NIS2 per energia e utility: gli obblighi del settore

La risposta breve: energia e utility sono nel cuore della NIS2. Rientrano tra i settori ad alta criticità dell'Allegato I e sono, tipicamente, soggetti essenziali: la categoria con gli obblighi più stringenti e la vigilanza più intensa. Il perimetro è ampio (dall'elettricità al gas, dall'acqua potabile alle acque reflue) e il nodo tecnico è specifico: la sicurezza dei sistemi OT/SCADA che governano le infrastrutture, con il rischio aggiuntivo degli impatti a cascata.

Il contesto normativo di riferimento: la NIS2 è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l'ACN come autorità nazionale. Per il quadro generale su categorie, obblighi e scadenze puoi partire dalla guida completa alla NIS2 e poi tornare qui per il taglio verticale su energia e utility.

Energia e utility: settori ad alta criticità (Allegato I)

La NIS2 colloca energia e utility nell'Allegato I, il gruppo dei settori "ad alta criticità". Il perimetro è più esteso di quanto si pensi. Sul fronte energia rientrano:

• Energia elettrica: produzione, trasmissione e distribuzione.
• Teleriscaldamento e teleraffrescamento.
• Petrolio: estrazione, raffinazione, trasporto e stoccaggio.
• Gas e idrogeno.
• Operatori di rete, che gestiscono le infrastrutture di trasporto e distribuzione.

Sul fronte utility, sempre in Allegato I, rientrano la fornitura e distribuzione di acqua potabile e la gestione delle acque reflue. Sono servizi la cui interruzione ha effetti immediati e diffusi sulla popolazione e sul territorio, ed è questa la ragione della loro collocazione tra i settori più critici.

Perché "essenziali" e cosa comporta

Data la criticità del servizio erogato, le aziende di energia e utility sono tipicamente soggetti essenziali. La distinzione tra essenziali e importanti, nella NIS2, cambia il regime di vigilanza: i soggetti essenziali sono sottoposti ai controlli più stringenti, di tipo anche preventivo (ispezioni, audit, verifiche mirate), mentre i soggetti importanti hanno una vigilanza prevalentemente ex post.

La regola generale combina settore e dimensione, con la soglia della media impresa (da 50 addetti oppure oltre 10 milioni di euro di fatturato o di bilancio). Ma in un comparto come questo pesano anche i casi in cui un soggetto rientra a prescindere dalla dimensione, per il ruolo che ricopre: pensiamo a chi eroga un servizio essenziale la cui interruzione avrebbe un impatto rilevante. I criteri, con le eccezioni, sono in a chi si applica la NIS2.

In concreto, la vigilanza rafforzata sugli essenziali significa che l'autorità può disporre ispezioni, audit di sicurezza e richieste di prove documentali senza attendere un incidente. Per un'azienda del settore questo cambia la prospettiva: non basta essere in regola nel momento del controllo, occorre poterlo dimostrare con evidenze aggiornate e ordinate nel tempo. È la differenza tra una conformità dichiarata e una conformità che regge alla verifica.

Esempi concreti nel settore

Qualche caso pratico per orientarsi:

• Distributore di energia elettrica su scala regionale. Distribuzione di energia elettrica, Allegato I: soggetto essenziale.
• Gestore di un acquedotto e della rete idrica comunale. Fornitura e distribuzione di acqua potabile: rientra nell'Allegato I, tipicamente come essenziale.
• Società di gestione delle acque reflue. Attività in Allegato I: nel perimetro, con categoria in base a dimensione e ruolo.
• Operatore di teleriscaldamento cittadino. Teleriscaldamento in Allegato I: rientra nel settore energia.
• Fornitore di sistemi SCADA o manutentore con accesso remoto agli impianti. Può non essere un soggetto diretto, ma rientra nella supply chain dei soggetti essenziali, che dovranno valutarne la sicurezza.

La regola resta quella generale: prima il settore, poi la dimensione, con la clausola che alcuni ruoli critici rientrano comunque a prescindere dalle soglie.

Il cuore del problema: i sistemi OT/SCADA

Nel settore energetico e nelle utility la sicurezza informatica non ruota attorno ai soli sistemi gestionali, ma attorno alla tecnologia che governa le infrastrutture fisiche: i sistemi OT (Operational Technology) e in particolare i sistemi SCADA e di controllo industriale (ICS) che regolano centrali, reti, impianti di distribuzione e trattamento.

Questi ambienti hanno caratteristiche che li rendono difficili da mettere in sicurezza con le sole misure pensate per l'IT tradizionale:

• Ciclo di vita lungo: componenti in servizio da decenni, con sistemi operativi e protocolli non più supportati.
• Priorità alla disponibilità: molti sistemi sono nati per garantire continuità di esercizio, non per resistere ad attacchi mirati.
• Aggiornamenti complessi: applicare una patch può richiedere una finestra di fermo impianto difficile da concedere.
• Convergenza IT/OT: la crescente interconnessione tra reti d'ufficio e reti industriali amplia la superficie esposta.

Per questo, in ambito OT, misure come la segmentazione di rete, la visibilità sugli asset e il controllo rigoroso degli accessi remoti dei manutentori valgono più di qualsiasi acquisto isolato.

Un errore frequente è affrontare l'OT con gli stessi strumenti dell'IT d'ufficio. Molte tecnologie di sicurezza pensate per server e portatili non sono adatte a un controllore industriale che non tollera interruzioni né carichi imprevisti. Per questo, in ambiente OT, si privilegia il monitoraggio passivo del traffico e una conoscenza approfondita dei protocolli industriali, invece di interventi invasivi che rischiano di fermare l'impianto. È un lavoro che richiede competenze specifiche, diverse da quelle della sicurezza informatica tradizionale, e questa è una delle ragioni per cui il settore ricorre spesso a un partner dedicato.

Il rischio specifico: gli impatti a cascata

C'è un motivo per cui il legislatore riserva a energia e utility la massima attenzione: queste infrastrutture sono interconnesse e interdipendenti. Un guasto o un attacco su un operatore non resta confinato ai suoi confini aziendali. Un problema alla distribuzione elettrica può fermare impianti di pompaggio dell'acqua; un incidente su una rete di trasporto del gas può ripercuotersi sulla produzione di energia elettrica.

Questo rischio a cascata è ciò che distingue il settore dagli altri: l'incidente di una singola azienda può trasformarsi in un disservizio diffuso, con effetti su cittadini, imprese e altri servizi essenziali. È la ragione per cui, in questo comparto, la continuità operativa non è un obiettivo interno ma una responsabilità verso il sistema. Per capire quanto il tema sia concreto, è utile leggere il quadro degli attacchi cyber in Italia.

Questa interdipendenza spiega anche perché la sicurezza della catena di fornitura, nel settore, sia particolarmente sensibile. Molti operatori condividono fornitori di tecnologia, piattaforme di telecontrollo e servizi di manutenzione: una vulnerabilità in un componente diffuso può riguardare più aziende contemporaneamente. Governare il rischio dei fornitori non è quindi un adempimento formale, ma un modo per ridurre la probabilità che un singolo punto debole si trasformi in un problema di sistema.

Gli obblighi NIS2 per il settore

Per un soggetto energetico o una utility che rientra, gli adempimenti sono quelli comuni a tutti i soggetti NIS2, applicati con il rigore previsto per gli essenziali:

• Registrazione sulla piattaforma dell'ACN, nei tempi previsti.
• Misure di gestione del rischio di sicurezza informatica, estese agli ambienti OT: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura.
• Notifica degli incidenti significativi: preallarme entro 24 ore e notifica entro 72 ore.
• Responsabilità degli organi di amministrazione: il vertice approva le misure, ne risponde e segue una formazione specifica.

Per i soggetti essenziali, in più, la vigilanza può essere esercitata in modo proattivo: significa che l'ordine e la completezza delle evidenze documentali contano quanto le misure stesse. La sequenza per costruirle è descritta in adeguamento NIS2, la roadmap pratica.

Le priorità operative per un'utility

Tradurre gli obblighi in un piano, in questo settore, significa mettere l'OT al centro. Le priorità ricorrenti sono:

1. Inventario e visibilità degli asset OT. Non si mette in sicurezza ciò che non si conosce: il primo passo è sapere quali sistemi, protocolli e connessioni esistono davvero.
2. Segmentazione tra IT e OT. Separare le reti d'ufficio da quelle industriali per contenere la propagazione di un attacco.
3. Rilevamento e risposta continui. Gli impianti lavorano senza sosta: il presidio deve essere in grado di accorgersi e reagire in qualsiasi momento, non solo in orario d'ufficio.
4. Continuità e ripristino. Piani provati per riportare in servizio i sistemi critici nei tempi che il servizio richiede.
5. Sicurezza della catena di fornitura. Fornitori di tecnologia OT e manutentori con accesso remoto sono un vettore di rischio da governare per contratto e nei fatti.

Da dove parte un'azienda del settore

Il percorso ragionevole parte da tre domande, prima di qualsiasi acquisto. Rientro nel perimetro e come soggetto essenziale? Ho una visibilità reale sui miei ambienti OT/SCADA e su come sono connessi all'IT? Dove sono i gap rispetto alle misure richieste, dando priorità alla segmentazione, alla detection e alla continuità?

Rispondere in quest'ordine evita l'errore più comune del settore: trattare l'OT come se fosse IT, oppure rimandarne la messa in sicurezza perché "l'impianto ha sempre funzionato così". La NIS2, per energia e utility, chiede esattamente di superare quella logica.

AmagisTech affianca operatori energetici e utility del mid-market italiano sull'intero percorso: verifica del perimetro, gap assessment esteso agli ambienti OT, presidio di rilevamento e risposta gestito e documentazione pronta per il vertice e per la vigilanza. Un buon primo passo è inquadrare la propria posizione con a chi si applica la NIS2 e poi seguire la roadmap di adeguamento.

In sintesi: per energia e utility la NIS2 è tra le più esigenti, perché parla a settori ad alta criticità e di norma a soggetti essenziali. Il lavoro vero si gioca sugli ambienti OT/SCADA e sulla capacità di evitare che l'incidente di una singola azienda diventi un disservizio a cascata. Chi parte dalla visibilità sull'OT e dalla segmentazione affronta il percorso nell'ordine giusto.