Conformità a NIS2 per il settore energetico

La direttiva NIS2 stabilisce requisiti di cybersicurezza armonizzati a livello UE per i settori critici e ad alto impatto, incluso quello energetico. Sostituisce e amplia significativamente il quadro NIS originario, estendendo sia la copertura settoriale che i poteri di applicazione.

La conformità a NIS2 per il settore energetico è particolarmente rilevante perché i sistemi energetici sostengono funzioni economiche e sociali essenziali. Le reti elettriche, le infrastrutture del gas, le reti dell'idrogeno e i sistemi di teleriscaldamento sono sempre più digitalizzati e interconnessi, rendendoli obiettivi privilegiati per le minacce informatiche.

La Direttiva si applica alle entità di medie e grandi dimensioni che operano nei settori designati, incluso l'energia, e in alcuni casi anche a entità più piccole che forniscono servizi critici.

Se la vostra organizzazione opera nel settore energetico, potrebbe rientrare in NIS2 come entità essenziale o entità importante.

L’allegato I individua settori ad alta criticità, senza classificare automaticamente ogni soggetto come essenziale. Ai sensi dell’articolo 3, la regola generale basata sulle dimensioni è:

• Grandi imprese — soggetti essenziali: almeno 250 occupati, oppure sia un fatturato annuo superiore a 50 milioni € sia un totale di bilancio annuo superiore a 43 milioni €.
• Medie imprese — soggetti importanti: non grandi, ma con almeno 50 occupati, oppure sia un fatturato annuo sia un totale di bilancio annuo superiori a 10 milioni €.

Allegato pertinente: Allegato I (Settori ad alta criticità)

Copertura dei sottosettori (Allegato I – Energia):

• Elettricità: Imprese elettriche come definite nella normativa UE sul mercato dell'elettricità; Operatori del sistema di trasmissione; Operatori del sistema di distribuzione; Operatori di mercato; Partecipanti ai mercati dell'elettricità che forniscono servizi di aggregazione, risposta alla domanda o accumulo di energia; Operatori di punti di ricarica
• Teleriscaldamento e teleraffrescamento: operatori di teleriscaldamento o teleraffrescamento
• Petrolio: gestori di oleodotti; gestori di impianti di produzione, raffinazione, trattamento, stoccaggio e trasporto di petrolio; organismi centrali di stoccaggio
• Gas: imprese fornitrici; gestori dei sistemi di distribuzione; gestori dei sistemi di trasporto; gestori dei sistemi di stoccaggio; gestori dei sistemi GNL; imprese di gas naturale; gestori di impianti di raffinazione e trattamento del gas naturale
• Idrogeno: gestori di impianti di produzione, stoccaggio e trasporto dell'idrogeno

Si applicano le regole UE sulle PMI, compresa l’aggregazione delle imprese associate e collegate ove richiesta (raccomandazione 2003/361/CE). Le piccole e microimprese non rientrano automaticamente nell’ambito NIS2 solo perché operano in un settore dell’allegato I. Le eccezioni normative, l’individuazione nazionale come soggetto essenziale o importante e l’individuazione come soggetto critico ai sensi della direttiva CER possono prevalere sulla regola generale dimensionale (articoli 2 e 3).

La conformità a NIS2 per il settore energetico si applica principalmente a:

• Imprese di medie dimensioni (50 o più dipendenti, oppure fatturato annuo superiore a 10 milioni di euro e totale di bilancio superiore a 10 milioni di euro; si computano le imprese associate e collegate)
• Grandi imprese che superano tali soglie
• Entità designate come operatori critici ai sensi della normativa nazionale, indipendentemente dalla dimensione (ove applicabile)

Ciò significa che i fornitori di elettricità, gli operatori di rete, i fornitori di infrastrutture del gas, gli operatori dell'idrogeno e le entità di teleriscaldamento che soddisfano queste soglie rientrano automaticamente nell'ambito di applicazione.

Le entità di medie e grandi dimensioni di questo settore soddisfano generalmente il criterio dimensionale NIS2. Le piccole e microentità sono generalmente escluse, salvo disposizione normativa indipendente dalle dimensioni o individuazione nazionale formale. Si applicano la definizione UE di PMI e l’aggregazione delle imprese associate e collegate ai sensi della raccomandazione 2003/361/CE; verificare le regole settoriali e il recepimento nazionale.

Ai sensi dell'Articolo 21 della direttiva NIS2, le entità energetiche devono implementare misure tecniche e organizzative appropriate e proporzionate per gestire i rischi di cybersicurezza.

Le misure obbligatorie includono:

• Quadro di gestione del rischio
• Procedure di gestione degli incidenti
• Continuità operativa e disaster recovery
• Sicurezza della catena di approvvigionamento
• Sviluppo e manutenzione sicuri
• Politiche su cifratura e crittografia
• Controllo degli accessi e MFA (autenticazione multifattoriale)
• Gestione delle vulnerabilità e delle patch
• Formazione sull'igiene informatica
• Uso di comunicazioni sicure

Per il settore energetico, queste misure di sicurezza NIS2 devono tenere conto di ambienti di tecnologia operativa (OT), sistemi di controllo industriale (ICS) e supervisory control and data acquisition (SCADA). La stabilità della rete, gli asset di generazione e le infrastrutture di trasmissione del gas richiedono una forte segmentazione, monitoraggio e pianificazione della resilienza.

Le entità energetiche devono integrare la cybersicurezza nella gestione del rischio d'impresa, garantendo l'allineamento tra sicurezza IT e OT. La conformità a NIS2 per il settore energetico richiede pertanto sia un controllo di governance aziendale sia robuste misure tecniche approfondite su misura per gli ambienti delle infrastrutture critiche.

Gli obblighi di notifica degli incidenti previsti da NIS2 sono rigorosi e soggetti a termini temporali. Le entità energetiche devono segnalare gli incidenti significativi al CSIRT nazionale o all'autorità competente secondo la seguente tempistica:

La regola delle 24 ore richiede procedure di escalation interne rapide. Gli incidenti che incidono sull'approvvigionamento energetico, sulle operazioni di rete o sull'integrità dei sistemi saranno normalmente considerati significativi a causa del loro potenziale impatto sociale.

Il mancato rispetto della tempistica di notifica prevista da NIS2 può comportare misure di applicazione regolamentare, incluse sanzioni amministrative e azioni di vigilanza.

La conformità a NIS2 per il settore energetico impone obblighi diretti al organo di gestione.

I principali requisiti di governance includono:

• Approvazione delle misure di gestione del rischio informatico da parte dell'organo di gestione
• Supervisione continua dell'attuazione
• Formazione obbligatoria sulla cybersicurezza per la direzione
• Potenziale esposizione a responsabilità personale ai sensi della normativa nazionale

La cybersicurezza non è più una funzione puramente tecnica. L'Articolo 21 della direttiva NIS2 eleva esplicitamente la responsabilità al livello del consiglio di amministrazione e della dirigenza. I membri del consiglio devono assicurare che i controlli di cybersicurezza siano adeguatamente dotati di risorse, documentati e riesaminati regolarmente.

Per gli operatori energetici che gestiscono infrastrutture critiche, i fallimenti di governance possono comportare conseguenze legali e reputazionali significative.

In quanto entità dell'Allegato I, le organizzazioni del settore energetico classificate come entità essenziali sono soggette a vigilanza proattiva. Le autorità competenti possono effettuare audit, ispezioni e valutazioni di sicurezza senza la presenza di eventi incidentali precedenti.

Le sanzioni amministrative per la non conformità sono:

• Entità essenziali: Fino a €10 milioni o 2% del fatturato annuo mondiale totale (a seconda di quale sia più elevato)

Sebbene le leggi nazionali di recepimento possano perfezionare le procedure di vigilanza, la Direttiva stabilisce soglie minime armonizzate per le sanzioni tra gli Stati membri.

Dato l'importante ruolo strategico dei sistemi energetici, ci si attende che l'applicazione sia rigorosa e basata sul rischio.

Le imprese del settore energetico che mirano alla conformità a NIS2 dovrebbero intraprendere azioni strutturate e precoci:

1. Eseguire una valutazione delle lacune rispetto a NIS2
2. Mappare i servizi energetici critici e le dipendenze digitali
3. Formalizzare un quadro di gestione del rischio documentato
4. Aggiornare e testare i piani di risposta agli incidenti
5. Revisionare i contratti con fornitori e partner di rete per clausole di cybersicurezza
6. Formare la direzione e il personale tecnico senior
7. Istituire un flusso di lavoro di notifica 24h/72h/1 mese

Una preparazione anticipata riduce il rischio di applicazione delle norme e le interruzioni operative.

Le entità energetiche affrontano rischi specifici per il settore ai sensi di NIS2:

• Interruzione operativa: Gli incidenti informatici possono interrompere la generazione elettrica o la trasmissione del gas.
• Compromissione della catena di approvvigionamento: I fornitori tecnologici terzi possono introdurre vulnerabilità nei sistemi di rete.
• Sanzioni regolamentari: La non conformità espone gli operatori a sanzioni finanziarie significative.
• Esposizione contrattuale: Il mancato rispetto delle norme UE sulla cybersicurezza per l'energia può violare gli accordi commerciali.
• Danno reputazionale: La fiducia pubblica nell'affidabilità energetica è altamente sensibile ai fallimenti di cybersicurezza.

La conformità a NIS2 per il settore energetico è quindi sia una priorità regolamentare sia una priorità strategica di resilienza.