Il dispositivo al centro di questi attacchi è facile da trascurare in un inventario IT. È un piccolo controller che permette al tecnico della refrigerazione di controllare le temperature, regolare i cicli di sbrinamento e ricevere gli allarmi senza recarsi in negozio. Molti sono stati installati anni fa, sono gestiti da un manutentore esterno e da allora hanno svolto il loro lavoro senza far parlare di sé. Le aziende colpite usavano queste apparecchiature come gran parte del settore, ed è per questo che le lezioni valgono ben oltre i casi noti. Le debolezze sfruttate sono ben conosciute, così come la maggior parte delle soluzioni, che funzionano meglio quando punto vendita, team IT e fornitore dell'impianto frigorifero si accordano su chi fa cosa.

Cosa è successo

La notte tra l'11 e il 12 ottobre 2026: Francia

Nella notte tra l'11 e il 12 ottobre 2026 ignoti hanno avuto accesso ai controller di refrigerazione di supermercati francesi e ne hanno modificato le impostazioni. Tra le modifiche segnalate ci sono cicli di sbrinamento forzati con valori impostati intorno ai 50°C.

Il 12 ottobre il primo ministro Lecornu ha chiesto all'ANSSI di occuparsi del caso e il CERT-FR, il team di risposta agli incidenti dell'ANSSI, ha pubblicato l'allerta CERTFR-2026-ALE-012 con una serie di raccomandazioni.

Il ministro dell'Economia e delle Finanze francese ha dichiarato che erano stati colpiti circa 700 dei circa 10.000 supermercati del Paese, tra cui punti vendita di Intermarché, Netto, Coopérative U, Carrefour, Monoprix ed E.Leclerc.

La notte tra l'1 e il 2 novembre 2026: in tutta Europa

La seconda ondata è iniziata nella notte tra l'1 e il 2 novembre 2026 e ha colpito punti vendita e aziende alimentari in almeno nove Paesi europei (Toute l'Europe, 3 novembre 2026). La tabella riporta quanto comunicato da autorità, aziende e media nazionali entro il 6 novembre 2026, compresi casi collegati al di fuori del commercio al dettaglio. Molti dati sono stime iniziali e potrebbero cambiare.

Le perdite vengono segnalate punto vendita per punto vendita e vanno da decine di migliaia di euro in singoli negozi a oltre 360.000 euro in un punto vendita in Germania, secondo il titolare (VRT, 3 novembre 2026; dpa, 3 novembre 2026). Ad oggi però non esiste una stima complessiva del danno.

Un esempio positivo arriva dall'Estonia, dove l'attacco a un punto vendita Selver è stato gestito in circa dieci minuti e Selver ha dichiarato che il proprio partner era stato in grado di individuarlo rapidamente (ERR, 2 novembre 2026).

Come hanno reagito le autorità

A livello UE, il commissario europeo per l'Agricoltura e l'alimentazione Christophe Hansen ha definito la seconda ondata “un tentativo deliberato di perturbare la nostra filiera alimentare e di minare la fiducia dei consumatori” (2 novembre 2026). Il 3 novembre la Commissione europea si è riunita con Europol ed ENISA e gli incidenti sono stati discussi in EU-CyCLONe, la rete delle autorità nazionali per la gestione delle crisi informatiche. Il 4 novembre ENISA, la Commissione, il Centro europeo per la lotta alla criminalità informatica di Europol (EC3), la rete dei CSIRT ed EU-CyCLONe hanno diffuso una dichiarazione congiunta che invita le organizzazioni ad agire immediatamente per ridurre l'esposizione dei sistemi interessati e ricorda che dall'11 settembre 2026 i fabbricanti devono segnalare ai sensi del CRA gli incidenti gravi e le vulnerabilità attivamente sfruttate.

Le agenzie nazionali di cybersicurezza di Svezia, Paesi Bassi e Italia hanno pubblicato o aggiornato le proprie indicazioni tra il 2 e il 4 novembre. Le misure dell'ACN e la posizione del governo italiano sono descritte nella sezione sull'Italia.

Il 5 novembre l'agenzia statunitense per la cybersicurezza CISA, l'FBI e altre tre agenzie federali hanno pubblicato indicazioni congiunte sulle attività in corso contro i sistemi di refrigerazione industriale e di monitoraggio della catena del freddo in tutto il mondo, con raccomandazioni in gran parte analoghe a quelle europee. Il 6 novembre l'associazione europea del commercio EuroCommerce ha convocato una riunione d'urgenza dei propri membri (ECO, 6 novembre 2026).

Il 3 novembre due gruppi di hacker filorussi, NoName057(16) e Z-Pentest, hanno rivendicato gli attacchi in un video diffuso su Telegram, come ha riportato anche Rai News. La rivendicazione non indica punti vendita, modalità o tempi degli attacchi, e nessun governo o agenzia ha finora confermato l'attribuzione: un funzionario dell'ACN ha spiegato a Il Post che è ancora presto per capire che cosa sia successo davvero, perché la modalità di intrusione non è stata ricostruita (Il Post, 6 novembre 2026). Anche il BSI tedesco afferma di non avere elementi a sostegno delle rivendicazioni e non esclude che qualcuno rivendichi gli attacchi senza esserne l'autore (CORRECTIV, 5 novembre 2026). Il Cremlino ha definito “assurde” le ipotesi di un coinvolgimento russo (The Moscow Times, 5 novembre 2026). Il Centre for Cybersecurity Belgium aveva dichiarato a The Record che “potrebbe non essere mai possibile identificarli”.

Come sono entrati gli attaccanti

I dispositivi coinvolti sono unità di gestione remota per la refrigerazione commerciale. Collegano celle frigorifere, congelatori e banchi espositori di un punto vendita a un'interfaccia web, così che un tecnico possa monitorare le temperature, modificare i valori impostati e programmare i cicli di sbrinamento a distanza. L'allerta del CERT-FR cita controller di Copeland (XWEB), Danfoss (serie AK-SC e AK-SM) e Dixell (XWEB).

Secondo l'ANSSI, gli attacchi non hanno richiesto tecniche avanzate. Il direttore generale Vincent Strubel ha spiegato al Senato francese il 21 ottobre 2026 che sono state sfruttate “carenze elementari di sicurezza” (des défauts de sécurisation élémentaire): apparecchiature esposte su Internet, amministrate senza protezione e protette da password deboli. Non ha indicato come causa vulnerabilità già pubblicate. Anche il BSI tedesco considera gli attacchi non mirati e opportunistici (CORRECTIV, 5 novembre 2026).

Molti dei dispositivi colpiti erano datati. Danfoss ha dichiarato che le unità interessate utilizzavano un firmware non aggiornato e Copeland ha confermato una vulnerabilità in alcuni dispositivi di controllo da remoto (controller) fuori produzione e a fine vita. Per uno dei modelli citati, la documentazione del produttore indica la fine del ciclo di vita al 31 ottobre 2016. Il CERT-FR avverte che mantenere connesso a Internet un dispositivo a fine vita lo espone a “una probabilità molto elevata di compromissione”. Tra il 2025 e il 2026 erano state rese pubbliche vulnerabilità di alcuni di questi controller, e per i modelli ancora supportati esistono correzioni. Nessuna autorità ha confermato che siano state sfruttate in questi attacchi.

La responsabilità di questi dispositivi è spesso condivisa: il punto vendita o la catena ne è proprietario, un manutentore li installa e li gestisce, il produttore fornisce il firmware. In Portogallo il Centro nazionale di cybersicurezza (CNCS) ha indicato come causa presunta un accesso non autorizzato a un controller remoto della temperatura sotto la responsabilità di un fornitore della catena; secondo il gruppo Les Mousquetaires (Intermarché), l'attacco avrebbe colpito il manutentore esterno incaricato della gestione degli impianti di refrigerazione (Lusa, 3 novembre 2026; DN, 2 novembre 2026). Quando la responsabilità è divisa in tre, domande semplici possono restare senza risposta: chi cambia la password predefinita, chi decide se un dispositivo debba davvero essere online, chi viene informato di un aggiornamento di sicurezza.

L'esposizione cala rapidamente quando i proprietari intervengono. Il servizio di scansione Censys ha contato l'11 ottobre 2026 2.991 host raggiungibili da Internet con controller di un produttore, di cui 1.825 in Francia. Il 14 ottobre il dato francese era sceso a 537 (Infosecurity Magazine, 15 ottobre 2026). In Finlandia il centro nazionale per la cybersicurezza NCSC-FI ha riferito il 2 novembre che, dopo aver contattato i proprietari, erano ancora visibili solo pochi dispositivi esposti.

Quali norme UE si applicano

Diverse norme UE sono rilevanti. Quali si applichino a un'azienda dipende dal suo ruolo nella filiera alimentare, dalle dimensioni e dai Paesi in cui opera.

Diritto alimentare: perché gli alimenti vengono eliminati

Il diritto alimentare dell'UE vieta di immettere sul mercato alimenti a rischio, il che comprende la detenzione a scopo di vendita (regolamento (CE) n. 178/2002, articoli 3, punto 8, e 14), e stabilisce quando gli alimenti non conformi ai requisiti di sicurezza devono essere ritirati (articolo 19). Le norme di igiene aggiungono che “la catena del freddo non deve essere interrotta” e consentono periodi limitati fuori dal controllo della temperatura solo se ciò non comporta un rischio per la salute (regolamento (CE) n. 852/2004, allegato II, capitolo IX). Quando alimenti refrigerati o surgelati restano troppo a lungo fuori dall'intervallo di temperatura previsto, spesso il punto vendita non può più dimostrarne la sicurezza e li ritira dagli scaffali. Come ricorda l'ACN, “il ripristino della temperatura non dimostra, da solo, il mantenimento delle condizioni di conservazione”. Da qui deriva gran parte delle perdite segnalate.

NIS2: il commercio alimentare al dettaglio è in genere escluso

L'allegato II della direttiva NIS2 comprende le imprese alimentari attive nella distribuzione all'ingrosso e nella produzione e trasformazione industriale. La vendita al dettaglio ai consumatori non è inclusa. Le medie e grandi imprese che svolgono queste attività rientrano nell'ambito di applicazione, nella maggior parte dei casi come soggetti importanti. Per approfondire: Che cos'è la direttiva NIS2.

Contano tre precisazioni:

• Soggetti critici. Le imprese individuate come soggetti critici ai sensi della direttiva sulla resilienza dei soggetti critici (direttiva CER) rientrano nella NIS2 indipendentemente dalle dimensioni, come soggetti essenziali (direttiva NIS2, articolo 2, paragrafo 3, e articolo 3, paragrafo 1, lettera f). Nel settore alimentare la direttiva CER riguarda solo le imprese impegnate esclusivamente nella logistica e nella distribuzione all'ingrosso e nella produzione e trasformazione industriale su larga scala. Il commercio al dettaglio non è compreso. Gli Stati membri dovevano individuare i propri soggetti critici entro il 17 luglio 2026.

• Le norme nazionali possono andare oltre. La direttiva NIS2 fissa un livello minimo. In Germania i gestori di impianti critici sono considerati soggetti particolarmente importanti ai sensi della legge sul BSI (§ 28, comma 1, BSIG). Le norme tedesche sugli impianti critici del commercio alimentare, attualmente contenute nella BSI-KritisV, riguardano gli impianti per l'immissione sul mercato di alimenti, che possono includere punti vendita al dettaglio, oltre una soglia di 434.500 tonnellate l'anno. Solo le realtà di grandi dimensioni la raggiungono.

• Gruppi. Un gruppo della distribuzione può comprendere società soggette alla NIS2, come una società di distribuzione all'ingrosso.

Per i soggetti NIS2 gli attacchi riguardano soprattutto due requisiti: le misure di gestione dei rischi, che comprendono la sicurezza della catena di approvvigionamento (articolo 21, paragrafo 2, lettera d), e la notifica degli incidenti, con un preallarme entro 24 ore e una notifica dell'incidente entro 72 ore da quando si viene a conoscenza di un incidente significativo, seguiti da una relazione finale entro un mese dalla notifica (articolo 23). Per una panoramica: Requisiti NIS2.

Manutentori degli impianti frigoriferi: possibili fornitori di servizi gestiti

La direttiva NIS2 definisce il fornitore di servizi gestiti come “un soggetto che fornisce servizi relativi all'installazione, alla gestione, al funzionamento o alla manutenzione di prodotti, reti, infrastrutture, applicazioni TIC o di qualsiasi altro sistema informativo e di rete, tramite assistenza o amministrazione attiva effettuata nei locali dei clienti o a distanza” (articolo 6, punto 39). Un controller in rete che elabora dati digitali può rientrare nella definizione di sistema informativo e di rete (articolo 6, punto 1, lettera b). Un'azienda che gestisce questi controller da remoto per i propri clienti potrebbe quindi rientrare nella definizione, e i fornitori di servizi gestiti di medie o grandi dimensioni sono nell'ambito di applicazione. Non abbiamo trovato indicazioni di alcuna autorità sul fatto che le aziende di manutenzione di impianti frigoriferi o di sistemi di controllo degli edifici rientrino in questa categoria: la valutazione va fatta caso per caso in base al diritto nazionale.

Cyber Resilience Act: cosa devono segnalare i fabbricanti

Dall'11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei loro prodotti (articolo 14 del CRA). Le segnalazioni vanno al CSIRT designato come coordinatore e all'ENISA tramite la piattaforma unica di segnalazione: una notifica di preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro 14 giorni dalla disponibilità di una misura correttiva o di attenuazione (vulnerabilità) o entro un mese dalla notifica (incidenti). I fabbricanti devono inoltre informare gli utilizzatori interessati.

L'obbligo vale anche per i prodotti già immessi sul mercato (articolo 69, paragrafo 3), ma non in modo retroattivo per gli sfruttamenti noti prima dell'11 settembre 2026. I requisiti principali del CRA, compresi gli aggiornamenti di sicurezza durante il periodo di assistenza, si applicano dall'11 dicembre 2027 e solo ai prodotti immessi sul mercato da quella data o sottoposti successivamente a una modifica sostanziale (articolo 69, paragrafo 2). Per i controller già installati nei punti vendita, il CRA non introduce quindi un nuovo obbligo di aggiornamento. Chi utilizza questi dispositivi dovrebbe assicurarsi che fabbricanti e installatori sappiano chi contattare quando pubblicano un avviso di sicurezza.

Cosa significa per l'Italia

I casi segnalati

In Italia la seconda ondata ha colpito soprattutto la Sicilia. Il gruppo Radenza, che gestisce punti vendita Coop, ha segnalato almeno tre negozi colpiti a Catania e uno a Palermo, con l'attacco avvenuto intorno alle 4 del mattino (RagusaOggi, 3 novembre 2026). Sono stati segnalati casi anche a Sassari (ANSA, 3 novembre 2026), oltre a un'azienda di ristorazione collettiva in Toscana e a un produttore di surgelati in Emilia-Romagna (Teleborsa, 3 novembre 2026). Le stime complessive variano: secondo Federdistribuzione sono stati colpiti una decina di punti vendita in franchising, soprattutto in Veneto e in Sicilia (Open, 4 novembre 2026), mentre altre fonti parlano di una ventina di casi (Euronews, 3 novembre 2026).

Nei giorni successivi sono emersi casi in molte altre regioni. Al 5 novembre Cyber Security 360 ha censito almeno 38 soggetti colpiti, tra cui supermercati in Trentino, Veneto, Friuli-Venezia Giulia, Lazio, Abruzzo e Molise, distributori alimentari, aziende di ristorazione, bar e hotel. Secondo Federdistribuzione Sicilia, solo nell'isola i punti vendita colpiti sono una ventina. La testata avverte che le cifre delle diverse fonti non vanno sommate in un totale nazionale. Il 5 novembre la Direzione distrettuale antimafia (DDA) di Genova ha aperto un fascicolo dopo le denunce di un'azienda di distribuzione alimentare di Finale Ligure (Cyber Security 360, 6 novembre 2026).

Le indicazioni dell'ACN

Il 13 ottobre 2026, dopo la prima ondata in Francia, l'ACN ha pubblicato tramite il CSIRT Italia il bollettino “Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo” (BL01/261013/CSIRT-ITA), rivolto alla grande distribuzione organizzata, alla logistica alimentare, alla refrigerazione industriale e ai servizi di manutenzione connessi. Il 3 novembre l'ACN lo ha riproposto in versione 1.1 “a seguito dei recenti eventi rilevati sul territorio nazionale” e il 4 novembre ha pubblicato un secondo bollettino (BL02/261104/CSIRT-ITA) con un richiamo urgente esteso a tutti i soggetti che impiegano tecnologie per il mantenimento della catena del freddo, indipendentemente dal settore, e più in generale a chi utilizza strumenti di telecontrollo industriale.

Il bollettino indica sei azioni immediate:

1. Identificazione dei sistemi e delle esposizioni

2. Segregazione delle reti e protezione delle funzioni amministrative

3. Accessi remoti, VPN e protezione delle comunicazioni

4. Verifica degli account e delle autenticazioni

5. Verifica dei parametri e ricerca di possibili compromissioni

6. Aggiornamento e dismissione dei dispositivi fuori supporto

In caso di accessi anomali, modifiche non autorizzate ai parametri degli impianti o altri indicatori di compromissione, l'ACN raccomanda di attivare tempestivamente le procedure di gestione degli incidenti e di segnalare subito l'evento all'Agenzia tramite i canali del CSIRT Italia. Le tempistiche indicate nel bollettino sono obiettivi operativi raccomandati e “non sostituiscono gli obblighi di notifica applicabili”.

Il 5 novembre l'ACN ha riunito le principali aziende della grande distribuzione e dell'industria alimentare, tra cui Coop, Conad, Esselunga e Barilla, e ha proposto la creazione di un ISAC, un centro di condivisione e analisi delle informazioni, per il settore alimentare (Cyber Security 360, 6 novembre 2026).

La posizione del governo

Il 3 novembre si è tenuta a Palazzo Chigi una riunione con il sottosegretario alla Presidenza del Consiglio Alfredo Mantovano, il ministro dell'Agricoltura Francesco Lollobrigida, il direttore generale dell'ACN e i vertici dell'intelligence. Nella nota diffusa al termine, il governo afferma che “in Italia l'impatto degli attacchi è al momento fortemente limitato”: sono state interessate “poche unità commerciali, a fronte delle migliaia presenti sull'intero territorio nazionale”, per lo più con sistemi di sicurezza obsoleti, interfacce esposte direttamente su Internet e carenze nei meccanismi di autenticazione, mentre “la gran parte della catena di distribuzione risulta invece dotata di sistemi di protezione aggiornati”. La nota precisa che “non è emerso alcun caso di rischio per la salute dei cittadini riconducibile a fenomeni di scongelamento” e che ogni anomalia segnalata viene notificata dall'ACN ai NAS dei Carabinieri (AGI, 3 novembre 2026).

Lo stesso giorno il ministro dell'Interno Matteo Piantedosi ha dichiarato che “è presumibilmente un'iniziativa coordinata a livello europeo” e che sono al lavoro i tecnici dell'ACN e gli esperti della Polizia postale (Tgcom24, 3 novembre 2026).

Il 4 novembre il direttore generale dell'ACN è stato ascoltato dal Copasir, il Comitato parlamentare per la sicurezza della Repubblica. Il presidente del Comitato, Lorenzo Guerini, ha sottolineato che l'attribuzione degli attacchi “richiede accertamenti complessi” (Il Post, 6 novembre 2026; Cyber Security 360, 6 novembre 2026).

Gli obblighi NIS in Italia

In Italia la direttiva NIS2 è stata recepita con il decreto legislativo 4 settembre 2024, n. 138. Come la direttiva, l'allegato II del decreto comprende le imprese alimentari che si occupano della distribuzione all'ingrosso e della produzione industriale e trasformazione, non il commercio al dettaglio. Gli allegati III e IV estendono l'ambito ad altre categorie, come le pubbliche amministrazioni e il trasporto pubblico locale, ma non al commercio alimentare al dettaglio.

Per i soggetti NIS, l'articolo 25 del decreto prevede una pre-notifica al CSIRT Italia entro 24 ore da quando si è venuti a conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese dalla notifica. Nella seconda ondata almeno un'azienda italiana, l'impresa di ristorazione collettiva toscana, ha notificato formalmente l'incidente all'ACN (Teleborsa, 3 novembre 2026).

La direttiva CER è stata recepita con il decreto legislativo 4 settembre 2024, n. 134. Anche qui, nel settore alimentare, rientrano solo le imprese “impegnate esclusivamente nella logistica e nella distribuzione all'ingrosso nonché nella produzione e trasformazione industriale su larga scala”.

Cosa verificare ora

Le autorità nazionali hanno pubblicato indicazioni pratiche: tra queste il CERT-FR in Francia, l'ACN in Italia, l'NCSC-NL nei Paesi Bassi e l'NCSC svedese. Le raccomandazioni si sovrappongono e si possono riassumere in sette verifiche, valide a prescindere dal fatto che un'azienda rientri o meno nella NIS2. Conviene assegnare a ogni verifica un responsabile e conservare le evidenze di quanto fatto.

1. Individuare ogni dispositivo connesso. Elencare, sito per sito, i controller di refrigerazione, i sistemi di gestione degli edifici e le altre apparecchiature raggiungibili da remoto: modello, versione del firmware, stato del supporto, chi li ha installati e chi li gestisce. Evidenza: un inventario aggiornato.

2. Togliere le interfacce di gestione da Internet. Ripristinare l'accesso remoto solo tramite una VPN sicura o una rete protetta, come raccomandano CERT-FR e ACN. L'ACN chiede inoltre l'autenticazione a più fattori sugli accessi remoti e, come il CERT-FR, considera la limitazione a indirizzi IP fidati solo una misura temporanea. Separare la refrigerazione e gli altri sistemi operativi dalle reti degli uffici e degli ospiti. Evidenza: la configurazione di rete e una verifica di ciò che è visibile dall'esterno.

3. Concordare come si collegano i fornitori. Chiedere al manutentore dell'impianto frigorifero come accede a ciascun sito, con quali account e da dove, e chi viene informato quando lo fa. Inserire le regole nel contratto di assistenza. L'ACN raccomanda di limitare gli accessi dei fornitori alle risorse e ai periodi autorizzati, registrando le attività e revocando le abilitazioni al termine dell'intervento. Evidenza: le risposte del fornitore e la clausola contrattuale. Per approfondire: Gestione del rischio dei fornitori.

4. Sostituire le password predefinite e condivise. Cambiare le credenziali di fabbrica, assegnare un account individuale a ogni tecnico dove il dispositivo lo consente e usare l'impostazione di sicurezza più restrittiva offerta dal produttore. Evidenza: una registrazione datata della modifica.

5. Controllare la configurazione, non solo gli accessi. Confrontare valori impostati, programmi di sbrinamento e soglie di allarme con la configurazione approvata. Il CERT-FR osserva che un semplice ripristino delle impostazioni di fabbrica non basta. Verificare che gli allarmi di temperatura raggiungano qualcuno in grado di intervenire anche fuori dall'orario di apertura. Evidenza: la configurazione approvata e l'esito del confronto.

6. Aggiornare o sostituire. Installare il firmware più recente sui dispositivi supportati. Per i dispositivi a fine vita, pianificare la sostituzione e tenerli scollegati da Internet fino ad allora. Evidenza: le versioni del firmware e un piano di sostituzione.

7. Preparare la procedura per gli incidenti. Stabilire chi chiama chi, come scollegare un dispositivo in sicurezza, quali log conservare, quando ritirare gli alimenti dalla vendita e quale autorità informare. In Italia l'ACN chiede di conservare log e configurazioni utili all'analisi e di segnalare subito accessi anomali e altri indicatori di compromissione tramite i canali del CSIRT Italia. Evidenza: una procedura scritta e un elenco di contatti.

Le indicazioni originali: bollettino ACN e richiamo urgente del 4 novembre (italiano), allerta CERT-FR CERTFR-2026-ALE-012 (francese), NCSC-NL (olandese) e NCSC Svezia (svedese).

Come aiuta Formalize

Formalize è una piattaforma per la compliance e la gestione dei rischi. Non monitora i dispositivi e non rileva gli attacchi: questo resta compito degli strumenti di sicurezza di rete e del manutentore dell'impianto. La piattaforma Formalize aiuta nella parte che tende a passare in secondo piano quando queste notizie perdono clamore: fare in modo che ogni verifica abbia un responsabile, una scadenza e delle evidenze, in tutti i punti vendita e con tutti i fornitori.

• Un inventario delle apparecchiature connesse. Registrare i controller di refrigerazione e gli altri dispositivi connessi come asset, collegati ai siti, ai processi e ai fornitori che ne dipendono.

• Accessi dei fornitori sotto controllo. Con la Gestione delle terze parti le aziende inviano questionari ai manutentori degli impianti, raccolgono risposte ed evidenze, monitorano i livelli di servizio concordati e pianificano rivalutazioni annuali.

• Le verifiche delle autorità come controlli. Trasformare le sette verifiche, o le sei azioni dell'ACN, in controlli e task con responsabili, promemoria ed escalation, conservando le evidenze in un unico luogo.

• Valutazione del rischio. Valutare il rischio delle apparecchiature connesse con rischio inerente e rischio residuo, collegandolo agli asset e ai fornitori coinvolti.

• Gestione degli incidenti. Registrare gli incidenti, seguire un flusso di segnalazione e monitorare le scadenze, comprese quelle previste dalla NIS2.

• Audit interni. Usare il modulo Audit per verificare che le misure siano in atto, con rilievi che hanno un responsabile, una data obiettivo e una chiusura approvata in modo indipendente.

• La NIS2, dove si applica. Il NIS2 Compliance Blueprint e i nostri Blueprint nazionali collegano queste attività ai requisiti applicabili.

Questo articolo riflette le informazioni pubbliche disponibili al 6 novembre 2026. Le indagini sono in corso e i dati possono cambiare. Si tratta di informazioni generali, non di consulenza legale. Per la propria situazione specifica è opportuno verificare le norme nazionali applicabili o rivolgersi a un consulente legale.