In breve
Per un’azienda alimentare le norme da tenere d’occhio sono tre. La NIS2 chiede misure di sicurezza e notifica degli incidenti alle aziende di produzione e trasformazione industriale e di distribuzione all’ingrosso. Il D.Lgs. 134/2024 aggiunge obblighi di resilienza a quelle designate come soggetti critici. Il Regolamento macchine, dal 2027, porta requisiti di cybersecurity sulle linee nuove o modificate.
Chi rientra nella NIS2
Il D.Lgs. 138/2024 inserisce la produzione, trasformazione e distribuzione di alimenti tra i settori dell’Allegato II. Riguarda le imprese alimentari che fanno distribuzione all’ingrosso o produzione e trasformazione industriale, quando superano le soglie della piccola impresa: in pratica, dalla media impresa in su. Sono soggetti importanti, salvo che l’ACN le qualifichi come essenziali. Un’azienda designata soggetto critico ai sensi del D.Lgs. 134/2024 è invece soggetto essenziale NIS2, a prescindere dalle dimensioni.
Per chi entra nell’elenco NIS nel 2026, la Determinazione ACN 127434/2026 fissa la notifica degli incidenti significativi dal 1° gennaio 2027 e le misure di sicurezza di base entro il 31 luglio 2027. Il referente CSIRT va designato entro il 31 dicembre dell’anno di inserimento (Determinazione ACN 127437/2026). Per chi era già nell’elenco nel 2025 i termini decorrono dalla comunicazione di inserimento: 9 mesi per la notifica e 18 per le misure.
Soggetti critici: la resilienza oltre il digitale
Il D.Lgs. 134/2024 recepisce la direttiva CER e comprende anche la produzione, trasformazione e distribuzione di alimenti, con il Ministero dell’Agricoltura, della Sovranità Alimentare e delle Foreste come autorità di settore. I soggetti critici li individuano le autorità di settore; l’elenco è adottato con DPCM, con termine al 17 luglio 2026, e la designazione arriva con una notifica del Punto di contatto unico.
Chi viene designato deve fare una valutazione del rischio entro nove mesi dalla notifica, adottare misure tecniche e organizzative (protezione fisica, continuità operativa, personale, gestione delle crisi) e notificare entro 24 ore gli incidenti che perturbano in modo significativo il servizio essenziale. Il decreto guarda soprattutto agli eventi fisici: gli incidenti informatici restano nel campo della NIS2. Non è solo cybersecurity: è la capacità di continuare a fornire alimenti qualunque cosa succeda.
Regolamento macchine: le linee nuove dal 2027
Il Regolamento (UE) 2023/1230 sostituisce la direttiva macchine e si applica da gennaio 2027. Per la prima volta i requisiti essenziali di sicurezza comprendono la protezione dalle manomissioni, anche da remoto, e l’affidabilità dei sistemi di comando rispetto ad azioni dolose.
Riguarda prima di tutto i costruttori, ma interessa anche chi compra: le nuove linee arriveranno con questi requisiti, ed è il momento di chiederli nei capitolati. Chi modifica in modo sostanziale una macchina è considerato fabbricante. A marzo 2026 la proposta di semplificazione Omnibus IV non prevedeva un periodo transitorio aggiuntivo per le macchine; il settore ha chiesto di rinviare i requisiti di cybersecurity, e l’esito va verificato.
Food defense e cybersecurity
Gli schemi di certificazione della sicurezza alimentare chiedono già di proteggere il prodotto da attacchi intenzionali. La guida alla food defense di FSSC 22000 versione 6, per esempio, parla di ogni forma di attacco doloso e prevede l’IT nel gruppo di lavoro, ma non tratta esplicitamente le minacce informatiche. Conviene colmare il vuoto: un attacco che altera ricette, parametri di processo o registrazioni delle temperature è a tutti gli effetti un rischio per la sicurezza del prodotto.
Il quadro in una tabella
| Norma | A chi si applica | Da quando |
|---|---|---|
| NIS2 (D.Lgs. 138/2024) | Produzione e trasformazione industriale e distribuzione all’ingrosso di alimenti, almeno medie imprese | Per i nuovi soggetti 2026: notifica dal 01/01/2027, misure di base entro il 31/07/2027 |
| Soggetti critici (D.Lgs. 134/2024) | Aziende individuate dall’autorità di settore e inserite nell’elenco | Valutazione del rischio entro 9 mesi e obblighi entro 10 mesi dalla notifica di designazione |
| Regolamento macchine 2023/1230 | Costruttori di macchine e chi le modifica in modo sostanziale | Da gennaio 2027 |
| Cyber Resilience Act | Fabbricanti di prodotti con elementi digitali, come sensori e dispositivi connessi | Segnalazione dall’11/09/2026; resto da dicembre 2027 |
Non è teoria: sei casi, tre italiani
- 2017, Mondelez. Il malware NotPetya, entrato attraverso un software di contabilità ucraino compromesso, paralizzò la logistica del gruppo, con danni stimati in oltre 100 milioni di dollari.
- 2020, Campari. Un ransomware rivendicato da Ragnar Locker costrinse il gruppo a sospendere temporaneamente i servizi IT; gli attaccanti chiesero 15 milioni di dollari e dichiararono di aver sottratto circa 2 TB di dati.
- 2021, JBS. Il più grande produttore di carne al mondo pagò l’equivalente di 11 milioni di dollari dopo un attacco ransomware che colpì i suoi impianti di macellazione.
- 2021, San Carlo. La gang Conti rivendicò un attacco ransomware contro il produttore di snack, minacciando di pubblicare i documenti sottratti; secondo la stampa l’azienda non intendeva pagare.
- 2023, Dole. Un ransomware portò alla chiusura temporanea di alcuni stabilimenti nordamericani e a carenze di insalate confezionate nei supermercati.
- 2024, Caseificio Alta Valsesia. Il gruppo Meow rivendicò l’attacco alla cooperativa casearia piemontese, dichiarando di aver sottratto dati.
Le dimensioni non proteggono: tra le vittime ci sono multinazionali e cooperative locali.
Da dove cominciare
- Verificare se l’azienda rientra nella NIS2 e se ha ricevuto comunicazioni come soggetto critico.
- Elencare i sistemi da cui dipendono produzione, qualità e consegne, linee comprese.
- Separare la rete degli impianti da quella degli uffici e controllare gli accessi remoti dei manutentori.
- Inserire gli scenari informatici nel piano di food defense e nelle procedure di ritiro.
- Mettere i requisiti di cybersecurity nei capitolati delle prossime macchine.
Come possiamo aiutarvi
Seguiamo le aziende alimentari nell’adeguamento NIS2, nella sicurezza delle linee e della catena del freddo e nel collegamento con food defense e gestione delle crisi.
Il servizio per l’agroalimentare →Fonti
D.Lgs. 138/2024, Allegato II; Determinazioni ACN n. 127434 e n. 127437 del 13/04/2026; D.Lgs. 134/2024 (direttiva CER); Regolamento (UE) 2023/1230; Regolamento (UE) 2024/2847 (Cyber Resilience Act); FSSC 22000 V6, Guidance Document Food Defense; ICT Security Magazine sulla direttiva CER (gennaio 2026); eComercio Agrario su Omnibus IV e Regolamento macchine (marzo 2026); CMS sulle determinazioni ACN 2026; per i casi: BleepingComputer (Campari, 2020), Xtalks (JBS, Dole), Cybersecurity360 (San Carlo, 2021), ransomware.live (Caseificio Alta Valsesia, 2024), Leading Law, “Direttiva NIS 2 – Settore agroalimentare” (Mondelez, 2017); AESSE Soluzioni, “Cybersecurity nel Food & Beverage” (luglio 2026). Fonti consultate il 3 novembre 2026. Questo articolo è informativo e non sostituisce la lettura dei testi normativi.