La valutazione dei rischi delle macchine è il punto da cui nasce ogni scelta di sicurezza: definisce i limiti del progetto, individua i pericoli, stima i rischi e consente di stabilire quali misure siano necessarie. La EN ISO 12100 è da oltre quindici anni il riferimento metodologico centrale di questo processo. Non è una semplice guida alla compilazione di un documento: è la logica con cui la sicurezza deve entrare nella progettazione della macchina.
La revisione oggi in corso conserva questa architettura, ma la aggiorna rispetto a macchine connesse, software safety-related, accesso remoto, cybersecurity e sistemi di intelligenza artificiale. Il cambiamento va letto con precisione. Alcune parti introducono contenuti tecnici nuovi; altre riordinano requisiti esistenti, aggiornano la terminologia o integrano rapporti tecnici già pubblicati. Confondere i due piani porta a presentare come “nuovi obblighi” disposizioni che il draft non contiene.
ISO 12100: cos’è e a che punto è la revisione
La ISO 12100 è una norma di tipo A: stabilisce concetti fondamentali, terminologia e principi generali applicabili alla sicurezza delle macchine. La versione vigente resta la ISO 12100:2010. Il documento esaminato per questo articolo è ISO/DIS 12100.3:2026, seconda edizione in progetto, preparata da ISO/TC 199 con il coinvolgimento di CEN/TC 114 nell’ambito dell’Accordo di Vienna.
Alla data del 20 agosto 2026 il progetto risulta ancora “under development”, allo stadio DIS. La pagina ufficiale ISO registra due precedenti consultazioni DIS concluse con la decisione di procedere a un nuovo ballot; il terzo DIS è stato registrato il 1° luglio 2026. Il testo sottoposto a voto indica apertura il 20 luglio e chiusura il 14 settembre 2026. Il periodo britannico di public comment si è chiuso il 15 agosto. Il risultato non è quindi definitivo: commenti e voto possono ancora modificare formulazioni, struttura e contenuti prima dell’eventuale passaggio a FDIS e pubblicazione.
Oggi non esiste ancora una “nuova EN ISO 12100” pubblicata da applicare in sostituzione dell’edizione 2010. Il DIS è però sufficientemente avanzato per capire la direzione tecnica della revisione e per verificare se i processi aziendali di analisi dei rischi sono già adeguati ai temi che stanno entrando nel riferimento di base.
Il ruolo della valutazione dei rischi nella sicurezza delle macchine
Il draft mantiene la sequenza essenziale della ISO 12100 versione 2010; il processo parte dalla determinazione dei limiti della macchina, compresi uso previsto e uso scorretto ragionevolmente prevedibile; prosegue con l’identificazione dei pericoli e delle situazioni pericolose, la stima del rischio e la sua valutazione; si completa con l’eliminazione del pericolo o la riduzione del rischio fino a un livello adeguato. Le prime quattro attività costituiscono la valutazione dei rischi; la quinta riguarda la riduzione del rischio.
Un passaggio merita attenzione: il testo invita a concentrare le risorse sulla riduzione del rischio, anziché cercare una precisione assoluta nella sua stima. Questo non riduce il rigore richiesto. Significa che matrici, punteggi e indici sono strumenti decisionali, non il fine del lavoro. Un’analisi formalmente raffinata ma incapace di orientare scelte progettuali, protezioni e informazioni per l’uso rimane debole.
Le novità tecniche reali della nuova ISO 12100
Il foreword del DIS elenca esplicitamente le principali modifiche; il nucleo più innovativo riguarda l’estensione del processo ai fattori digitali che possono avere conseguenze sulla sicurezza, esattamente in accordo con il nuovo Regolamento 2023/1230 sulle macchine. Il campo di applicazione cita le implicazioni dell’intelligenza artificiale e del macchine learning, la vulnerabilità alle minacce informatiche e alla corruzione dei dati. La revisione include inoltre gli aspetti igienici della sicurezza delle macchine.
Limiti della macchina, AI e cybersecurity
La determinazione dei limiti non si ferma più a uso, spazio, tempo e ambiente, infatti il punto 5.3.2 aggiunge, quando pertinenti, le limitazioni degli attributi di cybersecurity della macchina, come accesso degli utenti e flussi di dati, e i limiti di impiego dell’intelligenza artificiale, compresa la tipologia dei dati utilizzati per l’addestramento. Per una macchina con funzioni adattive, non basta quindi descrivere che cosa fa: occorre stabilire entro quale dominio può operare in modo attendibile e quali condizioni la portano fuori da quel dominio.
Nell’identificazione dei pericoli il draft compie una distinzione importante: una violazione di cybersecurity non viene qualificata come un nuovo pericolo in sé, ma come possibile causa di un evento pericoloso. L’analisi deve quindi collegare la minaccia digitale all’effetto fisico sulla macchina: avviamento inatteso, perdita di arresto, modifica di velocità o forza, inibizione di una funzione di sicurezza, movimento oltre i limiti o comportamento non previsto.
Tra i possibili stati di malfunzionamento compaiono il comportamento auto-evolutivo non intenzionale dell’AI e la violazione della cybersecurity; tra le attività da considerare lungo il ciclo di vita viene inoltre inserito l’accesso remoto. Questi punti ampliano concretamente la mappa di compiti, stati e cause che deve alimentare l’analisi dei rischi.
Software, controllo indiretto e aggiornamenti remoti
La parte sui sistemi di comando viene ricollocata nel nuovo 6.3.5 e ampliata; il testo distingue cause legate al sistema di comando, al software e all’AI. Per il software considera errori sistematici, inserimento o cancellazione di segnali e dati, ripetizioni o alterazioni della sequenza, corruzione dei dati e perdita di monitoraggio o diagnostica, mentre per l’AI richiama comportamenti auto-evolutivi non intenzionali e guasti sistematici nell’interfaccia tra AI e persona.
Software embedded e applicativo devono soddisfare la specifica prestazionale delle funzioni di sicurezza; devono essere valutate la possibilità di riprogrammazione da parte dell’utilizzatore, la protezione contro modifiche non autorizzate e la necessità di aggiornare parti safety-related di software e dati. Il progetto rinvia, secondo il caso, a ISO 13849-1, IEC 62061 o IEC 61508-3: se la ISO 12100 definisce il problema nel processo globale, le norme di dettaglio disciplinano progettazione e validazione delle funzioni di sicurezza.
Il nuovo paragrafo 6.3.5.11 disciplina il controllo indiretto, cioè il comando da una posizione senza visione diretta delle parti controllate. Prevede, tra gli altri aspetti, attivazione controllata della modalità, un solo punto di comando, priorità del controllo locale e delle funzioni di sicurezza, indicazione dello stato di controllo indiretto, prevenzione o rilevamento dell’accesso alle zone pericolose e istruzioni specifiche. Se la videosorveglianza viene usata come misura di riduzione del rischio, il draft la considera una funzione di sicurezza e richiama guasti quali perdita del segnale, immagine congelata e ritardo.
Il nuovo 6.3.5.12 tratta gli aggiornamenti software da remoto. Un aggiornamento non deve generare una situazione pericolosa; se può incidere sulla sicurezza deve essere validato. Il testo richiede misure attive durante l’aggiornamento, gestione sicura della perdita di connessione, conferma dell’accettabilità delle modifiche ai parametri safety-related, stato sicuro delle parti non necessarie, informazione preventiva delle persone coinvolte e aggiornamento delle informazioni per l’uso.
Il nuovo paragrafo 6.3.5.17 introduce la protezione contro attacchi e corruzione quando possono compromettere funzioni di sicurezza. La difesa è impostata a strati: controllo degli accessi, isolamento delle reti, protezione delle porte, autenticazione, cifratura, registrazione degli eventi e timeout delle sessioni (tutti esempi che sono riportati nel draft).
Protezioni, accesso dell’intero corpo e igiene
Il progetto aggiorna la selezione e l’applicazione di ripari e dispositivi di protezione. Rafforza il collegamento con la possibilità di elusione, la manutenibilità delle misure e le situazioni in cui una persona può trovarsi completamente all’interno dello spazio protetto. Sono introdotti rinvii alle norme ISO 13855, ISO 13857 e al progetto ISO 12895-2 per l’accesso dell’intero corpo. Sono aggiornate anche varie prescrizioni relative ai ripari, ai dispositivi elettrosensibili e alle funzioni di comando associate.
Il nuovo paragrafo 6.2.14 introduce gli aspetti igienici: per applicazioni con requisiti di igiene e pulibilità, come alimentare e farmaceutico, macchine e attrezzature devono essere progettate per consentire la pulizia e, quando necessario, la disinfezione rinviando per i dettagli alle norme ISO 14159, ISO 21469 ed EN 1672-2.
La sezione sulla protezione dalle emissioni viene invece accorciata e mantenuta sui principi generali, con maggiore affidamento sulle norme specifiche. Questo intervento non va descritto come un indebolimento automatico dei requisiti: è soprattutto una redistribuzione del livello di dettaglio tra norma di tipo A e norme di tipo B o C.
Il rapporto con il Regolamento Macchine 2023/1230
Il Regolamento (UE) 2023/1230 si applicherà in via generale dal 20 gennaio 2027 e sostituirà la Direttiva 2006/42/CE. È una fonte legislativa obbligatoria; la norma ISO 12100 resta una norma tecnica volontaria; il loro rapporto è quindi funzionale ma non paritario: la norma fornisce il metodo per progettare e documentare la riduzione del rischio, mentre il Regolamento stabilisce i requisiti giuridici da rispettare.
Il collegamento è particolarmente evidente sui temi digitali, infatti il Regolamento tratta la protezione contro la corruzione, l’affidabilità dei sistemi di comando e, per determinate categorie, componenti o sistemi con comportamento pienamente o parzialmente auto-evolutivo basato su macchine learning che assicurano funzioni di sicurezza. Il DIS traduce questi temi nel linguaggio operativo dell’analisi dei rischi: limiti, stati prevedibili, eventi pericolosi, misure di protezione, verifica e validazione.
Gli allegati europei del draft sono informativi e vanno interpretati con cautela. L’Annex ZA dichiara espressamente che l’applicazione della norma, da sola, non è sufficiente a dimostrare la conformità a tutti i requisiti essenziali di salute e sicurezza del Regolamento e non conferisce una presunzione completa di conformità. L’Annex ZB chiarisce il ruolo della metodologia nella scelta e nell’applicazione delle norme armonizzate di tipo C; segnala anche che, nel contesto UE, il termine “tolerable risk” deve essere letto in rapporto al rischio residuo. Entrambi gli allegati sono dichiarati esclusi dalla pubblicazione ISO finale perché appartengono al livello EN.
L’integrazione degli ISO/TR 22100-1 e ISO/TR 22100-2
La futura seconda edizione è destinata a sostituire non soltanto la ISO 12100:2010, ma anche i rapporti tecnici ISO/TR 22100-1:2021 e ISO/TR 22100-2:2013. I loro contenuti confluiscono rispettivamente nei nuovi Allegati C e D. L’operazione rende più autosufficiente il documento e riduce la frammentazione tra norma di base e rapporti tecnici.
L’Allegato C spiega come usare insieme norme di tipo A, B e C. Una norma di tipo C deve definire il proprio campo, i pericoli significativi, le misure di riduzione e le modalità di verifica. Quando una norma di tipo C applicabile si discosta da una prescrizione di tipo B, prevale per la macchina coperta. Il punto decisivo resta però la corrispondenza tra campo e pericoli della norma di prodotto e la macchina reale: una norma C non sostituisce la valutazione dei rischi per ciò che non copre.
L’Allegato D chiarisce la relazione con ISO 13849-1. La valutazione globale secondo ISO 12100 fornisce limiti, situazione pericolosa, gravità, esposizione, probabilità dell’evento e possibilità di evitare il danno, oltre alla specifica funzionale della misura. Queste informazioni alimentano la scelta del PLr e la progettazione delle parti del sistema di comando legate alla sicurezza. Gli esiti di verifica e validazione secondo ISO 13849-1 e ISO 13849-2 rientrano poi nell’analisi globale.
Il draft formula un chiarimento molto utile: il grafico dell’Allegato A di ISO 13849-1 serve a selezionare il PLr di una funzione di sicurezza e non costituisce un metodo di stima del rischio complessivo della macchina. Se l’analisi ISO 12100 è ben strutturata, non occorre una seconda valutazione dei rischi separata per applicare ISO 13849-1; occorre invece una mappatura coerente dei dati e una chiara tracciabilità tra pericolo, funzione di sicurezza, PLr, architettura e validazione.
Come strutturare la nuova analisi dei rischi
Il DIS non impone un nuovo modulo standard né una matrice di rischio obbligatoria. La struttura seguente è una traduzione operativa dei requisiti e delle novità del progetto, non un elenco testuale prescritto dalla norma. Serve a costruire un documento che rimanga verificabile quando la macchina cambia nel tempo.
- Identificare senza ambiguità macchina, configurazione, revisioni hardware e software, destinazione d’uso e confini del sistema analizzato.
- Determinare i limiti di uso, spazio, tempo e ambiente, includendo utenti, modalità operative, manutenzione, accessi remoti, attributi di cybersecurity e dominio di impiego dell’AI quando pertinenti.
- Mappare fasi del ciclo di vita, compiti, persone esposte e stati della macchina. Per ogni scenario distinguere pericolo, situazione pericolosa ed evento pericoloso, collegando le cause digitali alle possibili conseguenze fisiche.
- Stimare e valutare il rischio dichiarando metodo, ipotesi, fonti, incertezze ed efficacia delle misure già presenti. La stima deve sostenere una decisione, non produrre soltanto un punteggio.
- Applicare il metodo in tre fasi: progettazione intrinsecamente sicura; ripari, dispositivi e altre misure tecniche; informazioni per l’uso. Verificare dopo ogni intervento nuovi pericoli, interferenze e possibilità di elusione.
- Per le funzioni di comando legate alla sicurezza, definire requisiti funzionali, PLr o SIL, condizioni ambientali, tempi di reazione, modi di funzionamento e criteri di validazione; collegare gli esiti alla situazione pericolosa originaria.
- Gestire modifiche e aggiornamenti con versioni, autorizzazioni, prove, registri e criteri di rollback. Una variazione di software, dati, parametri o modelli deve attivare il riesame quando può cambiare limiti, funzioni o rischi.
- Documentare rischi residui e informazioni per l’uso, mantenendo coerenza con manuale, schemi, dichiarazioni, fascicolo tecnico e configurazione effettivamente immessa sul mercato.
La documentazione richiesta dal punto 7 deve dimostrare il procedimento seguito e i risultati ottenuti. Deve riportare macchina e limiti, ipotesi, pericoli, situazioni ed eventi considerati, dati e relative fonti, incertezze, obiettivi e misure di riduzione, rischi residui ed esito finale. Il draft non richiede di consegnare automaticamente la valutazione dei rischi insieme alla macchina: chiarisce però che il fabbricante deve possedere evidenze sufficienti a dimostrare la correttezza del processo.
Come Waves Engineering supporta i fabbricanti
Waves Engineering affianca costruttori, integratori e uffici tecnici nella valutazione dei rischi e nella riduzione del rischio lungo l’intero progetto. L’attività comprende analisi ISO 12100, verifica delle funzioni di sicurezza, calcolo del Performance Level, revisione di schemi elettrici e logiche software, validazione, fascicolo tecnico, manuali e supporto alla conformità secondo il Regolamento (UE) 2023/1230.
Sulle macchine connesse o aggiornabili, l’analisi collega cybersecurity e software safety-related agli effetti fisici realmente possibili. Per sistemi con AI o comportamento adattivo, vengono definiti limiti, dati, condizioni operative, criteri di accettazione e necessità di riesame. L’obiettivo non è aggiungere documenti, ma rendere dimostrabile la coerenza tra rischi, progetto e prove.
Stai sviluppando una nuova macchina o devi aggiornare una valutazione dei rischi esistente?
Waves Engineering può supportarti nell’impostazione dell’analisi, delle misure di riduzione e della documentazione tecnica in coerenza con ISO 12100 e Regolamento Macchine 2023/1230.
FAQ
La nuova ISO 12100 è già in vigore?
No. Alla data del 20 agosto 2026 ISO/DIS 12100.3 è ancora in fase DIS e il ballot termina il 14 settembre 2026. La versione vigente resta ISO 12100:2010.
Quando sarà pubblicata la nuova EN ISO 12100?
Non è possibile indicare una data certa dal DIS. Dopo il ballot il progetto potrà passare a FDIS e pubblicazione oppure subire ulteriori revisioni. Anche l’adozione europea e l’eventuale armonizzazione seguono passaggi distinti.
Qual è la differenza tra analisi dei rischi e valutazione dei rischi?
L’analisi comprende determinazione dei limiti, identificazione dei pericoli e stima del rischio. La valutazione dei rischi comprende l’analisi e la successiva decisione sulla necessità di ridurre ulteriormente il rischio.
La cybersecurity deve entrare nella valutazione dei rischi macchina?
Sì, quando un accesso, un’alterazione o una perdita di comunicazione può compromettere una funzione e generare una situazione pericolosa. Il draft considera la violazione informatica una possibile causa di eventi pericolosi, non un pericolo fisico autonomo.
La nuova ISO 12100 impone una matrice di rischio?
No. Il progetto non prescrive una matrice unica. Richiede un processo sistematico, motivato e documentato; il metodo scelto deve essere adeguato alla macchina e utile a decidere le misure di riduzione.
Il calcolo del PL sostituisce la valutazione dei rischi?
No. ISO 13849-1 serve a progettare e valutare le parti del sistema di comando legate alla sicurezza. Il suo grafico seleziona il PLr della funzione, ma non sostituisce la valutazione complessiva secondo ISO 12100.
Una norma di tipo C elimina la necessità dell’analisi dei rischi?
No. Una norma C applicabile può definire misure specifiche e prevalere su una norma B per la macchina coperta. Il fabbricante deve comunque verificare campo di applicazione, pericoli trattati, configurazione reale e rischi non coperti.
La ISO 12100 da sola dà presunzione di conformità al Regolamento 2023/1230?
No. Lo stesso Annex ZA del draft precisa che la norma fornisce un quadro essenziale, ma da sola non copre tutti i requisiti di salute e sicurezza e non conferisce una presunzione completa di conformità.