NIS2 per energia e utility

La NIS2 nel settore energia e utility

Energia, acqua potabile e acque reflue sono nell’Allegato I del D.Lgs. 138/2024, tra i settori ad alta criticità. La gestione dei rifiuti è nell’Allegato II.

Si applica a soggetti pubblici e privati sopra le soglie di media impresa: almeno 50 dipendenti, oppure fatturato o bilancio oltre 10 milioni di euro, calcolati sul gruppo. Di norma le grandi utility dell’Allegato I sono soggetti essenziali, le medie e le imprese dei rifiuti sono di norma soggetti importanti. I soggetti critici individuati ai sensi della Direttiva CER e i soggetti unici fornitori di un servizio essenziale rientrano indipendentemente dalle dimensioni.

Multiutility, società partecipate e consorzi hanno spesso strutture societarie articolate: la verifica del perimetro parte dall’organigramma di gruppo.

I rischi tipici

• Telecontrollo: sistemi SCADA e postazioni di centrale che governano impianti remoti, con collegamenti spesso nati prima delle esigenze di sicurezza.
• Periferiche sul territorio: RTU, PLC e router in cabine, stazioni di sollevamento e pozzi, raggiungibili fisicamente da chiunque superi una recinzione.
• Accessi remoti: reperibili, ditte di manutenzione e fornitori del sistema di telecontrollo che si collegano da fuori.
• Continuità del servizio: un incidente informatico può tradursi in interruzione dell’erogazione o in perdita di controllo su un processo di trattamento.
• Sistemi commerciali: fatturazione, sportelli online e dati dei clienti, esposti a ransomware e furto di dati.
• Eventi ambientali: allagamenti, incendi e interruzioni di corrente su siti non presidiati.

Cosa chiede la norma in pratica

Per una utility le misure dell’art. 24 riguardano tanto la sede quanto l’ultima cabina:

• inventario degli asset di campo e dei collegamenti di telecontrollo;
• segmentazione tra rete di telecontrollo e rete aziendale, con punti di accesso controllati;
• autenticazione a più fattori e comunicazioni protette per gli accessi remoti di reperibili e manutentori;
• continuità operativa che preveda la conduzione manuale degli impianti se la centrale non è disponibile;
• sicurezza dei fornitori del sistema di telecontrollo e delle ditte di manutenzione.

Gli incidenti significativi seguono i tempi verso il CSIRT Italia: 24 ore, 72 ore, un mese. Gli organi di amministrazione approvano le misure e ne rispondono; per i soggetti essenziali, in caso di inadempienze persistenti, è possibile anche la sospensione temporanea dalle funzioni dirigenziali. Vedi sanzioni e responsabilità.

Sicurezza fisica e AI nel settore

Nelle utility sicurezza fisica e informatica coincidono: chi entra in una cabina può collegarsi alla rete di telecontrollo. L’approccio multirischio della NIS2 chiede di considerare furti, incendi, allagamenti, interruzioni di corrente e accessi non autorizzati. In pratica: chiusure e allarmi sugli armadi di campo, gestione delle chiavi, videosorveglianza dei siti principali, alimentazione di continuità per le periferiche. Vedi sicurezza fisica.

L’AI Act considera ad alto rischio, ad esempio, i sistemi di AI usati nelle infrastrutture critiche e nell’accesso a servizi essenziali. Se valuti AI per la previsione dei consumi, la ricerca perdite o la gestione delle reti, conviene inquadrare subito il livello di rischio. L’alfabetizzazione AI è già obbligatoria dal 2 febbraio 2025. Vedi AI Act e Legge 132/2025.

Le utility conoscono bene furti di rame e vandalismi sugli impianti. La NIS2 chiede di metterli nella stessa analisi dei rischi degli attacchi informatici: un armadio forzato in una stazione di sollevamento è anche un possibile punto di ingresso nella rete di telecontrollo. Gli allarmi di intrusione dei siti dovrebbero arrivare alla vigilanza e a chi sorveglia la rete.

Per i modelli AI applicati alle reti, chiediti chi è il fornitore, dove vengono trattati i dati di esercizio, chi può modificare il modello e cosa succede se smette di funzionare. L’AI Act chiede ai sistemi ad alto rischio accuratezza, robustezza e sicurezza; a chi li usa, sorveglianza umana e conservazione dei log.

Uno scenario tipico

1. 01
   Sabato, ore 15

   Il portatile di un fornitore del telecontrollo, collegato in VPN per un intervento programmato, è infetto. Attraverso la VPN il malware raggiunge le postazioni di centrale.

2. 02
   Ore 16

   Gli operatori perdono la visibilità su una parte degli impianti. Partono le squadre per la conduzione manuale, ma l’elenco dei siti da presidiare e le istruzioni non sono aggiornati.

3. 03
   Entro 24 ore

   Con il servizio a rischio, va valutata la significatività e inviata la pre-notifica al CSIRT Italia. Il vertice va informato: risponde dell’attuazione delle misure.

4. 04
   Entro 72 ore

   Notifica con valutazione iniziale, gravità, impatto e indicatori di compromissione.

5. 05
   Entro un mese

   Relazione finale, oppure relazione mensile se l’incidente è ancora in corso.

Cosa avrebbe ridotto l’impatto: accessi remoti dei fornitori attivati solo su richiesta e da postazioni controllate; separazione tra VPN dei fornitori e rete di centrale; istruzioni di conduzione manuale provate; esercitazioni congiunte tra centrale, squadre e IT.

Chi coinvolgere in azienda

• Organi di amministrazione: approvano le misure, seguono la formazione specifica, vengono informati sugli incidenti.
• Direzione tecnica ed esercizio: conoscono impianti, criticità e modalità di conduzione manuale.
• Responsabile del telecontrollo: architettura, collegamenti, fornitori del sistema.
• IT: sistemi aziendali e commerciali, utenze, backup.
• Squadre operative e reperibili: accedono ai siti e intervengono da remoto.
• Acquisti e appalti: contratti di manutenzione e fornitura, dove inserire i requisiti di sicurezza.
• Servizi generali e security: chiavi, allarmi, vigilanza dei siti.

IT e telecontrollo hanno spesso storie e linguaggi diversi. Un CISO esterno può fare da raccordo e portare al vertice un quadro unico.

Da dove partire

1. 01
   Perimetro di gruppo

   Quali società, quali servizi, quale categoria: essenziale o importante.

2. 02
   Mappa del territorio

   Siti, periferiche, collegamenti e accessi remoti, con il loro livello di presidio.

3. 03
   Gap analysis

   Misure di base ACN applicate a sede, centrale di telecontrollo e impianti.

4. 04
   Piano approvato dal vertice

   Priorità su segmentazione, accessi remoti e sicurezza fisica dei siti.

5. 05
   Esercitazione

   Perdita del telecontrollo: conduzione manuale, comunicazioni e notifica al CSIRT.

Domande frequenti