A partire dall'11 settembre 2026, il CRA (Cyber Resilience Act) dell'UE concederà ai produttori 24 ore di tempo per segnalare una vulnerabilità attivamente sfruttata. Negli ambienti OT (Operational Technology), gli incidenti più suscettibili di far scattare tale termine arrivano su un'unità " USB ", e la maggior parte degli operatori non è ancora in grado di dire dove sia finita quell'unità.
L'orologio a 24 ore è in realtà un test di visibilità.
A partire dall’11 settembre 2026, i produttori di prodotti dotati di elementi digitali venduti nell’UE dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi. Le scadenze sono rigide: un avviso preliminare entro 24 ore dalla presa di conoscenza, una notifica completa entro 72 ore e una relazione finale entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità attivamente sfruttate, oppure entro un mese per gli incidenti gravi.
Notate a cosa è legato il termine: la presa di coscienza. Ogni scadenza prevista dal regolamento presuppone che si sia in grado di individuare l’evento, ricostruirne l’accaduto e descrivere la misura correttiva. Si tratta di un problema di documentazione e telemetria ben prima che diventi una questione legale. Inoltre, l’obbligo ha valenza sia retroattiva che prospettica, poiché riguarda i prodotti già immessi sul mercato dell’UE, non solo quelli spediti dopo che il CRA entrerà pienamente in vigore nel dicembre 2027.
Per chiunque gestisca o rifornisca ambienti industriali e OT, ciò mette in luce una lacuna preoccupante. Il percorso che con maggiore probabilità genera un evento segnalabile nell’OT è anche quello con la minore strumentazione: i supporti rimovibili. La buona notizia è che si tratta di un problema ingegneristico risolvibile con tre misure di controllo ben consolidate: un punto di ispezione obbligatorio sul perimetro, un trasferimento unidirezionale tra zone imposto a livello hardware e un trasferimento gestito che registra ogni movimento. Tutte e tre sono necessarie, e l’ordine in cui vengono applicate è importante.
Problema numero uno: la minaccia che entra semplicemente varcando il cancello
Una ricerca di Honeywell sulla sicurezza informatica industriale ha rilevato che il 51% del malware analizzato era progettato per diffondersi tramite dispositivi “ USB ”, in aumento rispetto al 9% di cinque anni prima. Il suo rapporto sulle minacce del 2025 ha evidenziato che un incidente su quattro gestito dal suo team di risposta riguardava un evento “plug-and-play” di tipo “ USB ”, in genere qualcuno che collegava un’unità che poi diffondeva malware nell’ambiente. I supporti rimovibili sono diventati uno dei vettori di accesso iniziale più affidabili negli ambienti ICS (Industrial Control Systems) proprio perché aggirano ogni misura di controllo di rete in cui un operatore ha investito.
Gli organismi di normazione lo avevano segnalato già anni fa. Il documento NIST SP 800-82 Rev. 3, la “Guida alla sicurezza della tecnologia operativa (OT)”, considera la protezione dei supporti come una famiglia di controlli a sé stante proprio per questo motivo, mentre i modelli a zone e a condotti della norma IEC 62443 presuppongono che i supporti che entrano in una zona siano stati ispezionati. Raramente il problema risiede nella politica aziendale. La maggior parte degli impianti dispone di una politica sui supporti rimovibili archiviata da qualche parte in un raccoglitore. È nell’applicazione che si verificano le lacune: una politica che si basa sul fatto che un appaltatore si rechi volontariamente a una postazione di scansione non genera alcuna prova nei giorni in cui invece ci passa semplicemente davanti.
Il primo controllo, quindi, è un punto di controllo obbligatorio sul perimetro fisico: una stazione di scansione che ogni laptop dei fornitori, ogni unità dei tecnici e ogni aggiornamento del firmware deve attraversare, dove i file vengono ispezionati con più motori, ricostruiti per eliminare le minacce incorporate e registrati. Due risultati sono ugualmente importanti: i supporti infetti non entrano mai e ogni supporto che è entrato viene registrato. Il secondo risultato è alla base della notifica entro 72 ore.
Problema n. 2: Cosa succede dopo il cancello
La sanificazione dei supporti all'ingresso risponde a una domanda: cosa entra. Il percorso che i dati seguiranno in seguito è un problema a sé stante.
Una volta che un file è pulito, deve comunque passare dall’ambiente aziendale alla rete di controllo e, nella maggior parte degli impianti, tale percorso è costituito da una regola del firewall. I firewall sono software; sono bidirezionali per definizione e configurabili, il che significa che possono anche essere configurati in modo errato. Un firewall che consente il trasferimento di file in entrata è, per sua stessa natura, un percorso di ritorno che un malintenzionato può tentare di utilizzare.
La soluzione architettonica consiste nel rimuovere fisicamente, anziché logicamente, il percorso di ritorno. I gateway unidirezionali e i diodi di dati impongono un flusso di dati unidirezionale a livello hardware: i dati possono passare dal lato a bassa affidabilità a quello ad alta affidabilità (o verso l’azienda per casi d’uso relativi a sistemi di archiviazione storica e analisi), e nessun protocollo, nessuna modifica alle regole e nessuna credenziale compromessa può invertire tale flusso. Non c’è nulla da configurare in modo errato, poiché non c’è nulla da configurare in primo luogo.
Questo aspetto è importante tanto dal punto di vista normativo quanto da quello della sicurezza. L’Allegato I della CRA richiede che i prodotti garantiscano la riservatezza e l’integrità dei dati in transito e resistano alla manipolazione non autorizzata di comandi, programmi e configurazioni. La direzionalità imposta dall’ Hardware è una delle poche caratteristiche che un fornitore può dimostrare in laboratorio anziché limitarsi ad affermarla in una scheda tecnica, il che ha la sua importanza quando si sta preparando un fascicolo tecnico o ci si trova di fronte a un revisore.
Problema numero tre: renderlo qualcosa che le persone possano effettivamente utilizzare
È proprio qui che la maggior parte dei progetti di trasferimento sicuro si arena. Un punto di controllo di sanificazione e un gateway unidirezionale definiscono un confine. Non descrivono però un flusso di lavoro, e i team addetti agli acquisti pongono subito una domanda concreta: «Va bene, ma come fa un ingegnere a Rotterdam a inviare una configurazione convalidata di un PLC (controllore logico programmabile) a uno stabilimento in Polonia in un giorno qualsiasi?»
Se la soluzione prevede che qualcuno debba percorrere un tratto di strada con un’auto d USB e per raggiungere un chiosco, l’architettura ha di fatto reintrodotto il problema che avrebbe dovuto risolvere.
Il trasferimento gestito dei file aggira questo problema. Meccanismi standard, come SFTP, API REST e flussi di lavoro mediati, consentono ai file di spostarsi tra le zone senza l’intervento umano, e ogni passaggio viene sottoposto allo stesso trattamento di scansione multipla e alla tecnologia Deep CDR™ che il file riceverebbe presso il chiosco. Ogni trasferimento genera inoltre un registro di sessione: chi lo ha avviato, cosa è stato inviato, quali sono stati i risultati della scansione, dove è stato archiviato e quando. Tale traccia di audit rappresenta la risposta operativa ai tempi di segnalazione previsti dalla CRA. Quando si verifica un problema, la differenza tra l’invio di un preallarme entro 24 ore e il mancato rispetto di tale termine dipende solitamente dal fatto che il registro esista già o debba essere ricostruito sulla base delle testimonianze.
Tre problemi, un unico gasdotto
I fornitori vendono il checkpoint, il gateway e il livello di trasferimento come tre acquisti distinti. Essi occupano tre punti lungo un unico percorso:
Palcoscenico | Domanda a cui risponde | Controllo |
Voce | È sicuro portare qui questo supporto? | Punto di controllo obbligatorio per la scansione e la pulizia dei file |
Attraversamento | C'è qualcosa che possa tornare indietro? | Hardware-trasferimento unidirezionale forzato |
Operazione | Come lo mettiamo in pratica ogni giorno, con prove concrete? | Trasferimento file gestito, con registrazione e basato su protocolli |
Se ti limiti a risolvere il problema dell’accesso, otterrai un file pulito senza vie sicure per entrarvi. Se ti limiti a risolvere il problema dell’incrocio, otterrai un confine rinforzato che le persone aggireranno. Se ti limiti a risolvere il problema delle operazioni, otterrai registrazioni eccellenti sullo spostamento di file non verificati. Il valore sta nella sequenza completa.
Una nota sull'ambito di applicazione
È opportuno chiarire con precisione cosa prevede e cosa non prevede la scadenza di settembre. Il CRA è una normativa sui prodotti: i relativi obblighi di segnalazione ricadono sui produttori, sugli importatori e sui distributori di prodotti dotati di elementi digitali, non sui gestori degli impianti in quanto tali. I gestori di infrastrutture critiche nell’UE sono regolati più direttamente dalla direttiva NIS2, che prevede propri obblighi di notifica degli incidenti.
In pratica, però, i due approcci convergono sulla stessa capacità. Che l’obbligo ti venga imposto in qualità di produttore ai sensi del CRA o di entità essenziale ai sensi della NIS2, ti viene richiesto di individuare rapidamente un evento, spiegare come si sono mossi i dati e dimostrare quali controlli fossero in atto. Una pipeline di dati strumentata risponde a tutte e tre queste esigenze. Un documento programmatico, per quanto redatto con cura, non risponde a nessuna di esse.
Da dove cominciare
Se l’11 settembre è segnato sul vostro calendario, saltate la valutazione delle lacune rispetto al testo normativo e fate invece una simulazione: scegliete un file reale, ad esempio un aggiornamento del firmware, una patch del fornitore o una ricetta di processo aggiornata, e seguite il suo intero percorso dal computer portatile di un fornitore fino a un controller. Annotate ogni punto in cui una decisione umana sostituisce un controllo obbligatorio e ogni punto in cui si perde la traccia
La maggior parte delle organizzazioni riscontra le stesse tre lacune, sempre nello stesso ordine.
OPSWAT collabora con gli operatori di infrastrutture critiche e gli OEM proprio su questa linea di prodotti: MetaDefender Kiosk™ per la sicurezza dei supporti rimovibili a livello perimetrale, MetaDefender Unidirectional Security Gateway per il trasferimento unidirezionale tra zone garantito a livello hardware e MetaDefender Managed File Transfer per la gestione dei trasferimenti con monitoraggio completo delle sessioni. Per verificare la conformità del vostro percorso dei dati ai requisiti di rendicontazione CRA e NIS2, contattate il nostro team.
