Un attacco informatico che ha disattivato la refrigerazione in circa 700 supermercati francesi ha trasformato gli obblighi europei di segnalazione relativi ai prodotti connessi da esercizio sulla carta a banco di prova reale, e mette in luce tre distinti livelli di responsabilità che fanno capo a tre soggetti diversi: il produttore del dispositivo, il gestore del sito e il manutentore che sta nel mezzo.
Che cosa è successo
Nella notte tra domenica 11 ottobre 2026, alcuni attaccanti hanno raggiunto i controllori remoti che gestiscono gli impianti di refrigerazione della grande distribuzione alimentare francese. L’agenzia nazionale francese per la cybersicurezza ha pubblicato l’alert CERTFR-2026-ALE-012 il 12 ottobre e lo ha aggiornato il 13 ottobre per aggiungere altre apparecchiature. L’avviso indica quattro famiglie di prodotti: Danfoss AK-SC, Danfoss AK-SM, Copeland xweb e Dixell xweb, quest’ultimo un marchio italiano di proprietà di Copeland. Il ministro delle Finanze francese ha dichiarato al Parlamento il 13 ottobre che circa 700 dei circa 10.000 supermercati del Paese erano stati colpiti, e una scansione effettuata lo stesso giorno ha rilevato ancora migliaia di interfacce di gestione raggiungibili da internet, come riportato qui. In un punto vendita nei pressi di Bordeaux, il set point del congelatore è passato da meno 22 gradi a 150. Danfoss ha dichiarato che gli incidenti riguardano un numero limitato di sistemi con firmware obsoleto, per lo più modelli fuori produzione che non ricevono più patch di sicurezza, e Copeland ha attribuito la vulnerabilità a una generazione di controllori giunta a fine vita. La procura di Parigi ha aperto un’indagine penale e l’agenzia francese avverte che la campagna è probabilmente ancora in corso.
L’elemento tecnico al centro dell’avviso non ha nulla di eccezionale e, proprio per questo, è istruttivo. Le interfacce di gestione erano esposte a internet, su apparecchiature ormai oltre il termine del periodo di supporto. Le conseguenze giuridiche di quella singola scelta di configurazione si sviluppano ora contemporaneamente in tre direzioni, e il quadro normativo europeo ha già assegnato ciascuna di esse a un soggetto diverso.
Tre livelli di responsabilità, e solo due prevedono una scadenza
Il produttore del controllore. Il suo obbligo principale è la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi ai sensi dell’articolo 14 del Cyber Resilience Act, da effettuare tramite la ENISA Single Reporting Platform con una cadenza di 24 ore, 72 ore e 14 giorni, in vigore dall’11 settembre 2026. La sua esposizione dipende dal periodo di supporto dichiarato per il prodotto e dal fatto che sulla piattaforma esista un soggetto incaricato registrato prima di un incidente e non dopo.
Il gestore del sito, cioè il rivenditore, l’operatore della catena del freddo o il fornitore di servizi logistici. Il suo obbligo principale è la notifica degli incidenti ai sensi della NIS2 e, in Italia, il completamento delle misure di sicurezza di base entro il 31 ottobre 2026 per i soggetti inclusi nell’elenco nazionale nel 2025. La sua esposizione riguarda le risorse di tecnologia operativa che in origine non sono mai entrate nell’inventario IT.
Il manutentore degli impianti di refrigerazione o di building management. Ha obblighi contrattuali e una ordinaria responsabilità per negligenza, ma nessun obbligo regolatorio di segnalazione di alcun tipo. La sua esposizione deriva dalla decisione di esporre a internet un’interfaccia di gestione, ossia la decisione che ha causato l’incidente.
L’asimmetria è il punto centrale di questo caso. Il soggetto che ha compiuto la scelta di configurazione è l’unico dei tre a non avere alcuna scadenza, alcun obbligo di comunicazione e alcun regolatore che esamini il suo fascicolo, ed è anche quello a cui verrà chiesto di pagare.
Prodotti connessi e obbligo di segnalazione entro 24 ore
Dall’11 settembre 2026, i produttori che immettono sul mercato dell’UE prodotti con elementi digitali devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi tramite la ENISA Single Reporting Platform, entrata in funzione nella stessa data, con un preallarme a 24 ore, una notifica a 72 ore e una relazione finale a 14 giorni. Tre caratteristiche del regime determinano l’evoluzione di un caso come questo.
- Il fattore scatenante è lo sfruttamento effettivo, non la gravità. Una vulnerabilità di livello medio utilizzata sul campo fa partire il conteggio dei termini, mentre una vulnerabilità critica ferma in un arretrato e non sfruttata no.
- Il luogo di stabilimento è irrilevante. L’obbligo sorge con l’immissione del prodotto sul mercato dell’UE, per cui un produttore con sede in California, a Shenzhen o a Seul è soggetto esattamente allo stesso obbligo di 24 ore di uno con sede a Milano.
- L’account precede l’incidente. La piattaforma funziona tramite un soggetto incaricato registrato, e un’azienda che non ne abbia registrato uno non può inviare nulla la prima mattina. La questione operativa per ogni produttore non è quindi se l’obbligo si applichi, ma quale persona identificata all’interno dell’organizzazione sia oggi titolare dell’account.
Il caso francese aggiunge una quarta questione, ed è quella a cui pochi produttori hanno dato risposta. Una generazione di prodotti dichiarata a fine vita è ancora presente in migliaia di installazioni. Un produttore che annuncia che un prodotto non riceve più patch di sicurezza ha reso una dichiarazione sul proprio periodo di supporto e, ai sensi del Cyber Resilience Act, il periodo di supporto è un impegno regolamentato e non una preferenza commerciale. Il divario tra la base installata e la base supportata è il terreno su cui si combatterà la prossima controversia in questo ambito, e interagisce con gli obblighi in materia di accesso e di dati che ora gravano sugli stessi dispositivi.
La NIS2 e la scadenza italiana del 31 ottobre
La produzione, la trasformazione e la distribuzione alimentare rientrano nei settori NIS2, il che colloca nel regime i grandi rivenditori alimentari, gli operatori della catena del freddo e i fornitori di logistica alimentare. In Italia, i soggetti inclusi nell’elenco nazionale nel 2025 sono soggetti agli obblighi di notifica degli incidenti da gennaio 2026 e devono completare le misure di sicurezza di base entro il 31 ottobre 2026, in forza di un provvedimento attuativo del 2025 dell’agenzia nazionale per la cybersicurezza.
Ne derivano due considerazioni pratiche per gli operatori. Molti dispongono di un inventario degli asset IT che omette del tutto il building management, gli impianti di refrigerazione e altra tecnologia operativa: ciò significa che gli asset con maggiore probabilità di essere esposti a internet sono quelli che con minore probabilità compaiono nel fascicolo di conformità. Inoltre, un incidente di questo tipo può non comportare alcuna violazione di dati personali, per cui il percorso di notifica porta all’agenzia per la cybersicurezza e non all’autorità per la protezione dei dati, mentre un gran numero di piani di risposta agli incidenti descrive soltanto la seconda via.
Dal 23 ottobre 2026 la stessa agenzia che detiene la registrazione NIS2 di un’azienda italiana e riceve le sue notifiche di incidente acquisisce anche poteri di vigilanza del mercato sui suoi sistemi di intelligenza artificiale, comprese le ispezioni senza preavviso, in forza della legge italiana del 7 ottobre 2026. Gli operatori che si preparano a una scadenza dovrebbero riconoscere che si stanno preparando per la stessa controparte attraverso tre regimi.
Il livello contrattuale, dove un incidente sui prodotti connessi costa davvero denaro
L’avviso francese afferma che esporre a internet un’interfaccia di gestione è contrario alle buone pratiche e invita gli operatori a verificare le condizioni assicurative prima di interrompere il collegamento dati con il proprio fornitore di refrigerazione. Queste due frasi si trovano all’interno di un bollettino tecnico e saranno citate nelle richieste di risarcimento che seguiranno, perché insieme individuano chi ha preso la decisione e chi ha assicurato le conseguenze.
L’azione di regresso nei confronti dell’integratore, dell’installatore o della società di servizi è la parte di maggior valore e meno esercitata della catena che un incidente di questo tipo genera. È anche quella con la finestra temporale pratica più breve, perché le prove consistono in configurazioni che il manutentore correggerà, spesso nel modo giusto e spesso senza documentare lo stato precedente. Gli operatori che aspettano la chiusura della fase regolatoria prima di esaminare i propri contratti di fornitura troveranno la documentazione ormai perduta.
L’assicurazione segue la stessa domanda
I danni materiali alle merci deteriorate, l’interruzione di attività e le richieste di terzi da parte dei franchisee interagiscono in modo diverso nell’ambito di una polizza cyber rispetto a una polizza property, e i rivenditori francesi hanno già sollevato pubblicamente questioni di copertura. Gli assicuratori che valutano queste richieste porranno una domanda prima di ogni altra: chi ha autorizzato l’esposizione a internet e che cosa prevedeva al riguardo il contratto di manutenzione.
Azioni consigliate
- I produttori dovrebbero confermare oggi che sulla ENISA Single Reporting Platform esista un soggetto incaricato registrato e identificato, con un sostituto, e che la decisione di effettuare la segnalazione entro 24 ore non richieda un comitato.
- I produttori dovrebbero riconciliare la base installata con la base supportata per ogni linea di prodotto e documentare a che cosa li impegna il periodo di supporto dichiarato.
- Gli operatori dovrebbero estendere l’inventario degli asset al building management e agli impianti di refrigerazione prima del 31 ottobre e registrare ogni dispositivo dotato di un indirizzo IP pubblico.
- Gli operatori dovrebbero testare specificamente il percorso di notifica verso l’agenzia per la cybersicurezza, separatamente dal percorso relativo alle violazioni di dati, perché un incidente di tecnologia operativa potrebbe non arrivare mai alla funzione privacy.
- Gli operatori dovrebbero recuperare subito i contratti di manutenzione e di integrazione e individuare chi detiene l’autorità di esporre un’interfaccia di gestione, insieme alla manleva che ne consegue.
- Gli assicurati dovrebbero notificare il proprio assicuratore in via precauzionale ove siano presenti le famiglie di prodotti interessate, anziché attendere la conferma della compromissione.
- Le associazioni di categoria della distribuzione alimentare e della refrigerazione dovrebbero presentare osservazioni nella consultazione italiana aperta sulle misure rafforzate di sicurezza delle reti, dove la proporzionalità dei requisiti sulla tecnologia operativa è ancora in corso di definizione.
L’incidente verrà ricordato come una vicenda sui congelatori dei supermercati. La lezione duratura riguarda però i prodotti connessi in generale, perché il quadro europeo ha già distribuito gli obblighi, ha collegato delle scadenze a due dei tre soggetti e ha lasciato il terzo, quello che ha effettivamente compiuto la scelta di configurazione, senza alcuna scadenza e con la maggiore esposizione finanziaria.
About the Author: Giulio Coraggio
