Questa pagina è destinata a responsabili cybersecurity, direttori operativi e compliance officer delle società di generazione elettrica, gestione della rete, distribuzione gas e fornitura di carburanti in Italia. Scoprirai gli obblighi specifici del D.Lgs. 138/2024, i rischi di penalità fino a €10 milioni e come implementare un programma di conformità per sistemi critici di controllo.
Rientrano in questa categoria i gestori della rete di trasmissione e distribuzione dell'energia elettrica, i gestori dei sistemi di distribuzione del gas naturale, gli operatori di reti di teleriscaldamento, i generatori di energia elettrica e i fornitori di carburanti liquidi e gassosi in Italia con infrastrutture critiche che supportano servizi essenziali. L'obbligo si applica indipendentemente dalle dimensioni aziendali, poiché lo status di entità essenziale è determinato dall'importanza strategica dell'infrastruttura, non dalla soglia di fatturato.
Devi implementare controlli di accesso robusti, crittografia end-to-end e segmentazione fisica tra i sistemi di controllo del processo (SCADA, PLC, sensori distribuiti) e le reti IT aziendali. Ogni accesso remoto a questi sistemi critici deve essere registrato, autenticato con fattori multipli e limitato a sessioni temporali predefinite. La supervisione continua della rete OT con IDS/IPS dedicati è obbligatoria per rilevare comportamenti anomali nei protocolli industriali (Modbus, DNP3, IEC 60870-5-104).
Devi mantenere un registro aggiornato di tutti i dispositivi OT connessi (server di controllo, switch gestiti, router, modem), hardware firmwares e software, con indicazione della versione e dello stato di patching. Per ogni fornitore critico di hardware e firmware (ad esempio per sottostazioni, sistemi SCADA, sensori), devi documentare gli accordi di sicurezza, i controlli di accesso remoto del vendor e verificare l'integrità dei rilasci mediante certificati digitali e hash verificati.
Gli incidenti di cybersecurity che causano disservizio ai sistemi critici (blackout, mancanza di distribuzione gas, perdita di controllo di impianti) devono essere segnalati all'ACN entro 24 ore dalla scoperta; i dettagli completi devono seguire entro 72 ore. L'assenza di reporting puntuale espone l'organizzazione a sanzioni fino a €10 milioni o il 2% del fatturato. Devi designare un responsabile della gestione incidenti con procedure documentate e contatti diretti con l'ACN.
Ogni accesso remoto ai sistemi di controllo delle sottostazioni, impianti di generazione e centri di distribuzione deve essere mediato da gateway VPN enterprise-grade, con registrazione completa delle sessioni e timeout automatici dopo inattività. La sicurezza fisica deve essere integrata con il monitoraggio cyber: cancelli, telecamere e sensori di movimento in aree critiche devono essere correlati con alert di intrusione nei sistemi SCADA e ICS attraverso piattaforme SIEM dedicate.
Entro il 28 febbraio di ogni anno, è obbligatorio registrarsi sulla piattaforma ACN (finestra annuale: 1 gennaio - 28 febbraio). Devi designare una figura responsabile della cybersecurity (CISO o equivalente) con ruolo direttivo, implementare una politica di sicurezza dell'informazione documentata, effettuare valutazioni del rischio annuali e mantenere evidenza di test di penetrazione e esercitazioni di risposta agli incidenti condotte almeno una volta l'anno.
Il D.Lgs. 138/2024 richiede una segnalazione iniziale all'ACN entro 24 ore dalla scoperta dell'incidente; questa deve contenere informazioni preliminari sulla natura, l'impatto e lo stato della risposta. Entro 72 ore, devi trasmettere un rapporto completo e dettagliato includendo la causa root, le contromisure adottate e il piano di remediation. Il mancato rispetto di questi termini espone l'organizzazione a sanzioni amministrative fino a €10 milioni o il 2% del fatturato annuale.
L'accesso remoto di fornitori e service provider deve essere autorizzato formalmente tramite contratti che specificano i diritti di accesso, la durata massima della sessione (ad esempio 4 ore continuative), gli orari permessi, e l'obbligatorietà della registrazione completa della sessione (video, comandi eseguiti). Devi implementare un gateway di accesso centralizzato (bastion host) che medi ogni connessione, con MFA obbligatorio e alert in tempo reale al SOC aziendale. La pratica di "standing remote access" 24/7 non è ammessa dal NIS2.
La registrazione obbligatoria sulla piattaforma ACN è annuale, dal 1° gennaio al 28 febbraio; la finestra 2026 si è chiusa e la prossima sarà dal 1° gennaio al 28 febbraio 2027. Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024. Le sanzioni amministrative per violazioni degli obblighi di sicurezza possono raggiungere €10 milioni o il 2% del fatturato per entità essenziali, mentre per entità importanti il massimo è €7 milioni o l'1,4% del fatturato. Si consiglia di completare l'assessment interno e la mappatura dei gap di conformità il prima possibile.