CRA + Regolamento Macchine doppia conformità per le macchine connesse

Se la tua macchina ha una scheda di rete, un PLC connesso o un'interfaccia remota, non basta più il Regolamento Macchine. Devi rispettare anche il Regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA). Due regolamenti, due fascicoli da tenere allineati, un solo prodotto.

Il punto non è teorico. Sempre più macchine escono di fabbrica con connettività di serie: monitoraggio remoto, aggiornamenti OTA, dashboard cloud. Ognuna di queste funzioni fa rientrare la macchina nel perimetro del CRA, mentre il Reg. (UE) 2023/1230 resta comunque applicabile per la sicurezza fisica.

Due regolamenti, due obiettivi

Il Regolamento Macchine 2023/1230 valuta i rischi per l'incolumità di chi usa la macchina: schiacciamento, taglio, esposizione, rumore. Il CRA valuta i rischi legati alla sicurezza informatica: accesso non autorizzato, manomissione del firmware, vulnerabilità sfruttabili da remoto.

Entrambi chiedono una valutazione dei rischi documentata. Nessuno dei due, però, copre l'ambito dell'altro. Un PLC violato da remoto può aprire un blocco di sicurezza fisico: qui i due mondi si toccano, e la valutazione va condotta guardando entrambi gli angoli.

Il rischio dei due processi paralleli

L'errore più comune: un team fa la valutazione rischi meccanici per il fascicolo ex Allegato IV del Reg. (UE) 2023/1230, un altro team (spesso IT o un fornitore esterno) fa la valutazione di sicurezza informatica per il CRA. Risultato: due documenti che non si parlano, nessuno dei due completo, doppio lavoro in caso di audit.

La soluzione è pratica, non burocratica: costruisci un'unica matrice dei rischi. Righe per ogni funzione o componente della macchina, colonne separate per rischio meccanico/elettrico (Reg. Macchine) e rischio cyber (CRA). Stessa matrice, stesso responsabile di sintesi, due valutazioni distinte ma tracciate nello stesso documento.

Questo approccio evita che una vulnerabilità informatica venga trattata solo come "problema IT" quando in realtà può generare un rischio fisico non previsto nella tua analisi meccanica originale.

se hai già una matrice rischi per il Reg. Macchine, non ricominciare da zero. Aggiungi le colonne CRA sullo stesso file: la struttura di analisi (identificazione pericolo, probabilità, gravità, misure) è riutilizzabile.

Le scadenze non coincidono

Qui serve attenzione, perché le due tempistiche corrono su binari diversi.

Il CRA impone obblighi di segnalazione delle vulnerabilità già dall'11 settembre 2026 (art. 14, Reg. (UE) 2024/2847). Il Regolamento Macchine 2023/1230 diventa pienamente applicabile il 20 gennaio 2027.

per quasi quattro mesi, tra settembre 2026 e gennaio 2027, dovrai gestire obblighi di notifica cyber su prodotti che sono ancora in fase di transizione verso il pieno regime del Regolamento Macchine. Pianifica per tempo: chi aspetta il 2027 per pensare al CRA arriva in ritardo su entrambi i fronti.

Questo scarto temporale non è un dettaglio da rimandare. Se il tuo prodotto ha già connettività oggi, la valutazione dei rischi cyber va impostata subito, indipendentemente da quando entrerà in vigore il resto del Regolamento Macchine.

Cosa significa per te

• Verifica se la tua macchina rientra nel perimetro del CRA: qualsiasi combinazione hardware-software connessa in rete è candidata.
• Costruisci (o estendi) un'unica matrice dei rischi con colonne separate per rischio meccanico/elettrico e rischio cyber.
• Assegna un responsabile unico di sintesi tra i due processi, anche se i team tecnici restano distinti.
• Segna in agenda l'11 settembre 2026 per gli obblighi di notifica CRA (art. 14) e il 20 gennaio 2027 per la piena applicazione del Reg. (UE) 2023/1230.
• Non aspettare la seconda scadenza per occuparti della prima: il CRA corre prima.

Clausify verifica che il tuo manuale e il tuo fascicolo tecnico riflettano entrambe le valutazioni dei rischi, senza lasciare buchi tra sicurezza fisica e sicurezza informatica.