Un accesso remoto concesso a un manutentore, un componente software vulnerabile o la connessione tra una linea produttiva e i sistemi aziendali possono diventare punti di ingresso per un attacco informatico. La digitalizzazione degli impianti sta portando la cybersecurity dentro le decisioni che riguardano continuità produttiva, gestione del rischio e responsabilità dei vertici aziendali.
A queste trasformazioni è dedicato Security Summit OT 2026, il nuovo appuntamento organizzato da Clusit, l’Associazione italiana per la sicurezza informatica, insieme ad Astrea. L’evento si terrà il 24 settembre all’UNAHOTELS Expo Fiera Milano di Pero e riunirà imprese, istituzioni, specialisti e fornitori di tecnologie per discutere la protezione dei sistemi industriali e delle infrastrutture di Operational Technology.
Indice degli argomenti
La convergenza tra IT e OT amplia la superficie di attacco
Le tecnologie OT comprendono apparati, software e sistemi di controllo utilizzati per gestire macchinari, impianti e processi fisici. Per anni questi ambienti hanno funzionato attraverso reti separate dai sistemi informativi aziendali. L’adozione di sensori connessi, piattaforme cloud, strumenti di analisi dei dati e servizi di manutenzione da remoto ha progressivamente ridotto quella separazione.
La convergenza tra Information Technology e Operational Technology permette di monitorare gli impianti in tempo reale, ottimizzare la produzione e anticipare guasti e anomalie. Allo stesso tempo, la connessione tra i due ambienti estende agli impianti rischi già presenti nelle reti digitali, con conseguenze che possono coinvolgere disponibilità dei macchinari, qualità dei prodotti, sicurezza delle persone e rispetto delle scadenze di consegna.
La protezione degli ambienti OT richiede quindi un coordinamento tra responsabili della cybersecurity, direzioni operative, ingegneria, manutenzione, produttori di macchine e fornitori esterni. Le misure devono tenere conto delle caratteristiche degli impianti, nei quali un aggiornamento o un’interruzione programmata possono avere effetti diretti sulla produzione.
Gli incidenti crescono e il manifatturiero italiano è esposto
Ad aprire il convegno saranno la presidente di Clusit Anna Vaccarelli e Luca Bechelli, componente del Comitato direttivo dell’associazione, con la presentazione del Rapporto Clusit Manufacturing 2026.
Il quadro di partenza è delineato anche dai dati del Rapporto Clusit 2026. Nel 2025 sono stati censiti in Italia 507 incidenti informatici gravi, il 42% in più rispetto ai 357 dell’anno precedente. Il Paese ha concentrato il 9,6% degli episodi rilevati a livello mondiale, una quota elevata rispetto al peso dell’economia nazionale.
Il campione considera gli attacchi noti andati a buon fine e capaci di produrre conseguenze economiche, tecnologiche, legali o reputazionali significative. Rappresenta dunque una parte del fenomeno complessivo, ma consente di leggerne l’evoluzione.
Nel manifatturiero italiano è stato registrato il 12,6% degli incidenti nazionali. Il dato assume maggiore rilievo nel confronto internazionale: il 16% degli attacchi osservati nel mondo contro aziende del settore ha riguardato organizzazioni italiane. A livello globale, gli episodi diretti verso il comparto sono aumentati del 79% in un anno.
Il Cyber Resilience Act porta gli obblighi nel ciclo di vita dei prodotti
La prima sessione plenaria sarà dedicata al Cyber Resilience Act e al suo impatto sui prodotti OT. Il regolamento europeo estende la responsabilità dei produttori lungo il ciclo di vita dei dispositivi e dei software con elementi digitali, introducendo requisiti che coinvolgono progettazione, gestione delle vulnerabilità, aggiornamenti e supporto.
Il tema è particolarmente attuale perché dall’11 settembre 2026 sono entrati in applicazione gli obblighi di segnalazione previsti dal CRA. Secondo la Commissione europea, i produttori devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali. È prevista una prima segnalazione entro 24 ore dalla conoscenza dell’evento, seguita da una notifica completa entro 72 ore.
Per i fornitori di tecnologie industriali, l’adeguamento coinvolge anche la documentazione tecnica, i processi di sviluppo, le procedure di aggiornamento e i rapporti con clienti e partner. La cybersecurity diventa così un requisito del prodotto e della sua manutenzione, con ricadute sull’intera catena di fornitura.
La sessione sarà moderata da Paola Girdinio, componente del Comitato direttivo Clusit, e vedrà il confronto, tra gli altri, di Stefano Martinis, CTO di Danieli Automation, Roberto Puricelli, CISO di Ariston Group, e Cristian Sartori, Director Business Manager Automation Products di Siemens.
Continuità operativa e governance nella convergenza IT-OT
Una tavola rotonda affronterà la convergenza tra IT e OT nel manifatturiero, con particolare attenzione alla continuità operativa, alla governance del rischio e alla collaborazione tra le diverse funzioni aziendali.
Il confronto, moderato da Alessio Pennasilico del Comitato scientifico Clusit, coinvolgerà Lorenzo Ivaldi ed Enzo Tieghi. Tra i temi figurano l’allineamento tra framework di cybersecurity e standard come la serie IEC 62443, utilizzata come riferimento per la protezione dei sistemi di automazione e controllo industriale.
Uno dei nodi operativi riguarda gli accessi concessi ai produttori delle apparecchiature originali, gli OEM, per svolgere attività di assistenza e manutenzione. Account condivisi, credenziali permanenti e collegamenti difficili da monitorare possono creare percorsi di accesso agli impianti. Il programma comprende quindi sessioni sulla gestione degli accessi OEM e sulle modalità per proteggere le connessioni remote senza rallentare gli interventi tecnici.
Dalla conformità alla progettazione sicura degli impianti
Accanto alle sessioni plenarie sono previste aule di formazione specialistica. Un approfondimento curato da Paola Girdinio, Clusit e dal centro di competenza START 4.0 sarà dedicato alla Security by Design negli ambienti OT, con l’obiettivo di tradurre gli adempimenti normativi in misure applicabili alla progettazione e alla gestione degli impianti.
Un secondo appuntamento, affidato a Micaela Caserza Magro di Women For Security, analizzerà il Regolamento Macchine (Ue) 2023/1230 e i requisiti di cybersecurity collegati alla sicurezza e alla salute. Il percorso formativo comprenderà inoltre una sessione condotta da Gian Luigi Pugni di START 4.0 sull’impiego della serie ISA/IEC 62443 per trasformare la valutazione del rischio in requisiti tecnici verificabili.
Il passaggio dalla conformità formale alla capacità di resistere e reagire agli incidenti sarà uno dei fili conduttori della giornata. Per le imprese manifatturiere, la resilienza dipende dalla possibilità di individuare le risorse più importanti, governare le interdipendenze e predisporre procedure di risposta compatibili con i vincoli della produzione.
NIS2, CRA e normativa sulle macchine cambiano le responsabilità
La sessione plenaria del pomeriggio esaminerà il rapporto tra ambienti OT e disciplina europea, mettendo a confronto gli effetti della direttiva NIS2, del Cyber Resilience Act e della normativa sulle macchine.
La NIS2 interviene sulla gestione del rischio e sulla responsabilità delle organizzazioni appartenenti ai settori interessati. Il CRA concentra invece l’attenzione sui prodotti con elementi digitali, mentre il Regolamento Macchine considera anche i rischi derivanti da comportamenti dolosi di terzi quando possono compromettere la sicurezza delle apparecchiature.
La sovrapposizione di questi ambiti spinge le aziende a coordinare gli adempimenti, assegnare responsabilità interne e verificare il livello di protezione dei fornitori. La sessione conclusiva, moderata da Claudio Telmon del Comitato direttivo Clusit, coinvolgerà rappresentanti del mondo industriale, dei trasporti e della comunità della sicurezza informatica.
«Security Summit OT nasce per rispondere a un’urgenza che i dati confermano ogni anno con maggiore evidenza: la sicurezza dei sistemi industriali non è più un tema di nicchia per pochi specialisti, ma una priorità strategica per l’intero tessuto produttivo italiano», – spiega Anna Vaccarelli, Presidente di Clusit.
«La convergenza tra IT e OT ha aperto superfici di attacco che fino a pochi anni fa non esistevano – prosegue – e il nuovo quadro normativo europeo chiede alle imprese un cambio di passo culturale, prima ancora che tecnologico. Con questo evento vogliamo offrire alle organizzazioni strumenti concreti – normativi, tecnici e organizzativi – per affrontare questa trasformazione, senza lasciare sole le imprese, in particolare le PMI, in un percorso che riguarda la competitività e la sicurezza dell’intero sistema industriale del Paese».
Partecipa alla community