Il Regolamento (UE) 2023/1230, che si applica dal 20 gennaio 2027, porta dentro i requisiti essenziali di sicurezza tre temi che la Direttiva Macchine trattava poco o per niente: la protezione del software e dei componenti che lo collegano, il comportamento dei sistemi di comando davanti a interventi deliberati di terzi, la perdita della connessione alla rete. Stanno nell'allegato III, ai punti 1.1.9, 1.2.1 e 1.2.6.
Il perimetro va capito subito. Il considerando 25 del regolamento chiede ai fabbricanti misure proporzionate e limitate alla protezione della sicurezza della macchina, e precisa che resta possibile applicare altri atti dell'Unione dedicati alla cibersicurezza. Il Regolamento Macchine guarda alla cibersicurezza in quanto può rendere pericolosa la macchina; la cibersicurezza del prodotto in senso pieno è il campo del Cyber Resilience Act.
Il CRA e l'articolo 20 del regolamento lo chiamano protezione contro la corruzione: è lo stesso punto. Chiede cinque cose:
Nel secondo punto, per i componenti hardware, e negli ultimi due il soggetto è la macchina: è la macchina che deve saper dire che cosa ha installato e tenere traccia di chi ci ha messo mano. Una procedura o un registro tenuti fuori dalla macchina, da soli, non rispondono alla lettera del requisito.
Il requisito c'era già nella direttiva; il regolamento lo estende in quattro direzioni.
Gli interventi deliberati. I sistemi di comando devono resistere, se del caso, alle sollecitazioni di servizio previste e agli influssi esterni, intenzionali o no, compresi i tentativi deliberati ragionevolmente prevedibili da parte di terzi che conducono a una situazione pericolosa.
Le registrazioni. Deve essere consentita, per cinque anni dal caricamento, la registrazione dei dati di tracciamento generati in relazione a un intervento e delle versioni del software di sicurezza caricate dopo l'immissione sul mercato o la messa in servizio. Lo scopo è uno solo: dimostrare la conformità su richiesta motivata di un'autorità nazionale competente.
I sistemi che apprendono. Per i sistemi di comando con un comportamento o una logica integralmente o parzialmente autoevolutivi, progettati per funzionare con livelli variabili di autonomia, il regolamento chiede che la macchina non compia azioni oltre il compito e lo spazio di movimento definiti, che i dati sul processo decisionale dei sistemi di sicurezza basati su software possano essere registrati e siano conservati per un anno dalla raccolta, con lo stesso scopo, e che la macchina possa essere corretta in qualsiasi momento per preservarne la sicurezza.
I limiti delle funzioni di sicurezza. Vale per tutti i sistemi di comando, non solo per quelli che apprendono: i limiti delle funzioni di sicurezza vanno stabiliti nella valutazione del rischio, e non sono ammesse modifiche alle impostazioni o alle regole, generate dalla macchina o dagli operatori, anche durante una fase di apprendimento, se possono creare situazioni pericolose.
Nella direttiva il requisito riguardava l'alimentazione di energia. Il regolamento lo estende alla connessione alla rete di comunicazione: l'interruzione, il ripristino dopo un'interruzione o la variazione, di qualsiasi tipo, della connessione non deve creare situazioni pericolose, esattamente come per l'energia.
Le attenzioni indicate sono le stesse: la macchina non deve avviarsi in modo inatteso; i parametri non devono cambiare in modo incontrollato se il cambiamento può essere pericoloso; non deve essere impedito l'arresto già comandato, né l'arresto manuale o automatico degli elementi mobili; nessun elemento mobile o pezzo trattenuto deve cadere o essere espulso; i dispositivi di protezione devono restare pienamente efficaci o dare un comando di arresto. Per una macchina comandata o sorvegliata da remoto, vuol dire progettare e provare che cosa succede quando la rete cade e quando torna.
L'allegato IV, parte A, aggiunge alla documentazione tecnica due voci che riguardano il software:
Norme armonizzate. Come per gli altri requisiti, la presunzione di conformità vale per le norme i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell'Unione europea, e solo per i requisiti che coprono.
Certificazione della cibersicurezza. Le macchine certificate, o per cui è stata emessa una dichiarazione di conformità, nell'ambito di un sistema europeo di certificazione della cibersicurezza adottato ai sensi del regolamento (UE) 2019/881 e i cui riferimenti sono pubblicati nella Gazzetta ufficiale sono considerate conformi ai punti 1.1.9 e 1.2.1, nella misura in cui il certificato o la dichiarazione coprono quei requisiti.
Il Cyber Resilience Act. Una macchina con software o connettività può essere anche un prodotto con elementi digitali ai sensi del Regolamento (UE) 2024/2847. Il considerando 53 del CRA riconosce che rispettarne i requisiti di cibersicurezza può facilitare la conformità ai punti 1.1.9 e 1.2.1, ma le sinergie vanno dimostrate dal fabbricante. Gli obblighi del CRA hanno date proprie: la notifica dell'Articolo 14 si applica già dall'11 settembre 2026, anche alle macchine già vendute, il resto dall'11 dicembre 2027. Per la notifica c'è la guida all'Articolo 14.
Il Regolamento (UE) 2026/1744 ha modificato il Regolamento Macchine su questo punto. L'articolo 8 ora prevede che la Commissione adotti atti delegati che aggiungono all'allegato III requisiti per i sistemi di intelligenza artificiale classificati ad alto rischio ai sensi del Regolamento (UE) 2024/1689 perché sono componenti di sicurezza di un prodotto contemplato dal regolamento o sono essi stessi un prodotto contemplato; quegli atti si applicano entro il 2 agosto 2028. Fino a quando non ci saranno norme armonizzate o specifiche comuni del Regolamento Macchine per questi sistemi, quelli conformi alle norme armonizzate o alle specifiche comuni previste dal Regolamento (UE) 2024/1689 sono considerati conformi ai requisiti dell'allegato III che li riguardano.
Resta ferma la regola dell'allegato I, parte A: i componenti di sicurezza con comportamento autoevolutivo basato sull'apprendimento automatico, e le macchine che li integrano per quanto riguarda quei sistemi, richiedono sempre un organismo notificato. Ne parla la guida sul Regolamento Macchine.
L'ordine utile è questo, partendo dalle macchine con software di sicurezza, connessione o accesso remoto:
Le altre pagine sul Regolamento Macchine: la modifica sostanziale, istruzioni e dichiarazione digitali e quando serve l'organismo notificato.
Partiamo da quello che avete, anche se è stato fatto per la Direttiva Macchine. Per cominciare ci bastano la descrizione della macchina, lo schema elettrico con il layout e l'elenco delle norme applicate; se avete la valutazione dei rischi, ci aiuta molto. Il fascicolo resta vostro, con la responsabilità che il regolamento assegna al fabbricante, e la dichiarazione di conformità la firmate voi. Non facciamo prove di laboratorio e non sostituiamo l'organismo notificato dove la procedura lo richiede: i loro risultati entrano nel fascicolo. Scriveteci per tempi e modalità.
Scrivete a info@lumantis.it