Il 20 gennaio 2027 entra in vigore il Regolamento Macchine (UE) 2023/1230, che sostituisce definitivamente la Direttiva Macchine 2006/42/CE in vigore da quasi vent'anni.
Non si tratta di un aggiornamento di routine: per la prima volta nella storia della normativa europea sulle macchine industriali, la cybersecurity diventa un requisito essenziale di conformità, obbligatorio per chiunque progetti, produca, importi o commercializzi macchinari connessi o integrati in ambienti digitali.

Per chi opera nel mondo dell'automazione industriale, questa scadenza non è lontana. I tempi tecnici per adeguare la progettazione, la documentazione e i processi interni sono stretti, e le aziende che aspettano rischiano di arrivare impreparate a un appuntamento che, questa volta, non ammette margini di interpretazione.

Cos'è il regolamento macchine 2027 e perché è diverso dalla direttiva precedente

La differenza tra il nuovo Regolamento e la vecchia Direttiva non è solo di contenuto: è prima di tutto di forma giuridica. Essendo un regolamento europeo e non una direttiva, il testo si applica direttamente e uniformemente in tutti gli Stati membri dell'Unione, senza possibilità di recepimento nazionale parziale o interpretazioni difformi. Le regole sono identiche per un costruttore di macchine a Padova, Stoccarda o Lione.

Le principali novità introdotte dal Regolamento Macchine 2027 riguardano:

• Cybersecurity come requisito essenziale: la protezione informatica delle macchine connesse non e' piu' una buona pratica facoltativa, ma un obbligo cogente da dimostrare in fase di certificazione
• Valutazione del rischio cyber integrata: il cyber risk assessment deve essere parte integrante della valutazione dei rischi della macchina, non un'aggiunta separata a posteriori
• Documentazione tecnica digitale: la documentazione in formato digitale diventa standard accettato, con requisiti precisi di contenuto e struttura
• Ricertificazione CE in caso di modifiche sostanziali: qualsiasi modifica significativa al sistema di controllo richiede una nuova valutazione di conformità
• Gestione del ciclo di vita: aggiornamenti software e verifiche periodiche del livello di sicurezza diventano obblighi strutturali, non attivita' discrezionali

Il quadro normativo completo: regolamento macchine, CRA e AI Act insieme

Il Regolamento Macchine 2027 non opera da solo ma si inserisce in un ecosistema normativo più ampio che, nello stesso arco temporale, vede l'entrata in vigore di altri due regolamenti europeicon impatto diretto sul manifatturiero e sull'automazione industriale.

Cyber Resilience Act (CRA) — Regolamento UE 2024/2847

Il Cyber Resilience Act è pienamente applicabile dall'11 dicembre 2027. Introduce obblighi specifici per tutti i prodotti con elementi digitali connessi a una rete, che includono a pieno titolo le macchine industriali moderne. Già dall'11 settembre 2026 i fabbricanti sono obbligati a notificare all'ENISA e al CSIRT nazionale qualsiasi vulnerabilità grave o incidente di sicurezza di cui vengono a conoscenza.
I requisiti sostanziali del CRA non sono banali: includono un cybersecurity risk assessment focalizzato su vulnerabilità e incidenti, obblighi di gestione e notifica delle vulnerabilita' per l'intero periodo di assistenza del prodotto, e una documentazione tecnica specifica che il Regolamento Macchine da solo non contemplava. La conformità ai requisiti cyber del CRA puo' facilitare il rispetto degli articoli 1.1.9 e 1.2.1 del Regolamento Macchine, ma la sinergia tra le due normative deve essere dimostrata dal fabbricante e non si produce automaticamente.

AI Act (UE) 2024/1689

L'AI Act aggiunge una terza dimensione per le macchine che integrano componenti di intelligenza artificiale. Se una macchina integra un sistema AI che elabora input per generare previsioni, raccomandazioni o decisioni in grado di influenzare ambienti fisici, puo' qualificarsi come sistema AI ad alto rischio, con obbligo di valutazione di conformità tramite ente certificato. In questi casi si applica il principio della twin compliance: si seguono le procedure del Regolamento Macchine, arricchite dalla valutazione tecnica specifica richiesta dall'AI Act.
Il risultato è che chi progetta macchinari industriali connessi con componenti digitali e software di controllo si trova davanti a tre risk assessment con logiche diverse: pericoli fisici per il Regolamento Macchine, vulnerabilità informatiche per il CRA, rischi e impatti AI per l'AI Act. Farli dialogare richiede un metodo e competenze multidisciplinari.

Cosa cambia concretamente per chi progetta e costruisce macchine industriali

La novità più rilevante introdotta dal Regolamento Macchine 2027 sul fronte della cybersecurity è concettuale prima ancora che tecnica: la sicurezza informatica non può più essere trattata come un problema dell'ufficio IT. Diventa responsabilità diretta di chi progetta la macchina, e si estende a tutta la filiera: dai produttori, importatori, distributori e operatori finali.
In pratica, questo significa che i sistemi di controllo industriale, PLC, HMI, architetture SCADA, quadri elettrici connessi, devono essere progettati applicando il principio della security by design: la protezione informatica va integrata fin dalla prima fase di sviluppo, non aggiunta successivamente come strato supplementare.

Gli obblighi concretiper chi costruisce macchine industriali comprendono:

• Gap analysis normativa: verifica dello scostamento tra la situazione attuale dei propri prodotti e i requisiti del nuovo Regolamento, con identificazione delle aree di intervento prioritarie.
• Cyber risk assessment: valutazione dei rischi informatici integrata nella progettazione della macchina, con riferimento agli standard IEC 62443 per i sistemi di automazione e controllo industriale.
• Aggiornamento della documentazione tecnica: il fascicolo tecnico deve includere la valutazione dei rischi cyber, le misure adottate e le istruzioni per il mantenimento della sicurezza nel tempo.
• Verifica della supply chain: componenti, moduli software e subfornitori devono rispettare gli stessi requisiti di sicurezza del prodotto finale.
• Procedure per le modifiche sostanziali: qualsiasi intervento significativo sul sistema di controllo deve essere governato da un processo documentato che valuta la necessita' di ricertificazione.
• Formazione delle figure tecniche: progettisti, responsabili qualita' e tecnici di collaudo devono acquisire competenze specifiche in cybersecurity OT, un dominio distinto dalla sicurezza IT tradizionale.

Il nodo delle norme tecniche: un'incertezza da gestire subito

Uno degli aspetti più critici della situazione attuale è che le norme tecniche di riferimento non sono ancora complete. I regolamenti europei definiscono requisiti essenziali, ma la traduzione di quei requisiti in specifiche tecniche verificabili è affidata alle norme armonizzate elaborate dagli enti di normazione europei e quelle norme, oggi, sono ancora in fase di elaborazione.

Per il CRA sono previste quaranta norme armonizzate, con consegne già slittate oltre il terzo trimestre 2026. Per l'AI Act, le norme che dovrebbero tradurre in pratica gli obblighi centrali del regolamento non esistono ancora. Per il Regolamento Macchine, la norma quadro EN 50742, che disciplinerà il rapporto tra sicurezza funzionale e cybersecurity, è ancora in elaborazione.

Questo non è un motivo per aspettare. In assenza di norme armonizzate specifiche, è possibile e opportuno fare riferimento agli standard internazionali già consolidati, a partire dalla serie IEC 62443, che il CRA stesso riconosce come punto di riferimento tecnico per i sistemi di automazione e controllo industriale. Le aziende che nel frattempo avranno costruito competenze, mappato i propri prodotti e avviato i processi interni si troveranno in una posizione nettamente più solida quando le norme definititive saranno disponibili.

La scadenza del 20 gennaio 2027: quanto tempo rimane davvero

La data del 20 gennaio 2027 riguarda l'entrata in vigore del Regolamento Macchine come nuovo standard di conformità obbligatorio per le macchine immesse sul mercato europeo. Significa che qualsiasi macchina progettata, prodotta o commercializzata dopo quella data dovra' rispettare i nuovi requisiti, inclusi quelli di cybersecurity.
Per il CRA, le scadenze sono scaglionate: l'obbligo di notifica delle vulnerabilità e degli incidenti gravi sarà già in vigore dall'11 settembre 2026, mentre l'applicazione completa del regolamento scatta dall'11 dicembre 2027. I tempi sono quindi già stretti, e il percorso di adeguamento non puo' essere compresso all'ultimo momento senza ricadute sulla qualità del risultato.

Un percorso strutturato di adeguamento, che includa gap analysis, risk assessment, aggiornamento della documentazione tecnica e formazione del personale, richiede mesi, non settimane. L'esperienza con NIS2 insegna che la maggior parte delle aziende si muove tardi, convinta che la norma non le riguardi o che ci sia ancora tempo. Il risultato è una corsa affannosa negli ultimi mesi, con costi più alti e risultati meno solidi.

Automazione industriale conforme al Regolamento Macchine 2027: il ruolo del partner tecnico

Per chi progetta e costruisce macchine industriali, adeguarsi al Regolamento Macchine 2027 non significa solo aggiornare la documentazione tecnica. Significa ripensare l'approccio alla progettazione dei sistemi di controllo, integrare la cybersecurity fin dalle prime fasi del progetto e garantire che ogni componente del quadro elettrico rispetti i nuovi standard.

In questo contesto, lavorare con un partner tecnico specializzato in automazione industriale fa la differenza. Non si tratta solo di avere i componenti giusti: si tratta di avere un interlocutore che conosce le normative, segue la progettazione in modo integrato e garantisce che il sistema di controllo finale sia conforme, documentato e verificabile.
Noi di B-Tech progettiamo e realizziamo quadri elettrici industriali, sistemi di automazione e architetture di controllo, dalla progettazione elettrica allo sviluppo software PLC e SCADA, fino alla messa in servizio e al collaudo. Seguiamo i nostri clienti lungo tutto il ciclo di vita del progetto, con la competenza tecnica necessaria per affrontare anche le sfide normative che il 2027 porta con sé.

Il 2027 si avvicina: inizia subito il percorso di adeguamento

Non aspettare che le norme tecniche siano complete o che la scadenza sia imminente. Il momento giusto per avviare una valutazione è adesso: analizzare la situazione attuale dei propri impianti, identificare le aree di intervento e costruire un piano strutturato di adeguamento.

Contattaci per una consulenza gratuita.
Valutiamo insieme i tuoi sistemi di controllo e ti supportiamo nel percorso di conformità al Regolamento Macchine 2027.