ENISA e la Commissione europea hanno segnalato il 4 novembre 2026 una serie di incidenti informatici che, dall’11 ottobre, ha colpito sistemi commerciali di refrigerazione e dispositivi simili in più Stati dell’Unione. Dopo una nuova ondata tra l’1 e il 2 novembre, le autorità europee hanno chiesto alle organizzazioni esposte di applicare immediatamente le misure indicate dai rispettivi CSIRT nazionali.
La comunicazione non identifica pubblicamente produttori, Paesi coinvolti o una singola vulnerabilità universale. Questa cautela serve a non offrire dettagli sfruttabili mentre sono in corso le indagini. Non autorizza però a minimizzare: impianti di refrigerazione collegati alla rete possono incidere sulla conservazione delle merci, sui consumi energetici e sulla continuità operativa di supermercati, magazzini e strutture industriali.
Il coordinamento coinvolge ENISA, la direzione Connect della Commissione, il Centro europeo per la criminalità informatica di Europol, la rete dei CSIRT e EU-CyCLONe, il meccanismo che mette in contatto le autorità responsabili delle crisi cyber. Gli Stati interessati stanno investigando e scambiando informazioni. Gli avvisi tecnici aggiornati restano il riferimento per stabilire prodotti, versioni e contromisure effettivamente coinvolti.
Per un’impresa italiana, la prima verifica riguarda l’esposizione a Internet dei controllori e delle interfacce di manutenzione. Le azioni prudenziali comprendono inventario dei dispositivi, segmentazione tra rete operativa e rete d’ufficio, rimozione degli accessi non necessari, credenziali uniche, autenticazione forte dove disponibile, registrazione degli eventi e installazione degli aggiornamenti approvati dal produttore.
Riavviare o modificare un impianto senza la procedura del fornitore può invece compromettere sicurezza e catena del freddo.
ENISA collega il caso al Cyber Resilience Act. Dall’11 settembre 2026 i produttori di hardware e software devono notificare attraverso la piattaforma unica europea gli incidenti gravi e le vulnerabilità attivamente sfruttate previste dal regolamento. Gli obblighi principali di sicurezza per i prodotti digitali entreranno in applicazione l’11 dicembre 2027, ma il dovere di segnalazione anticipa una parte del sistema.
Le organizzazioni soggette alla direttiva NIS2 devono inoltre gestire i rischi e comunicare gli incidenti significativi al CSIRT o all’autorità nazionale competente. La presenza di un dispositivo industriale fornito da terzi non trasferisce automaticamente tutta la responsabilità al produttore: gestore, manutentore e fornitore devono coordinare configurazione, aggiornamenti e risposta.
La conseguenza più concreta per consumatori e filiere italiane è la necessità di proteggere un’infrastruttura spesso considerata soltanto meccanica. Un attacco non implica necessariamente perdita di alimenti o fermo dell’impianto; dipende dall’accesso ottenuto e dalle protezioni locali. Finché non saranno pubblicati i risultati tecnici, occorre evitare attribuzioni e controllare soltanto gli indicatori ufficiali, preservando nel frattempo continuità e sicurezza fisica.
Le aziende dovrebbero inoltre conservare una fotografia tecnica della configurazione prima di applicare modifiche urgenti e coordinarsi con il responsabile della sicurezza alimentare. Il piano di risposta deve indicare chi può isolare il controller, chi contatta il fornitore e come mantenere temperature e allarmi durante l’intervento.
Questa preparazione evita che una correzione informatica improvvisata crei un rischio operativo superiore all’incidente che si vuole contenere.