamente sfruttate e incidenti gravi entrano in vigore dal 11 settembre 2026, includendo anche prodotti introdotti sul mercato prima di dicembre 2027.
Il Data Act (UE) 2023/2854, operativo dal 12 settembre 2025, regola l’accesso ai dati generati da prodotti connessi. A partire dal 12 settembre 2026, i fornitori devono garantire il diritto di accesso ai dati rilevanti, ma non tutti i log o le evidenze forensi sono automaticamente disponibili. I contratti di manutenzione devono prevedere clausole che tutelino sia la conservazione delle prove per eventuali indagini sia la sicurezza dei dati trasmessi.
Best practice operative e standard di riferimento
Per gestire il ciclo di vita di un impianto OT, è fondamentale mantenere un inventario dettagliato di modelli, firmware, data di supporto e punti di accesso, includendo modem cellulari e strumenti di terze parti. L’accesso remoto deve avvenire esclusivamente tramite canali protetti, con credenziali individuali, privilegi minimi e autenticazione multifattore. Le interfacce di amministrazione non dovrebbero mai essere direttamente esposte a Internet; l’uso di VPN e firewall configurati correttamente è obbligatorio ma non sufficiente senza monitoraggio continuo.
Standard come ISO/IEC 27001 e ISA/IEC 62443 forniscono linee guida per la governance della sicurezza OT. La ISO 27001 richiede una Dichiarazione di Applicabilità che includa controlli su asset, fornitori, backup, log e segmentazione di rete. L’ISA/IEC 62443, invece, introduce concetti di zone e conduits, valutazioni di rischio specifiche per OT e requisiti per lo sviluppo sicuro di componenti. L’adozione di questi framework, combinata con piani di emergenza, test di ripristino e procedure di conservazione delle evidenze, riduce significativamente la probabilità di interruzioni future e garantisce la conformità alle normative applicabili.
