Product Security

Protecting a smarter tomorrow

Cybersecurity & Product Security

NIS2, Cyber Resilience Act e IEC 62443-4-2: protezione nativa per dispositivi Edge IIoT, telecontrollo e accesso remoto. SENECA integra la sicurezza nel dispositivo, la fa verificare da enti indipendenti e la mantiene lungo tutto il ciclo di vita del prodotto.

Segnala una vulnerabilità Scopri di più

Gateway Edge IIoT SENECA Z-PASS2-RT

IEC 62443-4-2
ASSESSED
2026

Secure • Connected • Responsible

SENECA

SL4

Security Level fino a SL4 per requisito IEC 62443-4-2 – serie PASS / SSD

campagne di penetration test indipendenti (2023 • 2024 • 2026)

24 h

early warning CRA art. 14 via Single Reporting Platform ENISA

punto di contatto unico: security@seneca.it

01 Contesto normativo 02 Approccio SENECA 03 Segnalazioni CVE / PSIRT 04 Dispositivi e soluzioni 05 Compliance e download 06 FAQ

Punto di contatto unico per la sicurezza

Vulnerabilità e incidenti di cybersecurity relativi a prodotti, firmware, software, servizi e sistemi SENECA.

security@seneca.it

Il tuo contributo ci aiuta a rendere i nostri prodotti e gli ecosistemi in cui operano più sicuri.

01 Contesto normativo

Le nuove regole europee portano la cybersecurity dall’IT al campo

Macchine, gateway e controllori fanno ormai parte della superficie d’attacco. Tre livelli normativi, tre destinatari diversi: l’organizzazione, il prodotto e il singolo componente OT.

Organizzazione

NIS2

Dir. (UE) 2022/2555 • D.Lgs. 138/2024

Soggetti essenziali e importanti: gestione del rischio, incident response, continuità operativa.
Notifica degli incidenti significativi entro 24 h / 72 h (in Italia verso ACN / CSIRT Italia).
Supply chain: i fornitori di macchine e automazione devono dimostrare prodotti secure by design.
Sanzioni fino a 10 M€ o 2% del fatturato.

Prodotto

Cyber Resilience Act

Reg. (UE) 2024/2847

Requisiti essenziali per tutti i prodotti con elementi digitali immessi sul mercato UE.
Secure by design e by default, aggiornamenti di sicurezza per l’intero periodo di supporto, SBOM.
Dall’11/09/2026: segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi tramite la Single Reporting Platform ENISA.
Sanzioni fino a 15 M€ o 2,5% del fatturato.

Componente OT

IEC 62443-4-2

Requisiti tecnici per componenti IACS

7 Foundational Requirements: autenticazione, controllo d’uso, integrità, riservatezza, flusso dati, eventi, disponibilità.
Security Level da SL1 a SL4 per ciascun Component Requirement (CR).
Il metodo tecnico con cui dimostrare, a livello di dispositivo, l’allineamento a CRA e NIS2.

RED Delegated Act – EN 18031

Dal 1° agosto 2025 i prodotti radio connessi (Wi-Fi, LTE, ecc.) devono rispettare i requisiti di cybersecurity del Reg. delegato (UE) 2022/30, con le norme armonizzate EN 18031-1/-2/-3. Con la piena applicazione del CRA questi requisiti confluiranno nel nuovo quadro.

Regolamento Macchine (UE) 2023/1230

Dal 20 gennaio 2027 il nuovo Regolamento Macchine introduce requisiti di protezione contro la corruzione e gli accessi non autorizzati che incidono sulla sicurezza: i componenti di automazione integrati nelle macchine diventano parte della valutazione del costruttore.

Le date da conoscere

16/10/2024

NIS2 in vigore in Italia (D.Lgs. 138/2024)

10/12/2024

Entrata in vigore del CRA

01/08/2025

RED Delegated Act obbligatorio (EN 18031)

01/01/2026

NIS2: obbligo di notifica degli incidenti

11/06/2026

CRA: organismi di valutazione della conformità

11/09/2026

CRA art. 14: obblighi di segnalazione operativi

20/01/2027

Applicazione del Regolamento Macchine

11/12/2027

CRA: piena applicazione dei requisiti e marcatura CE

Le norme armonizzate a supporto del CRA sono in fase di pubblicazione: SENECA aggiorna questa pagina man mano che i requisiti di dettaglio diventano vincolanti. Fonti ufficiali: Commissione europea – CRA • Testo del Regolamento (UE) 2024/2847 • ACN – NIS

02 L’approccio SENECA

Security by Design, nel dispositivo

La sicurezza non è un servizio cloud aggiunto a valle: è integrata in hardware, firmware e rete del dispositivo. IEC 62443 è il riferimento di progettazione; i risultati sono verificati da terze parti.

Difesa in profondità

Processo – PSIRT, vulnerability management, CVD

Accesso remoto – VPN cifrata, 2FA, consenso locale

Rete – LAN/WAN separate, segmentazione OT/IT

Dispositivo

secure boot • firmware firmato • storage cifrato

Il modello a 8 pilastri

Protezione di rete Firewall, porte fisse, protezione DoS

Sicurezza dei dati AES-256 in transito e a riposo

Integrità firmware Firma digitale e boot verificato

Segmentazione Reti LAN/WAN e OT/IT separate

Controllo accessi Ruoli, 2FA, anti brute force

Monitoraggio eventi Audit log e syslog verso SIEM

Aggiornamenti sicuri Patch pianificabili dall’utente

Resilienza operativa Backup, restore, continuità

03 Segnalazioni CVE / PSIRT

Segnalazione di incidenti e vulnerabilità

SENECA S.r.l. attribuisce la massima importanza alla sicurezza delle informazioni, alla protezione dei dati, alla continuità dei propri servizi digitali e alla sicurezza dei propri prodotti con elementi digitali, in coerenza con GDPR (UE 2016/679), NIS2 (UE 2022/2555), CRA (UE 2024/2847), ISO/IEC 27001 e gli standard di cybersecurity industriale applicabili.

Cosa puoi segnalare

Firmware / software

Vulnerabilità nel firmware, nel software embedded o nelle applicazioni SENECA.

Web / API

Problemi di sicurezza in interfacce web, API, app e servizi digitali associati ai prodotti.

Componenti di terze parti

Vulnerabilità in librerie, sistemi operativi e componenti open source integrati.

Incidenti

Sfruttamento attivo o sospetto, incidenti che incidono sulla sicurezza dei prodotti o su sistemi, servizi e dati SENECA.

Flusso NIS2 / Incident Management

Incidenti relativi ai sistemi e ai servizi SENECA

Incidenti o violazioni che coinvolgono sistemi informativi, servizi digitali o dati aziendali sono gestiti dal Team di Sicurezza Informatica secondo le procedure interne di Incident Management, inclusa la notifica alle autorità ove prevista dalla NIS2.

Flusso Product Security / CRA

Vulnerabilità e incidenti relativi ai prodotti SENECA

Le segnalazioni su prodotti con elementi digitali seguono il processo di Product Security & Vulnerability Management: valutazione d’impatto, aggiornamenti firmware/software, misure correttive e notifiche previste dal CRA.

Come gestiamo una segnalazione

1. Ricezione

Conferma di presa in carico e identificativo univoco PSIRT-AAAA-NNN.

2. Triage

Classificazione, instradamento NIS2 o CRA e verifica degli obblighi di notifica.

3. Analisi

Riproduzione, valutazione CVSS, prodotti e versioni coinvolti.

4. Remediation

Mitigazioni temporanee, sviluppo e validazione della correzione.

5. Advisory e chiusura

Informazione agli utenti, Security Advisory e chiusura del caso.

Informazioni da includere nella segnalazione

Prodotto, modello e codice prodotto
Versione hardware e versione firmware/software
Descrizione della vulnerabilità o dell’incidente
Modalità di riproduzione o condizioni necessarie
Impatto potenziale
Log, evidenze ed eventuale Proof of Concept
Eventuale sfruttamento osservato
Recapiti del segnalante

Non inviare password, credenziali o dati personali non necessari.

Scrivi a security@seneca.it

Coordinated Vulnerability Disclosure

SENECA applica un approccio di divulgazione coordinata. Dopo la ricezione:

valuta la gravità della vulnerabilità;
identifica prodotti e versioni coinvolti;
definisce eventuali mitigazioni temporanee;
sviluppa e valida la correzione;
informa gli utenti interessati;
pubblica un Security Advisory quando opportuno.

Chiediamo ai segnalanti di non divulgare pubblicamente dettagli sfruttabili prima che sia disponibile una mitigazione o una correzione. Su richiesta, il contributo del ricercatore può essere riconosciuto nell’advisory.

Cyber Resilience Act – art. 14

Segnalazioni alle autorità europee

Dall’11 settembre 2026 SENECA notifica le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei propri prodotti tramite la Single Reporting Platform ENISA, verso il CSIRT coordinatore (in Italia CSIRT Italia / ACN). Il canale di notifica alle autorità non sostituisce security@seneca.it, che resta il riferimento per clienti, utenti, partner e ricercatori.

24 h Early warning all’autorità competente

72 h Notifica con prodotto, impatto e prime misure

14 gg / 1 mese Rapporto finale (vulnerabilità / incidente grave)

Security Advisory SENECA

Gli advisory riportano CVE, punteggio CVSS, prodotti e versioni interessati, versione correttiva e misure consigliate. I nuovi advisory sono identificati come SENECA-SA-AAAA-NNN.

Data	Advisory	CVE	CVSS v3.1	Prodotti interessati	Azione / versione correttiva
15/09/2026	Avviso di sicurezza STRATON Editor 6.71 e precedenti Rif. Security Advisory STRATON ID #321328 (Copadata) – PDF	CVE-2026-84854	7.0 High	Postazioni Windows con SENECA STRATON IDE/PACKAGE 6.71 e dongle Wibu verde (driver WibuKey ≤ 6.71). Controllori e RTU SENECA non esposti.	Aggiornare il driver WibuKey alla versione 6.72 o superiore

Gestione delle segnalazioni

Ogni segnalazione è registrata in modo riservato, classificata, assegnata alle funzioni tecniche competenti e valutata rispetto agli obblighi normativi, con tempestività, proporzionalità e riservatezza. SENECA può contattare il segnalante per ulteriori informazioni. Le informazioni sono condivise solo con le funzioni che ne hanno necessità e, ove previsto dalla legge, con le autorità competenti.

Attività di sicurezza e test

Non sono autorizzate attività che compromettano la disponibilità dei sistemi, modifichino o cancellino dati, accedano a dati personali o riservati non necessari, compromettano sistemi di terzi, attacchi DoS/DDoS, social engineering o qualsiasi azione illecita. In caso di accesso accidentale a dati riservati, interrompere immediatamente l’attività e informare SENECA.

Organizzazione e responsabilità: il modello coinvolge Team di Sicurezza Informatica, Product Security / R&D, IT Manager, Qualità & Compliance, punto di contatto NIS2, funzioni legali e Direzione. Questo modello consente a SENECA di distinguere e gestire correttamente gli incidenti relativi all’infrastruttura aziendale e quelli relativi alla sicurezza dei prodotti.

04 Dispositivi e soluzioni SENECA

Dal componente valutato all’ecosistema di accesso remoto

Edge IIoT

Serie PASS / SSD

Gateway, RTU e HMI Linux-based: acquisizione dati, automazione (SoftPLC Straton IEC 61131-3), energy management e connettività OT/IT in un’unica piattaforma Edge.

Z-PASS1-RT • Z-PASS2-RT • Z-TWS4-RT • R-PASS • SSD (-E / -S)

Identità e accessi

Utenti unici, ruoli Supervisore / Utenti / Gruppi
Autenticazione a 2 fattori (TOTP)
Password policy: 12 caratteri, cambio obbligatorio al primo accesso
Blocco dopo tentativi falliti, session lock

Integrità e crittografia

Secure boot e firmware firmato
Credenziali in partizione cifrata AES-XTS-512 (LUKS)
Certificato X.509 univoco per dispositivo, TLS 1.2+
OpenVPN AES-256-CBC + SHA-256; MQTT over TLS RSA 4096

Rete e resilienza

Porte LAN / WAN fisicamente separate
Blocco dell’accesso remoto tramite ingresso digitale
Audit log, protezione DoS, servizi minimi attivi
Backup / restore della configurazione

IEC 62443-4-2
ASSESSED
2026

Capacità di sicurezza richieste dai Component Requirement IEC 62443-4-2 applicabili, con Security Level specifici per requisito fino a SL4.

Independent Assessment Statement IEC 62443-4-2:2019 rilasciato da Logos Technologies (Cyber Rabbit) – firmware 5.3.0.0, esame del 02/09/2026. Cybersecurity allineata al Cyber Resilience Act.

Scarica lo Statement (PDF)

Scopri i gateway Edge IIoT

Soluzioni estese

SENECA VPN BOX 2

LET’S / VPNBOX2

Server VPN on-premise, fisico o virtual machine
Point-to-point o Single LAN
Client Communicator 5 (Windows) e app VPNBOX2 (Android / iOS)
Penetration test Logos, aprile 2026

Telecontrollo e teleassistenza LET’S

SENECA Z-LTE datalogger 4G

Datalogger

Z-LTE4 conforme IEC 62443-4-2
TLS su modem 4G e LAN, anche senza VPN
Aggiornamento firmware remoto via half-VPN

Datalogger Z-LTE4

SENECA gateway Z-KEY

Gateway e analizzatori

Modbus verso cloud via MQTT(s) e HTTPS
TLS 1.2 e certificati X.509
Isolamento fino a 1500 Vac
Firmware CRA ready nei modelli in uscita

Gateway e networking

SENECA Z-LTE-CEI

Moduli I/O e telecontrollo

Firmware CRA ready (es. Z-6DI-2DO)
Z-LTE-CEI / MY2-CEI: FTPs, conformi RED DA
Integrabili nelle architetture PASS

Sistemi I/O

05 Compliance, servizi e download

Verifiche indipendenti, documentazione e supporto

Verifiche indipendenti

Penetration test periodici secondo MITRE CWE, OWASP WSTG, OSSTMM, CVSS v3.1 e IEC 62443-4-2, eseguiti da Logos Technologies S.r.l. Scarica i certificati.

Documentazione di conformità

IEC 62443-4-2 Compliance Checklist e Security Level Matrix per firmware; guida “NIS2 & CRA – accesso remoto sicuro” per l’ecosistema LET’S, disponibili su richiesta.

Product Security e PSIRT

Punto di contatto unico security@seneca.it, Coordinated Vulnerability Disclosure, Security Advisory e notifiche CRA art. 14 via Single Reporting Platform ENISA (24 h / 72 h).

Supporto a OEM e integratori

Supporto nella compilazione dei questionari cyber dei fornitori NIS2/CRA e nella configurazione sicura. Governance NIS2 registrata presso ACN; servizi cloud su data center ISO/IEC 27001.

Download – certificati e verifiche di sicurezza

Registro delle verifiche indipendenti sui prodotti SENECA. Ogni documento è scaricabile in formato PDF.

02/09/2026

IEC 62443-4-2:2019

Independent Assessment Statement – Serie PASS / SSD

Z-PASS1-RT, Z-PASS2-RT, Z-TWS4-RT, R-PASS, SSD – firmware 5.3.0.0. Valutazione Logos Technologies / Cyber Rabbit.

Scarica PDF

23/04/2026

Penetration test • Superato

Security Test Certificate – VPN-BOX2

Pacchetto VPN-BOX2 con componenti client, web app di gestione, VPN Box Concentrator. MITRE CWE, OWASP WSTG.

Scarica PDF

05/12/2024

Penetration test • Superato

Security Test Certificate – famiglie PASS / SSD

Z-TWS4-RT, Z-PASS1-RT, Z-PASS2-RT, R-PASS, SSD – firmware 3.1.0.0. MITRE CWE, OWASP WSTG, OSSTMM, CVSS v3.1, IEC 62443-4-2.

Scarica PDF

04/04/2023

IoT Cyber Security Test • Superato

Security Test Certificate – Z-PASS2-RT e VPN BOX 2

Firmware 1.0.0.0, VPN Client Communicator 4.0.1.3, VPN BOX 2 2.0.9.0. OWASP, NIST 800-115, IEC 62443.

Scarica PDF

Verifiche eseguite da Logos Technologies S.r.l. (Versivo / Cyber Rabbit). I penetration test sono stati superati con raccomandazioni, recepite nei rilasci firmware successivi. Il dettaglio dei Security Level per singolo requisito è riportato nella IEC 62443-4-2 Compliance Checklist, disponibile su richiesta.

Ti serve documentazione per un audit NIS2 o un questionario fornitori?

Certificati dei test, checklist IEC 62443-4-2 e guide di configurazione sicura sono disponibili per clienti, OEM e integratori.

Richiedi la documentazione

06 FAQ

Domande frequenti

Il Cyber Resilience Act si applica ai prodotti SENECA?

Sì. Il CRA riguarda tutti i prodotti con elementi digitali, cioè hardware e software con firmware o connessione dati, diretta o indiretta, a un dispositivo o a una rete. Rientrano quindi gateway, RTU, datalogger, moduli I/O con interfacce di comunicazione e software SENECA.

Cosa cambia dall’11 settembre 2026 e dall’11 dicembre 2027?

Dall’11/09/2026 i fabbricanti devono notificare vulnerabilità attivamente sfruttate e incidenti gravi tramite la piattaforma ENISA (24 h / 72 h / rapporto finale). Dall’11/12/2027 si applicano tutti i requisiti essenziali: i prodotti immessi sul mercato dovranno essere conformi al CRA e recare la marcatura CE anche per la cybersecurity.

I prodotti già installati devono essere sostituiti?

No. I requisiti di progettazione del CRA valgono per i prodotti immessi sul mercato dall’11/12/2027. Gli obblighi di segnalazione dell’art. 14 si applicano invece anche ai prodotti già in commercio: per questo SENECA gestisce le segnalazioni su tutti i prodotti, compresi quelli installati prima di tale data.

Come segnalo una vulnerabilità o un incidente?

Scrivi a security@seneca.it indicando prodotto, codice, versioni hardware/firmware, descrizione, modalità di riproduzione, impatto ed eventuali evidenze. Riceverai una conferma di presa in carico con un identificativo PSIRT. Non inviare password o credenziali.

Come vengo informato di vulnerabilità e aggiornamenti?

SENECA informa gli utenti interessati e pubblica i Security Advisory in questa pagina e nella Newsroom, con le misure di mitigazione e le versioni correttive. Puoi iscriverti alla newsletter SENECA per ricevere gli aggiornamenti tecnici.

Per quanto tempo SENECA fornisce aggiornamenti di sicurezza?

Il CRA richiede al fabbricante di definire per ogni prodotto un periodo di supporto, di norma non inferiore a 5 anni salvo un uso previsto più breve, durante il quale garantire gli aggiornamenti di sicurezza. SENECA indicherà il periodo di supporto nella documentazione dei prodotti conformi al CRA.

Che cos’è la IEC 62443-4-2 e cosa significa SL4?

È lo standard che definisce i requisiti tecnici di sicurezza per i componenti dei sistemi di automazione industriale (IACS). Ogni requisito può essere soddisfatto a un Security Level da SL1 (protezione da violazioni casuali) a SL4 (protezione da attacchi sofisticati con risorse elevate). Per la serie PASS / SSD la valutazione indipendente documenta, per ciascun requisito applicabile, il Security Level raggiunto, fino a SL4.

In che modo i prodotti SENECA aiutano la conformità NIS2 del mio impianto?

La NIS2 chiede di gestire il rischio anche nella catena di fornitura. Dispositivi con autenticazione forte, cifratura, segmentazione, audit log e aggiornamenti sicuri, insieme a test indipendenti e documentazione di conformità, forniscono le evidenze richieste nei questionari e negli audit dei soggetti essenziali e importanti.

I prodotti radio SENECA sono conformi al RED Delegated Act?

I prodotti radio connessi immessi sul mercato dal 1° agosto 2025 sono soggetti ai requisiti di cybersecurity del Reg. delegato (UE) 2022/30 (EN 18031). Modelli come Z-LTE-CEI e MY2-CEI sono conformi al RED DA; per gli altri modelli fa fede la Dichiarazione UE di conformità del prodotto.

SENECA fornisce una SBOM dei propri prodotti?

Il CRA richiede al fabbricante di redigere una distinta dei componenti software (SBOM) come parte della documentazione tecnica. SENECA sta integrando la SBOM nel processo di rilascio; le informazioni sui componenti di terze parti possono essere fornite su richiesta nell’ambito di audit e questionari di sicurezza.

Come verifico l’autenticità di un firmware SENECA?

Scarica firmware e software solo dal sito ufficiale www.seneca.it o tramite i canali di supporto SENECA. Sui dispositivi della serie PASS / SSD il firmware è firmato digitalmente e il secure boot impedisce l’avvio di immagini non autentiche.

Quali buone pratiche di configurazione consigliate?

Cambia le credenziali al primo accesso, abilita la 2FA dove disponibile, disattiva i servizi e le porte non utilizzati, separa la rete OT da quella IT, accedi da remoto solo tramite VPN cifrata (es. LET’S / VPNBOX2), invia i log a un SIEM, esegui backup della configurazione e installa con regolarità gli aggiornamenti di sicurezza.

Cosa implica il nuovo Regolamento Macchine per chi integra prodotti SENECA?

Dal 20/01/2027 il costruttore della macchina deve considerare la protezione contro la corruzione e gli accessi non autorizzati che possono compromettere la sicurezza. Componenti con requisiti IEC 62443-4-2 documentati, log degli interventi e aggiornamenti tracciabili semplificano questa valutazione.

Posso effettuare test di sicurezza sui prodotti SENECA?

Sì, sui dispositivi di tua proprietà e in ambienti di test, nel rispetto delle regole indicate in questa pagina: nessun impatto su sistemi in produzione o di terzi, nessun DoS sui servizi SENECA, nessuna attività di social engineering. Segnala i risultati a security@seneca.it secondo il principio della divulgazione coordinata.

Il tuo contributo rende i nostri prodotti più sicuri

SENECA S.r.l. • Via Austria, 26 • 35127 Padova (I) • Tel. +39 049 87.05.359

security@seneca.it Privacy policy Whistleblowing

Industrial automation • A safer tomorrow