prEN 50742: cos'è la protezione contro la corruzione nelle macchine

Se producete macchine connesse, c'è una sigla che conviene avere già sul radar: prEN 50742. È il progetto di norma europea Sicurezza del macchinario — Protezione contro la corruzione, pensato per aiutare a soddisfare uno dei requisiti più recenti del Regolamento Macchine (UE) 2023/1230, applicabile dal 20 gennaio 2027.

Che cos'è la prEN 50742?

È una norma in sviluppo all'interno del CENELEC, nel comitato CLC/TC 44X (sicurezza del macchinario, aspetti elettrotecnici). I lavori sono iniziati nell'estate del 2024 e l'inchiesta pubblica si è chiusa a febbraio 2026. La sigla "pr" indica che è ancora un progetto: una volta pubblicata si chiamerà EN 50742.

Il voto finale era previsto per settembre 2026 e la pubblicazione per la fine dell'anno. Conviene verificarne lo stato presso il CENELEC prima di citarla in un fascicolo tecnico.

Quale requisito del Regolamento Macchine copre?

I punti 1.1.9 (Protezione contro la corruzione) e 1.2.1 (Sicurezza e affidabilità dei sistemi di comando) dell'Allegato III, che raccoglie i requisiti essenziali di sicurezza e di tutela della salute. In pratica richiedono che le connessioni, il software e la logica di controllo della macchina resistano a tentativi dolosi ragionevolmente prevedibili e che una manomissione non possa causare una situazione pericolosa.

È la prima volta che la normativa sulle macchine tratta la cybersecurity come un requisito di sicurezza, e la prEN 50742 è concepita per essere la norma armonizzata che offre una via concreta di conformità.

Che cosa significa "corruzione"?

In questa norma, corruzione è qualsiasi modifica accidentale o illegittima dei dati della macchina che possa portare a una situazione pericolosa. È un concetto più ampio di un attacco informatico: comprende anche un errore di servizio o una configurazione sbagliata.

Ed è più ristretto della sicurezza informatica in generale. Non si tratta di proteggere la riservatezza dei dati, ma di far sì che le funzioni di sicurezza della macchina non possano essere disattivate né alterate.

A cosa si applica?

Macchine, componenti di sicurezza e quasi-macchine.
Hardware, software e dati che incidono sulla sicurezza, durante tutto il ciclo di vita: sviluppo, fabbricazione, messa in servizio, uso, manutenzione e dismissione.
Tutte le interfacce: reti, porte di servizio e di ingegneria, accesso remoto, USB e connessioni al cloud.

Una macchina davvero isolata ha requisiti minimi, ma non appena c'è connettività va analizzata. La norma non è retroattiva: si applica alle macchine nuove, anche se una modifica sostanziale di una macchina in servizio può renderla applicabile.

Come funziona? Tre passi

Identificare gli asset critici: il software di sicurezza, i parametri e le configurazioni la cui alterazione influirebbe su una funzione di sicurezza.
Analizzare le minacce: quali vulnerabilità esistono e quale capacità avrebbe un attaccante.
Determinare il livello di sicurezza (SRSL, Safety-Related Security Level), che va dagli ambienti isolati alle macchine esposte a reti non affidabili. Più sono gravi il pericolo e la probabilità di attacco, più le misure sono severe.

Due vie di conformità

Via A, basata sull'analisi dei rischi: il costruttore analizza le minacce seguendo la logica della EN ISO 12100 e ricava le misure di protezione. È l'opzione naturale per chi non ha un reparto di cybersecurity.
Via B, basata sulla IEC 62443: si appoggia a processi consolidati, come lo sviluppo sicuro della EN IEC 62443-4-1 e i requisiti di sistema della IEC 62443-3-3. Si adatta ai costruttori che già lavorano con questa famiglia di norme.

La prEN 50742 agisce quindi da ponte tra la sicurezza delle macchine e la cybersecurity industriale. Se volete approfondire quest'ultima, in ENBRA la affrontiamo con IEC / ISA 62443.

Cosa può fare un costruttore fin da ora

Indipendentemente dal testo finale della norma, sono buone pratiche che riducono già il rischio e fanno risparmiare lavoro in seguito:

Inventariare le interfacce di ogni macchina: bus di campo, Wi-Fi, USB, porte di servizio, accesso remoto e cloud.
Identificare quali software e dati sono critici per le funzioni di sicurezza: programma di sicurezza del PLC, parametri, configurazione safety.
Analizzare le minacce e definire l'ambiente di sicurezza atteso dal cliente, ad esempio segmentazione di rete e controllo degli accessi.
Proteggere integrità e accesso: ruoli e autenticazione sulle interfacce di servizio, controllo delle modifiche, verifica dell'integrità del software di sicurezza e registrazione degli eventi.
Definire come si gestiscono gli aggiornamenti durante la vita utile della macchina.
Documentarlo nel fascicolo tecnico e nelle istruzioni, indicando quale ambiente di rete la macchina presuppone.

Domande frequenti

La prEN 50742 è obbligatoria? Le norme armonizzate sono volontarie. Ciò che è obbligatorio è rispettare i requisiti 1.1.9 e 1.2.1 dell'Allegato III. Applicare una norma armonizzata, una volta citata nella Gazzetta ufficiale dell'UE, dà presunzione di conformità a tali requisiti.

Sostituisce la IEC 62443? No. Può appoggiarsi ad essa (via B), ma si concentra sulla protezione delle funzioni di sicurezza della macchina, non sulla cybersecurity dell'intero stabilimento.

Sostituisce il calcolo di PL o SIL? No. EN ISO 13849-1 e IEC 62061 calcolano l'affidabilità delle funzioni di sicurezza; la prEN 50742 protegge quel progetto dal rischio di essere disattivato o alterato.

Serve un organismo notificato? Non dipende da questa norma, ma dal fatto che la macchina rientri o meno nell'Allegato I del Regolamento. Lo spieghiamo nel nostro articolo sulle novità del Regolamento Macchine 2023/1230.

Come vi aiutiamo in ENBRA

Analizziamo le vostre macchine rispetto ai requisiti di cybersecurity del Regolamento: inventario delle interfacce, analisi delle minacce e definizione delle misure. Lavoriamo con i nostri servizi di cybersecurity OT e sicurezza delle macchine, e prepariamo la documentazione per il fascicolo tecnico e la marcatura CE. Se volete sapere a che punto è la vostra macchina, contattate il nostro team.