La transizione energetica sta trasformando impianti, reti e consumi in un ecosistema sempre più connesso.

Contatori intelligenti, sistemi di accumulo, inverter, colonnine di ricarica, piattaforme per il monitoraggio dei consumi, software di gestione energetica e sistemi industriali OT e SCADA producono e scambiano continuamente dati.

L’intelligenza artificiale può aiutare a prevedere la domanda, bilanciare la rete, individuare anomalie e riconoscere tempestivamente un attacco. Ma può essere utilizzata anche dagli hacker per automatizzare offensive, creare comunicazioni fraudolente più credibili e individuare vulnerabilità con maggiore rapidità.

Nel settore energetico, però, un attacco informatico non significa soltanto perdita di dati. Può bloccare un impianto, alterare informazioni sui consumi, interferire con i processi produttivi, interrompere un servizio essenziale e generare danni economici, ambientali e reputazionali.

È per questo che oggi la cybersecurity non può essere considerata un problema riservato ai tecnici informatici.

La NIS2, recepita in Italia con il D.Lgs. 138/2024, ha ampliato il numero dei soggetti coinvolti e ha portato la sicurezza informatica direttamente nella responsabilità della governance.

Le società energetiche che rientrano nel suo ambito, così come le pubbliche amministrazioni interessate, devono adottare misure proporzionate per la gestione dei rischi, la continuità operativa, la sicurezza della catena di fornitura, il controllo degli accessi, la gestione delle vulnerabilità e la segnalazione degli incidenti significativi. Anche gli organi amministrativi sono chiamati ad approvare e vigilare sull’attuazione delle misure, oltre che a ricevere una formazione adeguata.

Il 2026 rappresenta il passaggio dalla preparazione all’effettiva operatività: sono entrati in vigore gli obblighi di notifica degli incidenti e si avvicina il termine previsto per completare l’adozione delle misure di sicurezza.

Per il comparto elettrico si aggiunge il Regolamento europeo 2024/1366, che introduce regole settoriali sui rischi informatici connessi ai flussi elettrici transfrontalieri, prevedendo requisiti, pianificazione, monitoraggio, comunicazione e gestione delle crisi.

Anche le imprese che consumano energia devono prestare attenzione. Il semplice fatto di essere consumatori non comporta automaticamente l’applicazione della NIS2, ma un’azienda può rientrarvi per dimensione, attività svolta o rilevanza del servizio. E anche quando non è direttamente soggetta, può essere coinvolta attraverso gli obblighi imposti da clienti, fornitori, operatori energetici e contratti di filiera.

Per una pubblica amministrazione o un’impresa non basta, quindi, acquistare un software o installare un antivirus. Occorre conoscere gli asset collegati, separare adeguatamente le reti informatiche da quelle operative, controllare gli accessi, selezionare fornitori affidabili, predisporre procedure di risposta e garantire la continuità dei servizi.

Credo che la vera innovazione energetica non consista soltanto nel produrre e consumare meglio l’energia, ma nel proteggere l’intero sistema che la governa.

Perché una rete può essere efficiente, digitale e intelligente. Ma se non è sicura, non è realmente resiliente.

Buona Energia!

Articolo originariamente pubblicato da Rossella Di Grazia su Substack.