Un impianto di depurazione delle acque reflue gestito da una società di servizi pubblici con sessanta addetti utilizza un sistema di supervisione e controllo da remoto per pompe, dosaggi di reagenti e paratoie. Un attacco informatico blocca per ore il sistema: gli operatori devono passare in modalità manuale, ma le procedure sono vecchie e alcuni comandi locali non sono mai stati provati.
Il rischio informatico ha ricadute dirette sulla sicurezza dei lavoratori: un dosaggio di reagenti fuori controllo o l'avvio imprevisto di una pompa durante una manutenzione possono causare infortuni. Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, impone a molti soggetti dei settori essenziali, tra cui quello idrico, misure di gestione del rischio informatico e obblighi di notifica degli incidenti. Il nuovo regolamento europeo macchine 2023/1230 include tra i requisiti la protezione contro la corruzione dei sistemi di comando. Il D.Lgs. 81/08 chiede comunque di valutare tutti i rischi connessi all'organizzazione.
L'RSPP lavora con il responsabile informatico per individuare gli scenari in cui un guasto o un attacco può generare pericoli fisici. Propone procedure di funzionamento manuale aggiornate, esercitazioni periodiche e la verifica che i blocchi di sicurezza delle macchine non dipendano dalla rete. Il datore di lavoro integra il rischio informatico nel DVR e nel piano di emergenza. I capi turno sono addestrati a riconoscere comportamenti anomali degli impianti.
Discussione: chi deve partecipare alla valutazione quando un rischio nasce nel mondo digitale ma produce effetti fisici sulle persone?