In breve
Il 3 novembre 2026 l'ACN ha lanciato un'allerta sugli attacchi ai sistemi di controllo e teleassistenza della catena del freddo, con casi anche in Italia.
Il bollettino BL01/261013/CSIRT-ITA chiede di verificare subito l'esposizione su Internet, separare le reti degli impianti e proteggere gli accessi remoti con VPN e MFA.
Vanno controllate configurazioni e temperature reali in modo indipendente, rivisti gli account e gestiti i dispositivi non più supportati.
Le imprese alimentari di distribuzione all'ingrosso, produzione o trasformazione industriale oltre le piccole imprese sono soggetti NIS2 importanti: notifica in 24 ore, 72 ore e un mese.
Nel medio periodo servono valutazione dei fornitori con accesso remoto, ISO/IEC 27001 estesa agli impianti e un piano di continuità per la merce.
Il 3 novembre 2026 l'Agenzia per la Cybersicurezza Nazionale (ACN) ha diffuso un'allerta sulla filiera alimentare e della catena del freddo. Secondo l'ACN, attacchi informatici ai sistemi di controllo e teleassistenza della refrigerazione hanno colpito operatori in diversi Paesi europei, e anche in Italia sono emersi i primi casi. L'Agenzia richiama grande distribuzione, logistica alimentare, refrigerazione industriale e manutentori alle misure urgenti indicate nel suo bollettino tecnico.
In questo articolo trovi cosa ha comunicato l'ACN, con le sue parole, perché questi sistemi sono delicati, la checklist operativa da avviare subito, cosa cambia se la tua azienda rientra tra i soggetti NIS2 e cosa conviene impostare nel medio periodo con ISO/IEC 27001 e la continuità operativa. Non trovi nomi di aziende colpite né di prodotti: non servono per agire e la prudenza, su un'allerta in corso, è d'obbligo.
Cosa ha comunicato l'ACN sulla catena del freddo?
L'ACN ha pubblicato due documenti collegati: un comunicato di allerta del 3 novembre 2026 e un bollettino tecnico di CSIRT Italia con le misure di verifica e mitigazione. Il primo spiega il contesto, il secondo dice cosa fare.
L'allerta del 3 novembre
Secondo il comunicato, attacchi ai sistemi della catena del freddo hanno interessato operatori di diversi Paesi europei, tra cui Belgio, Lussemburgo, Irlanda, Paesi Bassi, Lettonia, Finlandia e Svezia. L'Agenzia richiama anche i precedenti incidenti che hanno coinvolto catene di supermercati in Francia.
Per l'Italia, l'ACN riferisce di aver ricevuto una notifica di incidente NIS da un'azienda della ristorazione collettiva e di aver individuato un altro attacco, non ancora notificato, a un'impresa del settore dei surgelati. L'Agenzia ha rafforzato il monitoraggio del settore, ha annunciato un incontro con le federazioni di categoria e le principali realtà della grande distribuzione e ha messo a disposizione le proprie risorse per aiutare le imprese a migliorare la resilienza.
Il bollettino tecnico per gli operatori
Il bollettino si intitola "Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo" (codice BL01/261013/CSIRT-ITA). È stato pubblicato il 13 ottobre 2026 e riproposto il 3 novembre in versione 1.1, dopo gli eventi rilevati sul territorio nazionale, con criticità indicata come alta.
Secondo l'ACN, negli incidenti in Francia gli attaccanti hanno sfruttato apparati obsoleti, interfacce di amministrazione esposte direttamente su Internet e autenticazione debole. Hanno così modificato da remoto i parametri di funzionamento degli impianti, interrompendo la catena del freddo e causando perdite economiche significative. Il bollettino si rivolge a grande distribuzione organizzata, logistica alimentare, refrigerazione industriale e servizi di manutenzione collegati.
Perché i sistemi della refrigerazione sono un bersaglio delicato?
La catena del freddo unisce due rischi: sicurezza alimentare e continuità operativa. Un attacco a un sistema di controllo non ferma solo un computer, può compromettere la merce conservata.
Quando il danno è fisico, non solo digitale
In un incidente informatico classico il danno riguarda dati e servizi. Qui l'effetto è sulle temperature di celle, banchi frigo e magazzini. Il bollettino ACN lo dice chiaramente: la valutazione della sicurezza alimentare dei prodotti coinvolti spetta al personale responsabile, e il ritorno alla temperatura corretta non dimostra, da solo, che le condizioni di conservazione siano state rispettate.
Per un'azienda della filiera significa che un incidente cyber può trasformarsi in merce da valutare o da smaltire, consegne saltate e clienti da informare. È per questo che l'ACN chiede di coinvolgere anche chi si occupa di qualità e sicurezza alimentare, non solo l'IT.
Teleassistenza e manutentori: la porta più usata
Molti impianti di refrigerazione sono gestiti da remoto da chi li installa o li mantiene. È una comodità operativa, ma ogni collegamento è un punto di accesso da verificare. Il bollettino cita espressamente i servizi di teleassistenza, le connessioni predisposte dai manutentori e i router cellulari tra gli elementi da censire.
Il problema tipico non è la malafede del fornitore. È il collegamento attivato anni fa per un intervento, mai chiuso, con credenziali predefinite e nessuno che ne ricordi l'esistenza. Il caso tipo è un supermercato con il quadro di controllo dei banchi frigo raggiungibile da Internet per comodità del tecnico.
Cosa fare subito: la checklist operativa dell'ACN
L'ACN raccomanda di avviare immediatamente una serie di attività. Le riportiamo raggruppate per area, così puoi assegnarle a persone precise già oggi.
Inventario ed esposizione su Internet
Il primo passo è sapere cosa hai e cosa è raggiungibile. Il bollettino chiede di censire controller, sistemi SCADA, pannelli operatore (HMI), gateway IoT e servizi di accesso remoto, e di individuare tutto ciò che è esposto su Internet, compresi i router cellulari e i collegamenti dei fornitori.
Senza questo elenco ogni altra misura resta parziale. Un foglio condiviso con impianto, sede, chi lo gestisce, come ci si collega e se è raggiungibile dall'esterno è già un buon inizio.
Separazione tra reti e accessi remoti
L'ACN chiede di separare la rete degli impianti (OT) dalla rete aziendale, da quella degli utenti e da quella degli ospiti. Le regole firewall devono negare tutto ciò che non è espressamente consentito; secondo il bollettino le sole VLAN non bastano. Vanno limitate anche le connessioni in uscita e le console di amministrazione vanno collocate su reti di gestione dedicate.
Per l'accesso remoto, il bollettino indica VPN controllate con autenticazione a più fattori, jump host e abilitazioni per singolo utente. Raccomanda inoltre di disattivare HTTP e gli altri protocolli non cifrati.
Account privilegiati e credenziali
Il bollettino chiede di rivedere tutti gli account amministrativi, tecnici e di manutenzione. Quelli non utilizzati vanno disattivati, le credenziali predefinite o deboli vanno cambiate e, se si sospetta un furto di credenziali, vanno revocate sessioni e token attivi.
Un account condiviso "manutenzione" usato da più tecnici, magari di aziende diverse, è esattamente il tipo di situazione da chiudere per prima.
Integrità delle configurazioni e temperature reali
Qui l'ACN chiede un controllo specifico per la refrigerazione: confrontare le configurazioni attuali con quelle autorizzate. Il bollettino cita set point, programmi di sbrinamento, soglie di allarme e destinatari delle notifiche.
Chiede anche di verificare le temperature reali in modo indipendente dalla piattaforma di supervisione, perché se il sistema è manomesso anche ciò che mostra può non essere affidabile. Infine indica di analizzare i log, estendendo la ricerca agli ultimi 90 giorni dove sono conservati, senza però ritardare le verifiche immediate.
Dispositivi non più supportati
Gli apparati che il produttore non aggiorna più vanno individuati e trattati uno per uno. Il bollettino indica di applicare le patch dove compatibili, dismettere ciò che non serve e isolare ciò che deve restare in servizio, pianificandone la sostituzione.
Per le azioni di più lungo respiro l'ACN chiede di formalizzare un piano con responsabili e scadenze. È il punto in cui l'emergenza diventa gestione.
Come prepararsi a ripartire se gli impianti vengono manomessi?
Il bollettino non si ferma alla prevenzione: chiede di essere pronti a reagire. Le misure di resilienza riguardano backup, procedure manuali ed esercitazioni.
Backup delle configurazioni e prova di ripristino
L'ACN chiede di verificare i backup delle configurazioni e dei programmi dei PLC e di testare il ripristino. Un backup mai provato non dice se l'impianto tornerà come prima, né in quanto tempo.
Procedure manuali di emergenza
Il bollettino indica di predisporre procedure manuali di emergenza per mantenere la merce al freddo anche se i sistemi di controllo non sono affidabili. Chi fa cosa, con quali strumenti di misura indipendenti, chi decide lo spostamento della merce: sono decisioni da prendere prima, non durante.
Esercitazione con tutte le funzioni coinvolte
L'ACN raccomanda un'esercitazione di risposta agli incidenti che coinvolga IT, impianti, manutenzione, logistica e sicurezza alimentare. È il modo più rapido per scoprire che il numero del manutentore reperibile di notte non c'è, o che nessuno sa chi può autorizzare lo scollegamento di un impianto.
Il bollettino chiede infine di segnalare tempestivamente le anomalie all'ACN tramite i canali di CSIRT Italia. Precisa che le finestre temporali indicate sono obiettivi operativi raccomandati e non sostituiscono gli obblighi di notifica applicabili.
Cosa cambia se la tua azienda è un soggetto NIS2?
Se rientri tra i soggetti NIS2, le misure del bollettino si collegano a obblighi già in vigore: misure di sicurezza e notifica degli incidenti. Prima però va verificato se rientri.
Chi rientra nel settore alimentare
Il D.Lgs. 138/2024, che recepisce in Italia la direttiva NIS2, inserisce la produzione, trasformazione e distribuzione di alimenti tra gli altri settori critici (Allegato II). Secondo le FAQ dell'ACN, vi rientrano le imprese alimentari che svolgono distribuzione all'ingrosso, produzione industriale o trasformazione industriale, stabilite in Italia e oltre i massimali delle piccole imprese; sono considerate soggetti importanti.
Se la tua azienda opera nella filiera in un altro ruolo, ad esempio trasporto, servizi o manutenzione, verifica la tua posizione sulle FAQ ACN dedicate a settori e tipologie di soggetto. L'allerta riguarda comunque tutti gli operatori del freddo, soggetti NIS2 o no.
Notifica degli incidenti: i tempi
Per i soggetti NIS2, gli incidenti significativi vanno notificati a CSIRT Italia secondo l'articolo 25 del D.Lgs. 138/2024. Un incidente è significativo se ha causato o può causare una grave perturbazione operativa o perdite finanziarie, oppure ripercussioni considerevoli su altre persone.
Fase | Termine | Contenuto essenziale |
|---|---|---|
Pre-notifica | Entro 24 ore dalla conoscenza | Se possibile, se l'incidente può derivare da atti illegittimi o malevoli o avere impatto transfrontaliero |
Notifica | Entro 72 ore dalla conoscenza | Aggiornamento, valutazione iniziale di gravità e impatto, indicatori di compromissione se disponibili |
Relazione finale | Entro un mese dalla notifica | Descrizione, causa probabile, misure di attenuazione, eventuale impatto transfrontaliero |
Una manomissione delle temperature con merce compromessa può rientrare tra gli incidenti significativi: la valutazione va fatta caso per caso, sulla base dei criteri del decreto. Per questo conviene avere criteri e responsabili già definiti, come spieghiamo nella guida sulle prime 72 ore dopo un data breach.
Le misure di sicurezza richieste
L'articolo 24 del decreto elenca gli elementi minimi delle misure. Diversi coincidono con quanto chiede l'ACN per la catena del freddo: continuità operativa con backup, ripristino e gestione delle crisi (lettera c), sicurezza della catena di approvvigionamento (lettera d), controllo degli accessi e gestione degli asset (lettera i), autenticazione a più fattori (lettera l).
L'articolo 23 assegna agli organi di amministrazione il compito di approvare le misure e sovrintenderne l'attuazione. In pratica, la verifica dei sistemi di refrigerazione non è solo un tema tecnico: è una decisione della direzione. Per il quadro completo degli adempimenti, leggi la nostra guida su ISO 27001 e NIS2.
Come gestire i fornitori con accesso remoto?
La gestione dei fornitori è il punto in cui molte aziende sono più scoperte. Il bollettino ACN chiede di riesaminare tutti i collegamenti di teleassistenza e di limitare gli accessi dei fornitori alle sole risorse e ai periodi autorizzati, registrando le attività e revocando le abilitazioni.
Cosa chiedere al manutentore
Per ogni fornitore con accesso agli impianti servono risposte chiare: come si collega, con quali credenziali, chi sono le persone abilitate, se l'accesso è sempre aperto o attivato su richiesta, dove restano i log. Se il contratto non dice nulla, è il momento di mettere le regole per iscritto.
Per i soggetti NIS2, l'articolo 24, comma 3, chiede di considerare le vulnerabilità specifiche di ciascun fornitore e la qualità delle sue pratiche di sicurezza. Anche senza obbligo, è un criterio di buon senso.
Valutare i fornitori in modo strutturato
Un approccio stabile passa da una valutazione periodica dei fornitori critici, con criteri, evidenze e un riesame quando cambia qualcosa. Le norme ISO lo prevedono già: trovi il metodo nella guida sulla valutazione dei fornitori ISO. Il manutentore degli impianti frigoriferi va trattato come un fornitore che ha in mano un pezzo della tua continuità operativa.
Cosa fare nel medio periodo: ISO 27001 e continuità operativa
Le verifiche urgenti chiudono le falle più evidenti. Per evitare che si riaprano serve un sistema che le mantenga nel tempo: inventario aggiornato, accessi riesaminati, fornitori valutati, piani provati.
ISO/IEC 27001 come struttura
Un sistema di gestione per la sicurezza delle informazioni ISO/IEC 27001 copre proprio queste aree: analisi dei rischi, gestione degli asset, controllo degli accessi, rapporti con i fornitori, gestione degli incidenti e continuità. Includere nel perimetro anche gli impianti e le reti OT, non solo l'IT d'ufficio, è la scelta che fa la differenza per chi lavora con il freddo.
Se parti da zero, le misure minime di cybersecurity per le PMI sono la base: autenticazione a più fattori, account nominativi, backup provati, aggiornamenti.
Business continuity per la merce, non solo per i server
Un piano di continuità operativa per un'azienda della filiera del freddo deve rispondere a una domanda concreta: cosa facciamo con la merce se per alcune ore non possiamo fidarci dei sistemi? Le procedure manuali, i contatti di emergenza e i criteri per valutare i prodotti richiesti dall'ACN trovano posto lì.
La guida sul piano di business continuity per le PMI spiega come impostarlo; la norma ISO 22301 è il riferimento se vuoi strutturarlo in un sistema certificabile.
Come Complaion ti aiuta con NIS2 e sicurezza delle informazioni
Complaion accompagna le aziende nell'adeguamento alla NIS2 e nelle certificazioni che lo sostengono. Un Lead Auditor dedicato parte dalla tua situazione: verifica se rientri tra i soggetti NIS2, cosa hai già e cosa manca, e ti propone il percorso più adatto tra adeguamento NIS2, certificazione ISO 27001 e ISO 22301 per la continuità operativa.
La piattaforma raccoglie le evidenze, gestisce politiche e procedure, tiene lo scadenziario di riesami e adempimenti e ti prepara all'audit. Il Lead Auditor conduce anche l'audit interno, così sai se le misure funzionano prima di una verifica esterna. Per la parte tecnica puoi affiancare un penetration test e, per i dati personali, il DPO esternalizzato.
Oltre 1.000 clienti hanno già scelto Complaion. Se vuoi capire da dove partire, contattaci.
Domande frequenti sull'allerta ACN per la catena del freddo
Cosa ha chiesto l'ACN alle aziende della catena del freddo?
L'ACN ha chiesto di verificare con urgenza se i sistemi di controllo e teleassistenza della refrigerazione sono esposti su Internet e, se necessario, isolarli dalle reti aziendali. Raccomanda accessi remoti con VPN e autenticazione a più fattori, la revisione degli account privilegiati e l'aggiornamento o la sostituzione dei dispositivi non più supportati. Il bollettino tecnico aggiunge verifiche sulle configurazioni, backup, procedure di emergenza ed esercitazioni.
A chi si rivolge l'allerta?
Il bollettino si rivolge a grande distribuzione organizzata, logistica alimentare, refrigerazione industriale e servizi di manutenzione collegati. Non riguarda solo i soggetti NIS2: è rivolto a tutti gli operatori che gestiscono o mantengono impianti della catena del freddo.
La mia azienda alimentare è soggetta a NIS2?
Dipende da attività e dimensione. Secondo le FAQ dell'ACN rientrano le imprese alimentari che svolgono distribuzione all'ingrosso, produzione industriale o trasformazione industriale e superano i massimali delle piccole imprese; sono soggetti importanti. Se operi in un altro ruolo della filiera, verifica la tua posizione sulle FAQ ACN o con un supporto qualificato.
Se un impianto viene manomesso, devo notificarlo?
Se sei un soggetto NIS2 e l'incidente è significativo, devi notificarlo a CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Il bollettino ACN invita comunque tutti a segnalare tempestivamente le anomalie tramite i canali di CSIRT Italia. Le indicazioni del bollettino non sostituiscono gli obblighi di notifica applicabili.
Se la temperatura torna normale, la merce è salva?
Non necessariamente. Secondo l'ACN, il ripristino della temperatura non dimostra da solo che le condizioni di conservazione siano state mantenute. La valutazione della sicurezza alimentare dei prodotti coinvolti spetta al personale responsabile.
Cosa devo chiedere ai manutentori degli impianti?
Chiedi come si collegano, con quali credenziali, chi è abilitato e dove restano i log. L'ACN raccomanda di limitare gli accessi dei fornitori alle risorse e ai periodi autorizzati, registrando le attività e revocando le abilitazioni non più necessarie. Metti queste regole per iscritto nel contratto.
ISO 27001 basta per essere conformi a NIS2?
In Italia la certificazione ISO/IEC 27001 non comporta una presunzione di conformità a NIS2. È però una struttura molto utile: analisi dei rischi, gestione di asset, accessi, fornitori e incidenti coprono gran parte delle misure richieste. Conviene usarla come base e verificare la copertura rispetto alle specifiche dell'ACN.
