Cybersecurity e quadri elettrici: cosa cambia per il quadrista

Pubblicato il 28 settembre 2026 · Lettura 7 minuti · A cura di Algor S.r.l.

"Cybersecurity" e "quadro elettrico" sembravano parole di due mondi diversi. Due regolamenti europei le stanno avvicinando — uno con certezze e date, l'altro con una zona grigia che conviene conoscere. Vediamo cosa è sicuro, cosa è ancora da chiarire, e cosa ha senso fare già oggi in officina.

I componenti digitali nel quadro elettrico

In molti quadri di oggi c'è un PLC, un pannello operatore, relè di protezione che dialogano in Modbus o Ethernet, un modulo per la teleassistenza. Ognuno di questi è una porta: verso la rete di stabilimento, verso il fornitore che fa manutenzione da remoto, verso Internet. E dove c'è una porta, qualcuno può provare ad aprirla. La CEI EN 61439, che governa costruzione, prestazioni e verifiche del quadro, di tutto questo non si occupa: non è il suo mestiere. Se ne occupano altre regole — e sono nuove.

Quadro a bordo macchina: i requisiti dal 20 gennaio 2027

Il Reg. UE 2023/1230, che dal 20 gennaio 2027 sostituisce la Direttiva macchine, introduce per la prima volta nei requisiti essenziali di sicurezza la protezione digitale. L'Allegato III lo dice in due punti. Il punto 1.1.9, "Protezione contro la corruzione": la macchina deve essere progettata in modo che il collegamento di un altro dispositivo — o l'accesso da remoto — non crei una situazione pericolosa; i componenti hardware che trasmettono segnali o dati rilevanti per la sicurezza devono essere protetti da alterazioni accidentali o intenzionali; software e dati critici per la sicurezza vanno identificati come tali e protetti; la macchina deve saper dire in ogni momento quale software installato è necessario al suo funzionamento sicuro, e raccogliere le prove di ogni intervento — legittimo o no — su quel software o sulla sua configurazione.

Il punto 1.2.1 aggiunge che i sistemi di comando devono resistere anche a tentativi deliberati, ragionevolmente prevedibili, da parte di terzi; e che il registro di tracciamento degli interventi e delle versioni del software di sicurezza caricato dopo l'immissione sul mercato deve restare abilitato per cinque anni dopo ogni caricamento.

Chi risponde di tutto questo è il costruttore della macchina. Ma il sistema di comando — il PLC, la logica di sicurezza, gli accessi — spesso vive nel quadro che costruisci tu per conto suo. Succederà quindi quello che già succede con la CEI EN 60204-1: il costruttore della macchina tradurrà i requisiti in specifiche per il tuo quadro — accessi protetti, porte e servizi disabilitati, versioni del software documentate — e le vorrà nella tua fornitura, con i documenti che le dimostrano.

Il Cyber Resilience Act e il quadro connesso

Il secondo testo è il Cyber Resilience Act (Reg. UE 2024/2847), che riguarda i "prodotti con elementi digitali": qualsiasi prodotto hardware o software la cui destinazione d'uso, o l'uso ragionevolmente prevedibile, comprende una connessione dati, diretta o indiretta, a un dispositivo o a una rete. Le date contano: gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate sono in vigore dall'11 settembre 2026; il resto si applica dall'11 dicembre 2027.

Dove sta il quadro? Un quadro puramente elettromeccanico — interruttori, contattori, morsetti — non ha elementi digitali: è fuori, senza dubbi. Un quadro venduto con dentro un PLC, un HMI o un gateway e una porta di rete è un altro discorso: ogni componente digitale è già, per conto suo, un prodotto con elementi digitali del suo costruttore (ABB, Siemens, Schneider…); ma il quadro finito, se lo immetti sul mercato come prodotto connesso, potrebbe esserlo a sua volta — e tu ne saresti il fabbricante. In quel caso il Regolamento chiede, tra le altre cose, la dovuta diligenza sui componenti integrati (articolo 13): verificare che il componente porti la marcatura CE anche ai fini del CRA, che riceva aggiornamenti di sicurezza, che non abbia vulnerabilità note nei database pubblici, o sottoporlo a prove ulteriori. Più un elenco documentato dei componenti software e una gestione delle vulnerabilità nel tempo.

Diciamolo con onestà: sul confine tra "assemblo componenti digitali certificati" e "sono fabbricante di un prodotto digitale" le linee guida applicative sono ancora in corso di definizione, e in questa pagina lo aggiorneremo. Un punto è però già scritto: chi rispetta il Cyber Resilience Act è presunto conforme ai requisiti di cybersecurity del Regolamento macchine. Le due strade, alla fine, convergono.

Le misure da adottare fin da ora

Nessuno dei due regolamenti chiede al quadrista di diventare un esperto di sicurezza informatica. Chiedono, come sempre, di sapere cosa c'è nel quadro e di poterlo dimostrare. Sei mosse che costano poco e valgono già domani:

• Inventario digitale per ogni quadro: marca, modello e versione firmware di PLC, HMI, relè comunicanti, gateway — registrati nel fascicolo, come fai con la distinta.
• Chiedi ai fornitori dei componenti la loro posizione sul Cyber Resilience Act e la politica di aggiornamenti di sicurezza: è la tua dovuta diligenza, e la loro risposta va in archivio.
• Niente password di fabbrica alla consegna; porte e servizi non usati disabilitati; accesso remoto solo se richiesto, e documentato.
• Nel capitolato bordo macchina chiedi al cliente le specifiche di sicurezza informatica insieme a quelle della CEI EN 60204-1, prima del preventivo.
• Registra le versioni del software caricato nel verbale di collaudo: dal 2027 quel registro dovrà esistere per cinque anni.
• Ogni modifica software dopo la consegna apre una nuova revisione del fascicolo — con data, autore e versione — esattamente come una modifica al cablaggio.

Il ruolo del fascicolo tecnico

Letti da vicino, i requisiti digitali chiedono le stesse cose che il fascicolo tecnico del quadro chiede da sempre: sapere cosa hai montato, in quale versione, chi ha toccato cosa e quando. Cambia l'oggetto — non più solo schemi e verbali, anche versioni software e registri di accesso — ma non cambia il metodo. Chi tiene il fascicolo per matricola, con lo storico delle revisioni, ha già la struttura per accogliere anche questo. Chi lo tiene "a memoria", dal 2027 avrà un motivo in più per smettere.

Domande frequenti

La CEI EN 61439 tratta la cybersecurity del quadro elettrico?

No. La CEI EN 61439 regola costruzione, prestazioni e verifiche del quadro come apparecchiatura elettrica; non contiene requisiti di sicurezza informatica. Questi arrivano da altre fonti: per il quadro a bordo macchina dal Reg. UE 2023/1230 (Allegato III, punti 1.1.9 e 1.2.1) con la futura EN 50742; per i quadri connessi venduti come prodotti dal Cyber Resilience Act, Reg. UE 2024/2847.

Il Cyber Resilience Act si applica ai quadri elettrici?

Dipende da cosa c'è dentro. Un quadro puramente elettromeccanico non è un prodotto con elementi digitali ed è fuori. Un quadro venduto con PLC, HMI, gateway o dispositivi comunicanti e una connessione dati, prevista o ragionevolmente prevedibile, verso una rete o un altro dispositivo può rientrarvi: in quel caso chi lo immette sul mercato come prodotto finito assume gli obblighi del fabbricante, a partire dalla dovuta diligenza sui componenti digitali integrati. Le linee guida applicative su questi casi sono ancora in corso di definizione.

Da quando valgono i requisiti di cybersecurity per il quadro a bordo macchina?

Dal 20 gennaio 2027, con l'applicazione del Reg. UE 2023/1230 alle macchine immesse sul mercato da quella data: protezione contro la corruzione di hardware, software e dati critici per la sicurezza, resistenza a tentativi deliberati di terzi e registro delle versioni del software di sicurezza abilitato per cinque anni dopo ogni caricamento.