Cybersecurity e sicurezza sul lavoro: quando il rischio digitale diventa rischio fisico

A cura della Redazione

La digitalizzazione dei processi produttivi sta ridefinendo il concetto stesso di sicurezza sul lavoro. Le minacce informatiche non sono più solo un problema IT, ma possono trasformarsi in eventi pericolosi per persone e impianti. Analizza il nuovo scenario normativo europeo, le principali criticità e le strategie operative significa integrare cybersecurity e salute e sicurezza nei luoghi di lavoro.

COSA TRATTA
La trasformazione digitale dei contesti produttivi ha introdotto un cambiamento profondo nel modo di concepire la sicurezza. L’integrazione tra sistemi informatici e impianti fisici, tipica dei modelli industriali più evoluti, ha ampliato in maniera significativa il perimetro del rischio. Le macchine non sono più isolate: comunicano, apprendono, si aggiornano e dialogano con altre infrastrutture. Questo progresso, se da un lato ha migliorato efficienza e controllo, dall’altro ha aperto nuove vulnerabilità. La cybersecurity entra così stabilmente nel perimetro della salute e sicurezza sul lavoro. Un attacco informatico non produce solo perdita di dati o interruzione dei servizi, ma può determinare anomalie nei comportamenti delle macchine, disattivazione di protezioni, avvii imprevisti o gestione errata di parametri critici come pressione, temperatura e velocità. È in questo passaggio che il rischio digitale si trasforma in rischio concreto per i lavoratori.Il quadro normativo europeo ha già recepito questa evoluzione. Il Regolamento Macchine (UE) 2023/1230 segna una svolta: la sicurezza informatica non è più un ambito separato, ma parte integrante dei requisiti essenziali di sicurezza. Le macchine devono essere progettate per resistere anche a manipolazioni intenzionali e garantire che le funzioni di sicurezza rimangano affidabili in ogni condizione, inclusi gli eventi cyber. Questo implica una revisione culturale profonda, che coinvolge progettisti, datori di lavoro e professionisti della prevenzione.

Accanto al Regolamento Macchine si inseriscono altri strumenti normativi: la Direttiva NIS2, il Cyber Resilience Act e le norme sulla protezione dei dati. Tutti convergono verso un principio chiave: la sicurezza deve essere gestita lungo l’intero ciclo di vita dei sistemi, dalla progettazione alla dismissione, includendo anche la supply chain e i fornitori.Dal punto di vista operativo, il primo passaggio è rappresentato da una valutazione del rischio che integri dimensione fisica e digitale. Non è più sufficiente analizzare i pericoli meccanici, elettrici o chimici: occorre comprendere come una vulnerabilità informatica possa generare o amplificare tali rischi.

In questo senso, metodologie tradizionali come FMEA, analisi degli alberi dei guasti o approccio bow-tie restano valide, ma devono essere aggiornate per includere scenari di attacco, accessi non autorizzati e manipolazione dei sistemi.Le tecnologie da considerare sono molteplici: sistemi di controllo programmabili, interfacce di comunicazione, macchine connesse a reti IT e OT, sensori intelligenti e piattaforme remote. In tutti questi casi, l’elemento comune è la possibilità che un intervento esterno alteri la logica di funzionamento della macchina.

Le misure di prevenzione devono quindi essere progettate in modo integrato. Non si tratta solo di installare protezioni tecniche, ma di costruire un sistema coerente che includa gestione degli accessi, monitoraggio continuo, aggiornamento dei software e controllo delle modifiche. Fondamentale è anche il contributo delle persone: lavoratori formati e consapevoli rappresentano spesso la prima linea di difesa.La formazione assume un ruolo strategico. Non deve limitarsi alla conoscenza delle procedure, ma sviluppare competenze critiche: riconoscere tentativi di phishing, gestire correttamente le credenziali, comprendere le conseguenze di un accesso non autorizzato. In parallelo, le organizzazioni devono strutturare procedure di risposta agli incidenti e integrare i rischi cyber nei piani di continuità operativa.Un ulteriore elemento di attenzione riguarda la gestione dei fornitori.

Le catene di fornitura rappresentano uno dei principali vettori di rischio. La qualificazione dei partner deve includere requisiti di sicurezza informatica e garantire standard coerenti lungo tutta la filiera.In questo scenario, emerge con chiarezza un messaggio: la sicurezza non può più essere affrontata per compartimenti. È necessario un approccio sistemico, che unisca competenze HSE, IT e organizzative in una visione unica e coerente. La crescente complessità può essere governata solo attraverso strumenti evoluti di gestione, capaci di integrare dati, segnalazioni e processi in modo continuo e strutturato, migliorando la capacità decisionale e la resilienza complessiva dell’organizzazione.

MODIFICHE AL DVR
L’introduzione o la presenza di sistemi connessi, automazione avanzata e accessi remoti richiede un aggiornamento del Documento di Valutazione dei Rischi. In particolare:

  • integrazione dei rischi cyber con i rischi tradizionali per la sicurezza dei lavoratori
  • analisi delle vulnerabilità dei sistemi di controllo e delle interfacce
  • valutazione degli scenari di manomissione o accesso non autorizzato
  • revisione delle misure di prevenzione e delle procedure di emergenza

PROCEDURE DI SICUREZZA
È necessario introdurre o aggiornare procedure specifiche, tra cui:

  • gestione degli accessi e delle autorizzazioni ai sistemi
  • gestione delle modifiche software e delle configurazioni
  • risposta agli incidenti informatici con impatto su impianti e attività
  • gestione sicura delle attività di manutenzione e teleassistenza
  • controllo dei dispositivi esterni e delle interfacce di collegamento

COSA DICE LA LEGGE

  • Il Regolamento (UE) 2023/1230 richiede che i rischi di accessi non autorizzati e manipolazioni siano considerati già in fase di progettazione delle macchine
  • La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con D.Lgs. 138/2024, introduce obblighi di gestione del rischio cyber e continuità operativa
  • Il Regolamento (UE) 2024/2847 (Cyber Resilience Act) impone requisiti di sicurezza per prodotti con elementi digitali lungo l’intero ciclo di vita
  • Il Regolamento (UE) 2016/679 (GDPR) disciplina la protezione dei dati personali e rafforza le misure di sicurezza
  • Il D.Lgs. 81/2008 impone al datore di lavoro la valutazione di tutti i rischi, inclusi quelli emergenti legati alla trasformazione tecnologica

INDICAZIONI OPERATIVE

  1. Mappare tutti i sistemi connessi presenti in azienda, inclusi quelli di terze parti
  2. Separare logicamente e fisicamente reti IT e OT
  3. Implementare sistemi di autenticazione robusta e gestione centralizzata degli accessi
  4. Monitorare accessi, modifiche e anomalie con strumenti dedicati
  5. Aggiornare periodicamente software e firmware
  6. Integrare i rischi cyber nei processi di valutazione e nelle riunioni periodiche HSE
  7. Introdurre simulazioni periodiche di attacco e test di resilienza
  8. Rafforzare la formazione dei lavoratori con esempi pratici e verifiche continue
  9. Qualificare i fornitori anche in base ai requisiti di sicurezza informatica
  10. Integrare la gestione degli incidenti cyber nei piani di emergenza e continuità

Il 20% che conta (per l’80% dei risultati)

  • La cybersecurity è parte integrante della sicurezza sul lavoro
  • Le macchine connesse possono generare rischi fisici se vulnerabili
  • La valutazione dei rischi deve includere scenari di attacco informatico
  • Le persone restano il primo fattore di protezione
  • La gestione integrata tra HSE e sistemi digitali è la chiave della prevenzione

Riproduzione riservata ©