NIS2 per energia e utility: gli obblighi del settore

La risposta breve: energia e utility sono nel cuore della NIS2. Rientrano tra i settori ad alta criticità dell'Allegato I e, se superano i massimali della media impresa, sono soggetti essenziali: la categoria con gli obblighi più stringenti e la vigilanza più intensa. Le altre medie imprese del settore sono soggetti importanti (art. 6, comma 3). Il perimetro è ampio (dall'elettricità al gas, dall'acqua potabile alle acque reflue) e il nodo tecnico è specifico: la sicurezza dei sistemi OT/SCADA che governano le infrastrutture, con il rischio aggiuntivo degli impatti a cascata.

Il contesto normativo di riferimento: la NIS2 è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l'ACN come autorità nazionale. Per il quadro generale su categorie, obblighi e scadenze puoi partire dalla guida completa alla NIS2 e poi tornare qui per il taglio verticale su energia e utility.

Energia e utility: settori ad alta criticità (Allegato I)

La NIS2 colloca energia e utility nell'Allegato I, il gruppo dei settori che l'art. 3, comma 1, del D.Lgs. 138/2024 definisce altamente critici. Il perimetro è più esteso di quanto si pensi. Sul fronte energia rientrano:

• Energia elettrica: fornitura, distribuzione, trasmissione, produzione, gestione del mercato elettrico, servizi di aggregazione, gestione della domanda o stoccaggio, punti di ricarica.
• Teleriscaldamento e teleraffrescamento.
• Petrolio: oleodotti, impianti di produzione, raffinazione, trattamento, deposito e trasporto, organismi centrali di stoccaggio.
• Gas e idrogeno.

I gestori delle reti (trasmissione e distribuzione per l'energia elettrica, trasporto e distribuzione per il gas) non sono un sottosettore a parte: l'Allegato I li elenca dentro i rispettivi sottosettori.

Sul fronte utility, sempre in Allegato I, rientrano la fornitura e distribuzione di acqua potabile e la gestione delle acque reflue. Sono servizi la cui interruzione ha effetti immediati e diffusi sulla popolazione e sul territorio, ed è questa la ragione della loro collocazione tra i settori più critici. Nell'Allegato I sono però due voci distinte e non un unico settore idrico, ciascuna con la propria clausola di esclusione: chi rientra, come si classifica e da dove si parte sull'OT è in NIS2 acqua potabile e acque reflue.

Perché "essenziali" e cosa comporta

Stare in un settore dell'Allegato I non basta a essere un soggetto essenziale: lo decide la dimensione. L'art. 6, comma 1, lettera a), del D.Lgs. 138/2024 considera essenziali i soggetti dell'Allegato I che superano i massimali della media impresa, cioè con almeno 250 addetti, oppure con fatturato annuo oltre 50 milioni di euro e totale di bilancio annuo oltre 43 milioni. Sono essenziali anche, a prescindere dalla dimensione, i soggetti identificati come critici ai sensi della normativa di recepimento della direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici (lettera b). Le altre medie imprese del settore sono soggetti importanti (art. 6, comma 3). La distinzione tra essenziali e importanti, nella NIS2, cambia il regime di vigilanza: i soggetti essenziali sono sottoposti ai controlli più stringenti, di tipo anche preventivo (ispezioni, audit, verifiche mirate), mentre i soggetti importanti hanno una vigilanza prevalentemente ex post.

La regola generale combina settore e dimensione. La soglia d'ingresso è quella della media impresa: si è dentro con almeno 50 addetti, oppure con fatturato annuo e totale di bilancio annuo entrambi superiori a 10 milioni di euro (art. 3, comma 2). Ma in un comparto come questo pesano anche i casi in cui un soggetto rientra a prescindere dalla dimensione, per il ruolo che ricopre: pensiamo a chi eroga un servizio essenziale la cui interruzione avrebbe un impatto rilevante. I criteri, con le eccezioni, sono in a chi si applica la NIS2.

In concreto, la vigilanza rafforzata sugli essenziali significa che l'autorità può disporre ispezioni, audit di sicurezza e richieste di prove documentali senza attendere un incidente. Per un'azienda del settore questo cambia la prospettiva: non basta essere in regola nel momento del controllo, occorre poterlo dimostrare con evidenze aggiornate e ordinate nel tempo. È la differenza tra una conformità dichiarata e una conformità che regge alla verifica.

Esempi concreti nel settore

Qualche caso pratico per orientarsi:

• Distributore di energia elettrica su scala regionale. Gestore del sistema di distribuzione, Allegato I: essenziale se supera i massimali della media impresa o se è identificato come soggetto critico, altrimenti importante.
• Gestore di un acquedotto e della rete idrica comunale. Fornitura e distribuzione di acqua potabile: rientra nell'Allegato I, come essenziale o importante secondo la dimensione.
• Società di gestione delle acque reflue. Attività in Allegato I: nel perimetro, con categoria in base a dimensione e ruolo.
• Operatore di teleriscaldamento cittadino. Teleriscaldamento in Allegato I: rientra nel settore energia.
• Fornitore di sistemi SCADA o manutentore con accesso remoto agli impianti. Può non essere un soggetto diretto, ma rientra nella supply chain dei soggetti essenziali, che dovranno valutarne la sicurezza.

La regola resta quella generale: prima il settore, poi la dimensione, con la clausola che alcuni ruoli critici rientrano comunque a prescindere dalle soglie.

Il cuore del problema: i sistemi OT/SCADA

Nel settore energetico e nelle utility la sicurezza informatica non ruota attorno ai soli sistemi gestionali, ma attorno alla tecnologia che governa le infrastrutture fisiche: i sistemi OT (Operational Technology) e in particolare i sistemi SCADA e di controllo industriale (ICS) che regolano centrali, reti, impianti di distribuzione e trattamento.

Questi ambienti hanno caratteristiche che li rendono difficili da mettere in sicurezza con le sole misure pensate per l'IT tradizionale:

• Ciclo di vita lungo: componenti in servizio da decenni, con sistemi operativi e protocolli non più supportati.
• Priorità alla disponibilità: molti sistemi sono nati per garantire continuità di esercizio, non per resistere ad attacchi mirati.
• Aggiornamenti complessi: applicare una patch può richiedere una finestra di fermo impianto difficile da concedere.
• Convergenza IT/OT: la crescente interconnessione tra reti d'ufficio e reti industriali amplia la superficie esposta.

Per questo, in ambito OT, misure come la segmentazione di rete, la visibilità sugli asset e il controllo rigoroso degli accessi remoti dei manutentori valgono più di qualsiasi acquisto isolato.

Un errore frequente è affrontare l'OT con gli stessi strumenti dell'IT d'ufficio. Molte tecnologie di sicurezza pensate per server e portatili non sono adatte a un controllore industriale che non tollera interruzioni né carichi imprevisti. Per questo, in ambiente OT, si privilegia il monitoraggio passivo del traffico e una conoscenza approfondita dei protocolli industriali, invece di interventi invasivi che rischiano di fermare l'impianto. È un lavoro che richiede competenze specifiche, diverse da quelle della sicurezza informatica tradizionale, e questa è una delle ragioni per cui il settore ricorre spesso a un partner dedicato.

Il rischio specifico: gli impatti a cascata

C'è un motivo per cui il legislatore riserva a energia e utility la massima attenzione: queste infrastrutture sono interconnesse e interdipendenti. Un guasto o un attacco su un operatore non resta confinato ai suoi confini aziendali. Un problema alla distribuzione elettrica può fermare impianti di pompaggio dell'acqua; un incidente su una rete di trasporto del gas può ripercuotersi sulla produzione di energia elettrica.

Questo rischio a cascata è ciò che distingue il settore dagli altri: l'incidente di una singola azienda può trasformarsi in un disservizio diffuso, con effetti su cittadini, imprese e altri servizi essenziali. È la ragione per cui, in questo comparto, la continuità operativa non è un obiettivo interno ma una responsabilità verso il sistema. Per capire quanto il tema sia concreto, è utile leggere il quadro degli attacchi cyber in Italia. La stessa interdipendenza attraversa l'altro grande comparto infrastrutturale dell'Allegato I, i trasporti: una rete ferroviaria o uno scalo dipendono dalla continuità elettrica prima ancora che dai propri sistemi. Perimetro e obblighi di quel settore sono in obblighi NIS2 nei trasporti.

Questa interdipendenza spiega anche perché la sicurezza della catena di fornitura, nel settore, sia particolarmente sensibile. Molti operatori condividono fornitori di tecnologia, piattaforme di telecontrollo e servizi di manutenzione: una vulnerabilità in un componente diffuso può riguardare più aziende contemporaneamente. Governare il rischio dei fornitori non è quindi un adempimento formale, ma un modo per ridurre la probabilità che un singolo punto debole si trasformi in un problema di sistema.

Gli obblighi NIS2 per il settore

Per un soggetto energetico o una utility che rientra, gli adempimenti sono quelli comuni a tutti i soggetti NIS2, applicati con il rigore previsto per la categoria di appartenenza:

• Registrazione sulla piattaforma dell'ACN, nei tempi previsti.
• Misure di gestione del rischio di sicurezza informatica, estese agli ambienti OT: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura.
• Notifica degli incidenti significativi: preallarme entro 24 ore e notifica entro 72 ore.
• Responsabilità degli organi di amministrazione: il vertice approva le misure, ne risponde e segue una formazione specifica.

Per i soggetti essenziali, in più, la vigilanza può essere esercitata in modo proattivo: significa che l'ordine e la completezza delle evidenze documentali contano quanto le misure stesse. La sequenza per costruirle è descritta in adeguamento NIS2, la roadmap pratica.

Le priorità operative per un'utility

Tradurre gli obblighi in un piano, in questo settore, significa mettere l'OT al centro. Le priorità ricorrenti sono:

1. Inventario e visibilità degli asset OT. Non si mette in sicurezza ciò che non si conosce: il primo passo è sapere quali sistemi, protocolli e connessioni esistono davvero.
2. Segmentazione tra IT e OT. Separare le reti d'ufficio da quelle industriali per contenere la propagazione di un attacco.
3. Rilevamento e risposta continui. Gli impianti lavorano senza sosta: il presidio deve essere in grado di accorgersi e reagire in qualsiasi momento, non solo in orario d'ufficio.
4. Continuità e ripristino. Piani provati per riportare in servizio i sistemi critici nei tempi che il servizio richiede.
5. Sicurezza della catena di fornitura. Fornitori di tecnologia OT e manutentori con accesso remoto sono un vettore di rischio da governare per contratto e nei fatti.

Da dove parte un'azienda del settore

Il percorso ragionevole parte da tre domande, prima di qualsiasi acquisto. Rientro nel perimetro, e come soggetto essenziale o importante? Ho una visibilità reale sui miei ambienti OT/SCADA e su come sono connessi all'IT? Dove sono i gap rispetto alle misure richieste, dando priorità alla segmentazione, alla detection e alla continuità?

Rispondere in quest'ordine evita l'errore più comune del settore: trattare l'OT come se fosse IT, oppure rimandarne la messa in sicurezza perché "l'impianto ha sempre funzionato così". La NIS2, per energia e utility, chiede esattamente di superare quella logica.

AmagisTech affianca operatori energetici e utility del mid-market italiano sull'intero percorso: verifica del perimetro, gap assessment esteso agli ambienti OT, presidio di rilevamento e risposta gestito e documentazione pronta per il vertice e per la vigilanza. Un buon primo passo è inquadrare la propria posizione con a chi si applica la NIS2 e poi seguire la roadmap di adeguamento.

In sintesi: per energia e utility la NIS2 è tra le più esigenti, perché parla a settori ad alta criticità e, per le aziende più grandi, a soggetti essenziali. Il lavoro vero si gioca sugli ambienti OT/SCADA e sulla capacità di evitare che l'incidente di una singola azienda diventi un disservizio a cascata. Chi parte dalla visibilità sull'OT e dalla segmentazione affronta il percorso nell'ordine giusto.