Requisiti KRITIS ampliati dalla direttiva NIS-2
Il recepimento della direttiva NIS-2 nel diritto nazionale ha ampliato drasticamente la cerchia delle organizzazioni interessate. Mentre il concetto di infrastruttura critica è stato a lungo associato a grandi centrali elettriche, gestori idrici centrali o nodi del trasporto ferroviario, dal 2026 questa visione è superata. A seguito delle più recenti modifiche al BSI-Gesetz, oggi rientrano nei rigorosi obblighi di segnalazione e requisiti di sicurezza anche le imprese di medie dimensioni dei settori trasporti, logistica, sanità e smaltimento, nonché autorità e uffici pubblici.
Chi ignora i nuovi standard rischia non solo fatali interruzioni dell'attività, ma si trova esposto anche a pesanti rischi di responsabilità personale e a sanzioni. La vulnerabilità non si limita agli elementi digitali di un'infrastruttura, come hanno mostrato gli attacchi meccanici all'approvvigionamento elettrico di Berlino nel settembre 2025.
L'interconnessione crea nuove superfici di attacco
L'automazione degli edifici moderna è oggi quasi sempre interconnessa. Che sia via WLAN, radio o sistemi bus cablati: ogni porta automatizzata, ogni finestra smart e ogni impianto RWA (evacuazione di fumo e calore) è un potenziale endpoint in una rete. In questo modo ognuno di questi sistemi diventa una possibile porta d'ingresso per attacchi informatici, se la protezione non corrisponde all'attuale stato della tecnica.
Particolarmente problematica è al riguardo l'interfaccia tra sicurezza IT e sicurezza fisica. Un classico esempio pratico illustra il rischio: se un impianto di porte automatiche presenta un guasto durante il funzionamento, nella frenesia quotidiana viene spesso bloccato meccanicamente per comodità o per ignoranza, viene cioè "tenuto aperto". In un contesto KRITIS non si tratta di un'inezia, bensì di una falla di sicurezza che annulla la separazione fisica che dovrebbe invece garantire la protezione dagli accessi non autorizzati.
Sicurezza fisica e digitale come unità
L'integrità di un impianto KRITIS dipende dalla protezione fisica dell'involucro esterno e dalle interfacce interne tra aree KRITIS sensibili e zone accessibili al pubblico. Una vera conformità KRITIS richiede quindi un cambio di mentalità: protezione digitale e affidabilità meccanica devono essere progettate e gestite come un'unità inscindibile.
Approcci progettuali integrati per la conformità KRITIS
I nuovi requisiti di legge spostano notevolmente le priorità nella progettazione. Oggi si osserva un aumento dei cosiddetti conflitti funzionali. Barriere di sicurezza elevate e controlli di accesso restrittivi entrano inevitabilmente in collisione, per le porte e altri elementi dell'involucro esterno, con il desiderio di massimo comfort d'uso, di piena accessibilità e di un onere di manutenzione il più contenuto possibile.
Per evitare costose correzioni successive o addirittura riprogettazioni complete, i responsabili dell'edilizia e degli edifici devono cercare il confronto con gli esperti prima che mai. Un approccio progettuale integrato considera l'edificio non come somma di singole opere, bensì come sistema complessivo.
Sfide nella modernizzazione dell'esistente
Particolarmente impegnativa è la modernizzazione dell'esistente. Molti edifici rilevanti per le KRITIS dispongono di sistemi cresciuti storicamente, che spesso operano come soluzioni isolate. La domanda pressante è: come si possono adeguare componenti obsoleti in modo conforme alle KRITIS senza dover sostituire l'intera infrastruttura?
Una ricognizione approfondita dell'esistente è il primo passo per identificare le interfacce che siano orientate al futuro sia dal punto di vista della sicurezza sia da quello funzionale. L'obiettivo deve essere trovare una soluzione che soddisfi il rigoroso fabbisogno di protezione senza paralizzare l'esercizio dell'edificio con una complessità eccessiva.
Standard tecnici per un'interoperabilità sicura
Una leva tecnica decisiva per la realizzazione di soluzioni conformi alle KRITIS è l'interoperabilità. Le soluzioni automatizzate per porte e finestre devono oggi assolvere simultaneamente compiti complessi: devono essere rispettate le prescrizioni di protezione antincendio, garantite in ogni momento le vie di fuga e di salvataggio e mantenuta l'accessibilità. Allo stesso tempo il sistema deve essere integrato in modo completo nel sistema di controllo dell'edificio di livello superiore, per fornire messaggi di stato in tempo reale.
Gli esperti puntano con coerenza su standard di comunicazione aperti e sicuri, per garantire la necessaria trasparenza e sicurezza. Attualmente OPC UA costituisce la base per uno scambio di dati sicuro e indipendente dalla piattaforma. In prospettiva futura e a fronte dei crescenti requisiti di sicurezza di rete, anche BACnetSC (Secure Connect) svolgerà un ruolo centrale.
La cifratura come presupposto fondamentale
Questi standard consentono non solo di comandare le funzioni di sicurezza, ma anche di comunicare in modo cifrato e di monitorarle senza lacune. In un'architettura conforme alle KRITIS questa cifratura a livello di protocollo è un presupposto fondamentale per impedire attacchi man-in-the-middle alla tecnica degli edifici.
Raccomandazioni pratiche per un'automazione degli edifici conforme a KRITIS
Per l'attuazione pratica dai nuovi requisiti derivano raccomandazioni operative concrete:
- Coinvolgimento tempestivo di esperti di sicurezza nella fase di progettazione
- Considerazione dell'edificio come sistema complessivo anziché come opere isolate
- Ricognizione approfondita dell'esistente prima degli interventi di modernizzazione
- Impiego di standard di comunicazione aperti e sicuri
- Implementazione di una cifratura continua a livello di protocollo
- Verifica e adeguamento periodici delle misure di sicurezza
In particolare nei sistemi di controllo accessi occorre fare attenzione a che le misure di sicurezza meccaniche non vengano aggirate da soluzioni di ripiego operative. I guasti devono essere risolti in modo sistematico, invece di consolidare workaround improvvisati.
Prospettive: la sicurezza come compito permanente
La conformità KRITIS non è un progetto una tantum, bensì un compito permanente nel ciclo di vita di un edificio. Di fronte a un quadro di minacce in costante mutamento e a una legislazione dinamica, una progettazione lungimirante è l'unica strada verso la resilienza.
L'integrazione tra sicurezza IT e sicurezza fisica degli edifici diventerà in futuro ancora più importante. Le aziende che oggi investono in soluzioni orientate al futuro possono utilizzare la sicurezza come vantaggio competitivo anziché viverla come un ostacolo. Con i partner giusti e un'automazione degli edifici intelligentemente interconnessa la sicurezza diventa garante di un esercizio stabile e orientato al futuro.
L'ampliamento dei requisiti KRITIS lo rende chiaro: la protezione delle infrastrutture critiche inizia già dall'involucro dell'edificio e richiede un cambio di mentalità nell'intera fase di progettazione ed esercizio degli immobili.
