Un impianto in leasing può restare in azienda per anni. Il collegamento usato per la manutenzione da remoto, il software che lo governa e le credenziali del fornitore fanno parte della scelta tanto quanto prestazioni, canone e durata.
Il rischio riguarda anche la continuità produttiva
Nel primo semestre 2026 Clusit ha rilevato 45 incidenti informatici andati a segno nel manifatturiero italiano, pari al 18,4% del totale nazionale osservato nel periodo.
Non significa che il 18,4% delle imprese sia stato colpito, né che tutti questi incidenti siano partiti da un macchinario.
Il punto per chi investe in un impianto è concreto. Una debolezza nel prodotto, un accesso remoto non protetto o un software non aggiornato possono aprire una strada verso i sistemi di controllo. La guida Secure by Demand di CISA e delle autorità partner invita proprio a considerare la sicurezza già nella selezione dei prodotti industriali, non soltanto dopo l’installazione.
Cosa cambia con gli attacchi assistiti dall’intelligenza artificiale
L’AI può rendere più rapidi alcuni passaggi di un attacco, dalla ricerca di vulnerabilità all’ingegneria sociale. Gli strumenti agentici possono anche pianificare e svolgere sequenze di azioni. Nella valutazione pubblicata nel maggio 2025 sull’orizzonte 2027, il NCSC britannico ritiene improbabili, entro quell’orizzonte, attacchi avanzati interamente automatizzati dall’inizio alla fine. Segnala però un aumento della capacità di sfruttare vulnerabilità note.
Le verifiche da chiedere prima dell’ordine
Connessioni e inventario. Chiedere quali componenti sono presenti, quali servizi cloud servono e con quali reti comunica il bene. Il tecnico deve poter disegnare il collegamento e separare la rete dei macchinari dagli altri sistemi dove è opportuno. L’inventario deve includere software, versioni e dipendenze, non soltanto marca e matricola.
Manutenzione da remoto. Definire chi accede, attraverso quale percorso e con quali autorizzazioni. Chiedere identità individuali, autenticazione forte dove supportata e un modo per autorizzare, registrare e revocare gli accessi.
Aggiornamenti e fine del supporto. Farsi indicare per iscritto la data fino alla quale saranno gestite le vulnerabilità, chi installa gli aggiornamenti e quali costi restano esclusi. Il periodo di supporto va confrontato con quello di utilizzo previsto. Gli aggiornamenti su sistemi industriali vanno pianificati e verificati con il fornitore, tenendo conto di sicurezza fisica e continuità produttiva.
Registri e gestione degli incidenti. Sapere quali accessi e modifiche vengono registrati, per quanto tempo e chi legge gli avvisi. Concordare un contatto tecnico e una procedura di escalation. È più utile un percorso chiaro di intervento che una generica promessa di assistenza.
Nel leasing vanno letti insieme più documenti
La verifica tecnica non sostituisce quella contrattuale. Offerta del bene, contratto di fornitura, manutenzione, licenze software, eventuali servizi cloud e contratto di leasing devono essere coerenti. Prima della firma è opportuno chiarire chi deve intervenire, quali tempi di assistenza sono previsti e quali spese restano a carico dell’impresa.
Se la produzione si ferma. Non presumere che un incidente informatico sospenda i canoni o sia coperto dalla polizza del bene. Eventuali effetti sui pagamenti, responsabilità, franchigie, esclusioni e copertura dell’interruzione di attività dipendono dai documenti applicabili. Vanno verificati con società di leasing, fornitore, intermediario assicurativo e consulenti, senza confondere copertura del danno materiale e rischio cyber.
Alla fine del contratto. Come precauzione contrattuale, prevedere come esportare o cancellare i dati, revocare gli accessi del fornitore e gestire licenze e servizi in caso di restituzione, riscatto o sostituzione. Sono aspetti da concordare, non effetti automatici del leasing.
NIS2 e Cyber Resilience Act
In Italia il decreto legislativo 138/2024 individua l’ambito NIS in base a tipologia di soggetto, settore, dimensioni ed eccezioni. Avere una macchina connessa non basta, da solo, a rendere ogni PMI un soggetto NIS. La verifica va fatta sul caso concreto con i criteri pubblicati da ACN.
Il Cyber Resilience Act introduce requisiti per prodotti con elementi digitali e obblighi per gli operatori interessati. Secondo la Commissione europea, gli obblighi principali si applicheranno dall’11 dicembre 2027, mentre quelli di segnalazione si applicano dall’11 settembre 2026.
Domande frequenti
1. Una macchina non collegata direttamente a Internet è al sicuro?
Non necessariamente. Contano anche i collegamenti con la rete aziendale, l’assistenza remota e gli altri componenti. La configurazione va valutata nel suo insieme, senza dare per sicuro il bene soltanto perché non ha un indirizzo pubblico.
2. Una dichiarazione di conformità risolve tutte le verifiche cyber?
No. Occorre capire a cosa si riferisce, quali componenti comprende e quali condizioni d’uso richiede. Restano da organizzare accessi, aggiornamenti, assistenza e ripristino con il proprio tecnico e il fornitore.
3. Il leasing comprende automaticamente l’assicurazione cyber?
Non bisogna presumerlo. Le garanzie effettive risultano dal contratto e dalle condizioni di polizza. È necessario verificare espressamente incidenti informatici, fermo produttivo, limiti, esclusioni e obblighi dell’assicurato.
La domanda da aggiungere al confronto delle offerte
Oltre a quanto costa il bene, chiedere quanto costa mantenerlo utilizzabile e protetto nel tempo. Un’offerta leggibile deve permettere di capire chi segue il software, chi gestisce gli accessi e chi aiuta a ripartire. Queste domande si fanno prima dell’ordine, quando è ancora possibile confrontare fornitori e condizioni.
Per il confronto delle soluzioni di leasing, puoi rivolgerti a SPALEASE.
