BSI-CS 154: quando i sistemi di controllo sono collegati a internet – protezione, assicurazione e i tuoi obblighi
Banco frigo, forno di fusione, robot di mungitura, impianto di riscaldamento: sempre più tecnologia aziendale viene controllata e manutenuta tramite internet. Dopo gli attacchi agli impianti di refrigerazione dei supermercati in tutta Europa, il BSI ha pubblicato una raccomandazione dedicata: BSI-CS 154. Qui scopri cosa contiene, quali aziende sono interessate – e perché l'assicurazione cyber da sola non basta se non conosci i tuoi obblighi.
Fai verificare la tua protezione cyber
In sintesi
- BSI-CS 154 si intitola “Gefährdung durch internet-verbundene OT-Systeme” (minaccia dovuta ai sistemi OT connessi a internet) ed è stata pubblicata il 13 ottobre 2026, subito dopo gli attacchi ai supermercati in Francia.
- OT sta per Operational Technology: i sistemi di controllo di impianti e macchinari – non l'IT d'ufficio.
- Quattro misure chiave: nessun collegamento diretto a internet, accesso remoto solo tramite VPN con autenticazione a più fattori, installare gli aggiornamenti, sicurezza come routine.
- Assicurazione: la polizza cyber paga soprattutto i danni patrimoniali. I danni materiali e il deterioramento della merce sono spesso esclusi o limitati.
- Il tuo obbligo: come contraente devi rispettare gli obblighi di sicurezza – anche se un fornitore di servizi si occupa della manutenzione dell'impianto.
Che cos'è BSI-CS 154?
L'Ufficio federale per la sicurezza informatica (Bundesamt für Sicherheit in der Informationstechnik, BSI) pubblica raccomandazioni di cybersicurezza con la sigla “BSI-CS”. La numero 154 si intitola “Gefährdung durch internet-verbundene OT-Systeme” ed è disponibile dal 13 ottobre 2026 tramite la Allianz für Cyber-Sicherheit. L'occasione è stata l'attacco ai sistemi di refrigerazione di centinaia di supermercati francesi nella notte del 12 ottobre. Poco dopo sono seguiti casi in altri paesi europei, anche in Germania – maggiori dettagli nel nostro articolo Gli hacker riscaldano i congelatori.
Secondo il BSI, la raccomandazione si rivolge ai gestori di piccoli impianti industriali o simili che utilizzano dispositivi di controllo industriali – per esempio per la refrigerazione di alimenti, la produzione di energia elettrica o il trattamento delle acque. Non si tratta quindi solo dei grandi gruppi industriali, ma proprio di supermercati, aziende artigiane, agricoltori, aziende municipalizzate o gestori di impianti solari.
Perché i sistemi di controllo esposti sono così pericolosi
Molti sistemi di controllo sono progettati per il funzionamento in loco e non sono mai stati pensati per essere collegati direttamente a internet. Affinché le ditte di manutenzione possano accedervi comodamente da remoto, spesso vengono comunque resi raggiungibili apertamente – a volte con firmware obsoleto, password predefinite o condivise e senza un secondo fattore di autenticazione. I programmi di scansione automatizzati trovano rapidamente questi dispositivi. Secondo notizie di stampa, negli attacchi ai supermercati sono stati colpiti, tra gli altri, sistemi di controllo della refrigerazione dei produttori Danfoss, Copeland e Dixell; a ottobre il fornitore di sicurezza Forescout ha contato quasi 13.000 sistemi di gestione della refrigerazione raggiungibili da internet in 99 paesi.
Le conseguenze vanno ben oltre la perdita di dati: la merce si deteriora, le macchine si fermano, i semilavorati diventano inutilizzabili e, nel peggiore dei casi, si verificano danni materiali o alle persone.
Le quattro misure chiave della raccomandazione
- Nessun accesso diretto da internet: i sistemi di controllo non devono essere raggiungibili apertamente da internet. Disattiva i port forwarding nel router e non esporre all'esterno i protocolli industriali (ad es. Modbus-TCP, S7Comm, Profinet).
- Accesso remoto solo protetto: manutenzione remota esclusivamente tramite una VPN cifrata con autenticazione a più fattori.
- Aggiornare e verificare: aggiorna tempestivamente sistemi e firmware e controlla regolarmente se i dispositivi sono raggiungibili dall'esterno.
- Routine anziché intervento una tantum: integra stabilmente le misure di sicurezza e i controlli nei processi aziendali.
I nostri suggerimenti aggiuntivi per la pratica: sostituisci le password predefinite e crea un account personale per ogni accesso, separa la rete di controllo dall'IT d'ufficio, imposta un allarme separato (ad es. temperatura via SMS) e definisci un piano di emergenza: chi viene avvisato di notte, chi è autorizzato a spegnere?
Trovi la raccomandazione completa presso il BSI: BSI-CS 154 presso la Allianz für Cyber-Sicherheit.
30 settori con rischio elevato
Può essere colpita qualsiasi azienda i cui impianti vengono controllati o manutenuti tramite internet. Le conseguenze sono particolarmente gravi dove la merce si deteriora, la produzione si ferma o si forniscono servizi essenziali alle persone. La nostra valutazione – senza ordine di priorità, suddivisa per ambiti:
Commercio & alimentari
- Supermercati e commercio al dettaglio di alimentari
- Produzione alimentare
- Macellerie e lavorazione della carne
- Panetterie e pasticcerie
- Latterie e caseifici
- Birrifici e produttori di bevande
Ospitalità & logistica
- Ristorazione, cucine industriali e mense
- Hotel
- Catering
- Celle frigorifere e logistica del freddo
- Spedizionieri con veicoli refrigerati
Sanità
- Farmacie
- Studi medici con refrigerazione di vaccini e farmaci
- Cliniche, strutture di riabilitazione e di assistenza (impiantistica degli edifici)
- Laboratori e biotech
Produzione & industria
- Produzione farmaceutica e chimica
- Lavorazione delle materie plastiche (ad es. stampaggio a iniezione)
- Lavorazione dei metalli e fonderie (ad es. forni di fusione)
- Lavorazione del legno e falegnamerie (CNC, essiccazione)
- Costruzione di macchine e impianti
- Tipografie
Agricoltura
- Allevamenti di bovini da latte (robot di mungitura, refrigerazione del latte, clima della stalla)
- Serre e orticoltura (controllo del clima)
- Piscicoltura e acquacoltura
Energia, acqua & edifici
- Aziende di acqua potabile e acque reflue
- Gestori di impianti fotovoltaici (inverter)
- Eolico, biogas e centrali di cogenerazione
- Settore immobiliare residenziale e amministrazioni condominiali (riscaldamento, sistemi di gestione degli edifici)
- Piscine, impianti sportivi e ricreativi
- Data center e sale server (climatizzazione)
Secondo gli esperti, anche l'intero settore manifatturiero è considerato a rischio: se un forno di fusione va fuori ciclo o un impianto di essiccazione si guasta, il lotto diventa inutilizzabile.
Cosa paga l'assicurazione – e cosa no
“Un'assicurazione cyber è classicamente un'assicurazione contro i danni patrimoniali”, afferma Jan Meurer dell'assicuratore cyber Stoïk ad AssCompact. In pratica significa:
| Danno | Coperto di solito da | A cosa fare attenzione |
|---|---|---|
| Analisi forense IT, assistenza immediata, ripristino dei dati | Assicurazione cyber | La copertura vale anche per i sistemi di controllo, non solo per l'IT d'ufficio? |
| Perdita di ricavi / interruzione di attività | Assicurazione cyber (opzionale a seconda della tariffa) | Periodo di indennizzo, franchigia temporale, limite di indennizzo |
| Hardware danneggiato | Assicurazione cyber, spesso solo hardware IT | Alcune condizioni escludono espressamente i mezzi di produzione |
| Merce deteriorata, contenuto aziendale, macchinari | Assicurazione del contenuto, della merce refrigerata, dei macchinari o delle apparecchiature elettroniche | Esclusione cyber nella polizza danni? Clausola di deterioramento o inclusione dei danni materiali nella polizza cyber? |
| Richieste di terzi | Responsabilità civile cyber, responsabilità civile aziendale | Chi risponde se clienti o partner subiscono un danno? |
Come si presenta tutto questo in un set di condizioni concreto – con clausola di deterioramento, modulo per i danni materiali e la questione se paghi prima l'assicurazione cyber o quella danni ai beni – lo mostriamo nel nostro approfondimento con l'esempio di Stoïk. Le condizioni variano notevolmente da un assicuratore all'altro – verifichiamo per te, caso per caso, cosa copre il tuo contratto.
I tuoi obblighi come contraente
Un'assicurazione cyber presuppone che tu rispetti uno standard di sicurezza concordato. Questi cosiddetti obblighi contrattuali (Obliegenheiten) sono riportati nelle condizioni e variano a seconda dell'assicuratore. Quelli tipici sono:
- Aggiornamenti di sicurezza da installare tempestivamente – alcune condizioni prevedono scadenze fisse.
- Sistemi obsoleti senza aggiornamenti da utilizzare solo in modo isolato, cioè senza accesso diretto a internet.
- Accessi individuali con password sicure, protezione aggiuntiva (ad es. autenticazione a due fattori) per gli accessi remoti.
- Backup dei dati regolari e protetti – con Stoïk, ad esempio, almeno settimanali, conservati per due settimane, offline o immutabili.
- Prescrizioni di sicurezza legali, amministrative e contrattuali da rispettare.
Chi viola un obbligo per colpa grave rischia una riduzione della prestazione, in caso di dolo addirittura la perdita totale. Almeno altrettanto importanti sono le dichiarazioni nella proposta: chi vi conferma, per esempio, che tutti i sistemi sono aggiornati senza averlo verificato, rischia l'impugnazione del contratto. Così l'OLG Schleswig (Tribunale regionale superiore, 16 U 63/24) ha confermato l'impugnazione di una polizza cyber perché alle domande sullo stato della sicurezza si era risposto “alla cieca”. Al contrario, secondo una sentenza del LG Tübingen (tribunale regionale, maggio 2023), un assicuratore ha dovuto pagare nonostante server obsoleti, perché le lacune non erano state causa del danno. Gli esempi mostrano: dipende dal singolo caso e dalla formulazione esatta.
Molto importante: gli obblighi contrattuali ricadono su di te in quanto contraente – anche se è un fornitore esterno a occuparsi della manutenzione della tua refrigerazione, del riscaldamento o della macchina. I compiti puoi delegarli, la responsabilità nei confronti dell'assicuratore no.
Responsabilizzare il fornitore di servizi
Poiché resti tu il responsabile nei confronti dell'assicuratore, i requisiti di sicurezza dovrebbero essere inseriti nel contratto di manutenzione e assistenza. In assenza di una disposizione esplicita, in caso di dubbio un fornitore di servizi deve solo ciò che è stato concordato. Questi punti vanno inclusi:
- Accesso remoto: solo tramite VPN con autenticazione a più fattori, nessuna porta aperta, nessun accesso permanentemente attivo.
- Credenziali di accesso: nessuna password predefinita o condivisa, account personali per ogni tecnico, disattivazione in caso di cambio di personale.
- Aggiornamenti: obbligo di installare aggiornamenti di sicurezza e firmware entro termini fissi, e obbligo di avviso quando un dispositivo non riceve più aggiornamenti.
- Stato dell'arte: allineamento a raccomandazioni riconosciute come BSI-CS 154.
- Obbligo di segnalazione: informazione immediata in caso di incidenti di sicurezza o vulnerabilità note.
- Registrazione degli accessi: tracciabilità di chi ha effettuato l'accesso da remoto e quando.
- Contatto di emergenza: reperibilità e tempi di reazione in caso di guasto, anche di notte e nel fine settimana.
- Responsabilità e assicurazione: una chiara regolamentazione della responsabilità e la prova di un'adeguata assicurazione di responsabilità civile professionale o IT del fornitore di servizi.
- Protezione dei dati: contratto per il trattamento dei dati per conto terzi, se il fornitore di servizi ha accesso a dati personali.
Se il fornitore di servizi causa il danno per colpa, può essere tenuto al risarcimento – e un assicuratore che liquida il danno può rivalersi su di lui. Più il contratto è chiaro, migliori sono le tue carte. Per la redazione giuridica del contratto rivolgiti a un'avvocata o a un avvocato.
La tua tabella di marcia in cinque passi
- Crea un elenco di tutti gli impianti in rete e verifica quali sono raggiungibili dall'esterno.
- Attua le quattro misure di BSI-CS 154 con il tuo reparto IT o con il fornitore di servizi di manutenzione.
- Integra i contratti di manutenzione e assistenza con gli obblighi di sicurezza.
- Confronta l'assicurazione cyber e quella danni: danni materiali, deterioramento della merce, interruzione di attività, obblighi.
- Confronta le dichiarazioni nella proposta assicurativa con il tuo reparto IT – e aggiornale in caso di modifiche.
La nostra offerta: verifichiamo come interagiscono la tua assicurazione cyber, quella del contenuto e quella della merce refrigerata e ti mostriamo dove si creano lacune – ad esempio con l'assicurazione cyber di Stoïk. Cosa prevedono concretamente le sue condizioni lo leggi nell'approfondimento con l'esempio di Stoïk. Per saperne di più: Cyber-security per le aziende.
Domande frequenti
Che cos'è BSI-CS 154?
BSI-CS 154 è una raccomandazione di cybersicurezza del Bundesamt für Sicherheit in der Informationstechnik (Ufficio federale per la sicurezza informatica) dal titolo “Gefährdung durch internet-verbundene OT-Systeme”, pubblicata il 13 ottobre 2026. Si rivolge ai gestori di piccoli impianti industriali o simili con dispositivi di controllo, per esempio per la refrigerazione di alimenti, la produzione di energia elettrica o il trattamento delle acque.
La mia assicurazione cyber paga se una macchina o la merce vengono danneggiate?
Spesso non completamente. Un'assicurazione cyber è in primo luogo un'assicurazione contro i danni patrimoniali. I danni materiali, come merce deteriorata o mezzi di produzione danneggiati, sono spesso esclusi o assicurati solo in misura limitata. Allo stesso tempo, molte assicurazioni danni escludono gli attacchi informatici. Verifichiamo come interagiscono i tuoi contratti.
Posso affidare la sicurezza informatica al mio fornitore di servizi?
I compiti sì, la responsabilità nei confronti dell'assicuratore no. Gli obblighi derivanti dalla tua polizza riguardano te come contraente. Per questo, obblighi di sicurezza chiari vanno inseriti nel contratto di manutenzione e assistenza con il tuo fornitore di servizi.
Cosa succede se le mie dichiarazioni nella proposta assicurativa non sono corrette?
In tal caso l'assicuratore, a seconda del caso, può recedere dal contratto, impugnarlo o ridurre la prestazione. I tribunali hanno considerato dolose le risposte date “alla cieca” sullo stato della sicurezza informatica. Fai quindi verificare le dichiarazioni dal tuo reparto IT prima della stipula.
Cordiali saluti da KiS
Nota: informazione generale, aggiornata al 05.11.2026, nessuna consulenza legale e nessuna consulenza individuale. L'elenco dei settori è una nostra valutazione, non una classificazione ufficiale. Fanno fede le condizioni del rispettivo assicuratore. Fonti: BSI-CS 154 (13.10.2026); servizi di dpa, ad-hoc-news, VWheute e AssCompact (ottobre/novembre 2026); Stoïk, condizioni Cyber Serenity – Standard (DE2609.2); decisioni OLG Schleswig 16 U 63/24 e LG Tübingen del 26.05.2023. KiS – Kontor im Schwarzwald GmbH, broker assicurativo autorizzato ai sensi del § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.