IEC 62443: la guida pratica per le aziende francesi nel 2026

· 13 minuti di lettura
13 min read
Team Eziwan
Team Eziwan
Infrastruttura IoT

La norma IEC 62443 è diventata il punto di riferimento internazionale per la sicurezza informatica dei sistemi di controllo industriale (ICS/SCADA/OT). Con l'entrata in vigore della direttiva NIS2 in Francia, essa è ora citata esplicitamente come riferimento tecnico applicabile alle entità essenziali e importanti.

Tuttavia, la norma è considerata complessa e voluminosa. Questa guida pratica ne riassume i punti essenziali per le imprese francesi: cosa richiede concretamente la norma, come conformarsi ad essa e le priorità per il 2026.

Che cos'è la norma IEC 62443?​

La norma IEC 62443 (precedentemente ISA-99) è una famiglia di norme sviluppata dall'ISA (International Society of Automation) e pubblicata dall'IEC. Riguarda la sicurezza informatica dei sistemi di automazione e controllo industriale (IACS).

La struttura della norma​

La norma è suddivisa in 4 serie:

SerieTitoloDestinatari
62443-1.xGenerale (concetti, modelli, terminologia)Tutti
62443-2.xPolitiche e procedureOperatori industriali, RSSI
62443-3.xSistema (architettura, livelli di sicurezza)Architetti, integratori
62443-4.xComponenti (sicurezza dei prodotti)Produttori di apparecchiature

Per un'azienda francese che intenda conformarsi alla direttiva NIS2, le parti più rilevanti sono:

  • IEC 62443-2-1: politiche e procedure di sicurezza
  • IEC 62443-3-3: requisiti di sicurezza dei sistemi
  • IEC 62443-4-2: requisiti dei componenti (per valutare le vostre apparecchiature)

I livelli di sicurezza (SL): capire i livelli di sicurezza​

Il concetto centrale della norma IEC 62443 è il Security Level, ovvero il livello di protezione richiesto in base alla criticità del sistema.

I 4 livelli​

Livello di sicurezzaDescrizioneContro quale minaccia?
SL 0Nessuna protezione specifica— (sistemi non connessi)
SL 1Protezione contro attacchi accidentaliErrori umani, azioni dolose non mirate
SL 2Protezione contro attacchi deliberati con mezzi limitatiHacktivisti, opportunisti
SL 3Protezione contro attacchi con mezzi sofisticatiGruppi criminali organizzati
SL 4Protezione contro attacchi da parte di StatiAPT statali

Per la stragrande maggioranza delle aziende industriali francesi: il livello SL 2 è l'obiettivo appropriato. Il livello SL 3 è riservato agli operatori di importanza vitale (OIV) con sistemi altamente critici. Il livello SL 4 è destinato quasi esclusivamente alle infrastrutture militari e nucleari.

Come determinare lo SL necessario per il proprio sistema?​

La procedura si articola in 3 fasi:

1. Identificazione delle zone e dei condotti (IEC 62443-3-2)

Iniziate suddividendo i vostri sistemi OT in zone di sicurezza (Security Zones):

  • Zona di produzione (controllori, sensori, interfacce uomo-macchina locali)
  • Zona di supervisione (SCADA, server di archiviazione dati)
  • Zona DMZ OT (interfaccia IT/OT)
  • Zona di accesso remoto

Quindi identificare i canali (Conduits) — le vie di comunicazione tra le zone (VPN di accesso remoto, collegamenti SCADA, gateway IT/OT).

2. Valutare la criticità di ciascuna zona (CASC)

Per ogni area, valutate le conseguenze di una compromissione in base ai criteri CASC:

  • Confidenzialità: i dati devono rimanere segreti?
  • Integrazione: una modifica dei dati o dei comandi potrebbe causare danni?
  • Disponibilità: un'interruzione del sistema causerebbe danni significativi?
  • Sicurezza: un malfunzionamento potrebbe mettere a rischio delle vite umane?

3. Definire l'SL target per zona

Il livello di criticità valutato determina il livello di sicurezza (SL) target: un’area dotata di controllori di sicurezza (SIL) in un impianto SEVESO punterà all’SL 3, mentre un’area di supervisione di una stazione di pompaggio di acqua potabile punta generalmente all’SL 2.

I 7 requisiti fondamentali (Foundational Requirements) della norma IEC 62443-3-3​

La norma IEC 62443-3-3 definisce 7 requisiti fondamentali (FR) per i sistemi. Ciascun FR è suddiviso in requisiti dettagliati in base al livello SL.

FR 1 — Controllo dell'identificazione e dell'autenticazione​

Cosa significa in pratica:

  • Ogni utente e ogni dispositivo deve essere identificato in modo univoco (non sono ammessi account condivisi)
  • Le password predefinite dei dispositivi OT devono essere modificate
  • Per SL 2: autenticazione a due fattori (MFA) per gli accessi remoti

App Eziwan: ogni tecnico dispone di una chiave VPN OpenVPN/IPSec individuale. L'autenticazione MFA è disponibile sulla piattaforma cloud.

FR 2 — Controllo dell'utilizzo​

Cosa significa:

  • Ogni utente ha accesso solo alle risorse necessarie allo svolgimento delle proprie mansioni (principio del privilegio minimo)
  • Le operazioni sulle apparecchiature critiche richiedono un'autorizzazione esplicita

Applicazione: il sistema RBAC di Eziwan consente di definire i diritti di accesso per sede, per apparecchiatura e per fascia oraria per ciascun tecnico.

FR 3 — Integrità dei dati​

Cosa significa:

  • I dati trasmessi tra le apparecchiature non devono poter essere modificati durante il trasferimento
  • L'integrità delle configurazioni dei controllori deve essere verificabile

Applicazione: tutte le comunicazioni Eziwan sono crittografate tramite OpenVPN (autenticazione + crittografia). Le configurazioni sono firmate digitalmente.

FR 4 — Riservatezza dei dati​

Cosa significa:

  • I dati sensibili (ricette, parametri di produzione, dati personali) devono essere crittografati sia durante il trasferimento che quando sono archiviati

Applicazione: crittografia AES-256-GCM di tutte le comunicazioni; dati archiviati crittografati sull'infrastruttura cloud francese.

FR 5 — Flusso di dati limitato​

Cosa significa:

  • Le comunicazioni tra le zone di sicurezza devono essere controllate e limitate al minimo necessario
  • Nessuna comunicazione diretta tra l'area IT dell'ufficio e i controllori OT senza DMZ

Applicazione Eziwan: architettura zero-inbound-port — la rete OT non è mai esposta direttamente. Il traffico passa attraverso il cloud Eziwan, che funge da punto di controllo centralizzato.

FR 6 — Risposta agli eventi​

Cosa significa:

  • Gli incidenti di sicurezza devono essere individuati, registrati e gestiti
  • Per la direttiva NIS2: notifica obbligatoria entro 24 ore per i soggetti essenziali

Applicazione: registrazione completa di tutti gli eventi di sicurezza, avvisi configurabili in caso di anomalie di connessione, esportazione dei log per SIEM.

FR 7 — Disponibilità delle risorse​

Cosa significa:

  • Il sistema deve rimanere disponibile anche in caso di tentativi di attacco (protezione contro gli attacchi DoS)
  • Devono essere predisposti meccanismi di backup e ripristino

Applicazione: failover Dual SIM, infrastruttura cloud multi-AZ, backup automatici delle configurazioni dei gateway.

Il processo di conformità alla norma IEC 62443 in 6 fasi​

Ecco un approccio pragmatico per le aziende industriali francesi che devono conformarsi alla direttiva NIS2 facendo riferimento alla norma IEC 62443.

Fase 1: Inventario delle risorse OT (3-5 giorni)​

Elencate tutti i vostri sistemi OT:

  • Controllori logici programmabili (PLC, DCS, RTU)
  • Interfacce uomo-macchina (HMI) e postazioni operatore
  • Server SCADA e historian
  • Apparecchiature di rete OT (switch, router, firewall)
  • Gateway e apparecchiature di connettività

Per ogni dispositivo: versione del firmware/software, connettività di rete, data dell'ultimo aggiornamento di sicurezza, accessi remoti esistenti.

Fase 2: Mappatura delle aree e delle condutture (2-3 giorni)​

Disegnate lo schema della rete OT attuale con le zone di sicurezza e i flussi di comunicazione. Identificate:

  • Le interfacce IT/OT esistenti
  • Gli accessi remoti (VPN, RDP, TeamViewer)
  • Le apparecchiature con porte esposte su Internet (cercate i vostri indirizzi IP su Shodan)

Fase 3: Analisi semplificata dei rischi (1 settimana)​

Per ogni area, valutate:

  • Criticità (impatto di una compromissione: produzione, sicurezza, ambiente)
  • Minaccia (chi potrebbe voler attaccare il vostro settore?)
  • Vulnerabilità (stato attuale della sicurezza dell'area)

Stabilite l'ordine di priorità delle aree da trattare per prime: elevata criticità + elevata vulnerabilità = priorità 1.

Fase 4: Definizione del livello SL target per zona​

In base all'analisi dei rischi:

  • Aree di produzione standard → SL 2
  • Aree con controllori di sicurezza SIL → SL 3
  • Aree operative OT (postazioni di ingegneria) → da SL 1 a SL 2

Fase 5: Piano di risanamento (da attuare nell'arco di 6-18 mesi)​

Per ogni area il cui livello attuale è inferiore al livello di riferimento (SL), definire le misure correttive:

Azioni prioritarie SL 2:

  1. Rimuovere tutte le password predefinite dalle apparecchiature OT
  2. Sostituire gli accessi remoti non sicuri (RDP esposto, TeamViewer) con una VPN zero-trust
  3. Implementare l'autenticazione MFA per tutti gli accessi remoti
  4. Creare account nominativi (nessun account generico condiviso)
  5. Attivare la registrazione degli accessi su tutte le apparecchiature che lo consentono
  6. Segmentare la rete OT dalla rete IT degli uffici (DMZ o VLAN con ACL)

Azioni importanti SL 2: 7. Aggiornare il firmware delle apparecchiature OT (gateway, switch industriali) 8. Documentare le procedure di risposta agli incidenti 9. Formare i team di manutenzione sui rischi legati alla sicurezza informatica OT

Fase 6: Valutazione e miglioramento continuo​

La conformità alla norma IEC 62443 non è un progetto una tantum, ma un processo continuo. Pianificate:

  • Revisione annuale dell'inventario e della mappatura
  • Test di penetrazione annuale (o semestrale) degli accessi remoti
  • Aggiornamento del piano di correzione dopo ogni incidente o evoluzione dell'infrastruttura

IEC 62443 e NIS2: cosa devono fare gli enti francesi​

La direttiva NIS2 (recepita in Francia con la legge dell'8 ottobre 2024) non cita esplicitamente la norma IEC 62443, ma le misure da essa previste corrispondono direttamente a quanto previsto da tale norma.

I soggetti interessati​

Settori essenziali: energia (elettricità, gas, petrolio), trasporti (aerei, ferroviari, marittimi, stradali), settore bancario, infrastrutture finanziarie, acqua (distribuzione, acque reflue), sanità, infrastrutture digitali.

Settori chiave: servizi postali, gestione dei rifiuti, prodotti chimici, settore alimentare, produzione industriale (dispositivi medici, apparecchiature elettroniche, meccanica), fornitori di servizi digitali.

Le misure di sicurezza informatica richieste (art. 21 NIS2)​

  1. Politica di sicurezza dei sistemi informativi (IEC 62443-2-1)
  2. Gestione degli incidenti: rilevamento, risposta, notifica entro 24 ore (IEC 62443-2-1, FR 6)
  3. Continuità operativa: backup, piani di ripristino (IEC 62443-3-3 FR 7)
  4. Sicurezza della catena di approvvigionamento: sicurezza dei subappaltatori con accesso OT (IEC 62443-2-4)
  5. Sicurezza degli acquisti: valutazione della sicurezza prima dell’implementazione delle apparecchiature OT (IEC 62443-4-2)
  6. Formazione e sensibilizzazione: tutto il personale con accesso ai sistemi OT
  7. Crittografia e crittografia: comunicazioni crittografate, dati sensibili protetti
  8. Controllo degli accessi: autenticazione forte, RBAC, registrazione degli eventi (IEC 62443-3-3 FR 1, FR 2)
  9. Sicurezza delle risorse umane: verifica dei precedenti, procedure di uscita dall’azienda
  10. Valutazione dei rischi: processo formale documentato (IEC 62443-3-2)

I 5 errori da evitare in un progetto IEC 62443​

Errore 1: Iniziare dalla documentazione prima di fare il punto della situazione​

Molte aziende commissionano politiche di sicurezza redatte prima ancora di aver effettuato un inventario effettivo. Il risultato: documenti teorici scollegati dalla realtà sul campo. Iniziate sempre dall’inventario e dalla mappatura.

Errore 2: Considerare la norma IEC 62443 come un progetto informatico​

La sicurezza OT presenta alcuni vincoli specifici: le apparecchiature non possono essere messe fuori servizio per gli aggiornamenti, i protocolli sono obsoleti (Modbus del 1979) e il personale è composto da tecnici di automazione, non da informatici. Coinvolgete i team di produzione sin dall’inizio.

Errore 3: Puntare al livello SL 3 o SL 4 senza una motivazione valida​

Gli SL 3 e SL 4 prevedono requisiti molto rigorosi (autenticazione forte sui controllori, crittografia di tutti i protocolli industriali, compreso Modbus) che spesso richiedono la sostituzione delle apparecchiature OT. Per la maggior parte delle aziende industriali, l'SL 2 rappresenta un obiettivo realistico e sufficiente.

Errore 4: Trascurare la sicurezza degli accessi di terze parti​

Gli incidenti OT più comuni riguardano gli accessi remoti da parte di subappaltatori addetti alla manutenzione. È necessario dare priorità alla sicurezza degli accessi di terze parti (account nominativi, autenticazione a più fattori, tracciabilità) prima di affrontare gli aspetti più tecnici.

Errore 5: Pensare che la conformità alla direttiva NIS2 equivalga alla conformità alla norma IEC 62443​

La normativa NIS2 impone misure di sicurezza ma non certifica la conformità alla norma IEC 62443. La certificazione IEC 62443 (da parte di un organismo accreditato) è distinta dalla conformità alla direttiva NIS2. Per la maggior parte delle aziende del settore manifatturiero, una conformità documentata alla norma IEC 62443 senza certificazione formale è sufficiente per soddisfare i requisiti della direttiva NIS2.

Domande frequenti​

È obbligatorio ottenere la certificazione IEC 62443 per essere conformi alla direttiva NIS2? No. La direttiva NIS2 impone misure tecniche e organizzative di sicurezza, ma non richiede una certificazione formale secondo la norma IEC 62443 (rilasciata da organismi accreditati come TÜV, Bureau Veritas, ecc.). D'altra parte, documentare che le vostre pratiche sono in linea con la norma IEC 62443 è un ottimo modo per dimostrare la vostra conformità alla direttiva NIS2 all'ANSSI.

Da quale parte della norma IEC 62443 deve partire una PMI industriale? Per una PMI, si consiglia di iniziare dalla norma IEC 62443-2-1 (politiche e procedure) e dalla norma IEC 62443-3-3 (requisiti di sistema per i livelli di sicurezza 1 e 2). Si tratta delle parti più direttamente applicabili e più richieste dai committenti. Le parti 4.x (componenti) interessano piuttosto i produttori di apparecchiature.

Che cos'è una zona di sicurezza (Security Zone) nella norma IEC 62443? Una zona di sicurezza è un gruppo di sistemi con lo stesso livello di sicurezza richiesto, separati dalle altre zone tramite condotti (canali di comunicazione controllati). Esempio: Zona 1 = controllori di produzione (SL2), Zona 2 = SCADA (SL2), Zona 3 = IT (SL1). Le comunicazioni tra le zone devono necessariamente passare attraverso un firewall o una DMZ controllata.

Come valutare il livello di sicurezza (SL) da fissare come obiettivo per il mio impianto? Il livello di sicurezza (SL) da raggiungere dipende dalle conseguenze di un incidente: SL1 per un rischio limitato (arresto temporaneo di un processo non critico), SL2 per un rischio significativo (impatto sulla produzione o sulla sicurezza delle persone), SL3 per i sistemi critici (energia, acqua, sanità). La maggior parte delle PMI industriali punta all’SL2 per i propri sistemi SCADA e all’SL1 per i sistemi di supporto.

La norma IEC 62443 riguarda la sicurezza degli accessi remoti tramite VPN? Sì. La norma IEC 62443-3-3 tratta esplicitamente l'autenticazione (SR 1.1, SR 1.2), la crittografia delle comunicazioni (SR 4.1), la gestione delle sessioni (SR 1.3) e la tracciabilità (SR 2.8). Una VPN OpenVPN/IPSec con autenticazione tramite certificato e registrazione soddisfa i requisiti dei Livelli di sicurezza 1 e 2 su questi punti.

Risorse aggiuntive​

Risorse aggiuntive​