Il conto alla rovescia per la NIS2 è entrato nella fase calda. Superata la prima scadenza di giugno per la categorizzazione dei soggetti presso l’ACN (Agenzia per la Cybersicurezza Nazionale), le aziende del comparto energia si trovano ora davanti alla vera sfida operativa.
Il settore energetico – che include elettricità, gas, petrolio, idrogeno, teleriscaldamento e teleraffrescamento – è oggi uno dei bersagli più ambiti dal cybercrime. I dati del Rapporto Clusit 2026 scattano una fotografia allarmante: nel 2025 gli attacchi gravi a livello globale sono aumentati del 49%. L’Italia è in prima linea, catalizzando il 9,6% degli incidenti mondiali con 507 attacchi gravi (+42% rispetto al 2024).
Nonostante il mercato italiano della cybersecurity sia cresciuto del 12% raggiungendo i 2,78 miliardi di euro (dati Osservatorio Politecnico di Milano), il nostro Paese resta all’ultimo posto del G7 per spesa in sicurezza informatica rispetto al PIL.
SCADENZARIO COMPLIANCE NIS2 (2026)
- 30 Giugno: Censimento e categorizzazione ACN (Concluso)
- 1° Ottobre: Adozione misure di sicurezza e gestione domini
- 31 Ottobre: Piena operatività dei controlli e avvio ispezioni
Perché l’Energia è nel Mirino: Il Fattore OT
La vulnerabilità del settore non è solo legata ai tradizionali sistemi IT (gestionali e dati), ma alla massiccia digitalizzazione della Operational Technology (OT). L’avvento di smart grid, comunità energetiche (CER), inverter connessi e sistemi di accumulo ha interconnesso gli impianti fisici alla rete. A complicare il quadro normativo interviene anche la complementarietà con il Cyber Resilience Act (CRA), che impone standard di sicurezza nativi direttamente ai produttori di hardware e software connessi.
La Supply Chain Security: L’Effetto Cascata della NIS2
Un errore comune è pensare che la NIS2 colpisca solo i grandi player. La direttiva introduce l’obbligo tassativo di estendere le misure di sicurezza a tutta la catena dei fornitori.
I soggetti “Essenziali” e “Importanti” del settore energia devono condurre analisi multi-rischio che includano la supply chain. Questo significa che i piccoli fornitori di servizi, manutentori di impianti o sviluppatori software dovranno adeguarsi rapidamente ai requisiti dei committenti, pena l’esclusione dai contratti.
Cosa Fare Entro il 1° Ottobre 2026
Per non farsi trovare impreparati dalle verifiche ACN, le direzioni aziendali devono attuare un piano d’azione immediato suddiviso in tre macro-aree:
1. Governance e Organizzazione
- Formazione della C-Suite: La cybersecurity non è un problema dell’IT, ma una responsabilità strategica (e penale/civile) del management.
- Nomina dei Responsabili OT: Definire chiaramente chi gestisce la sicurezza dei sistemi industriali, separando o integrando le competenze rispetto all’IT tradizionale.
2. Valutazione e Misure Tecniche
- Gap Analysis: Verificare l’allineamento dei sistemi aziendali rispetto alle linee guida settoriali ACN.
- Piani di Incident Response: Redigere e testare procedure specifiche per bloccare gli attacchi prima che compromettano la continuità operativa degli impianti.
3. Gestione della Catena di Fornitura
- Contrattualistica: Aggiornare i contratti con i fornitori inserendo clausole minime di cybersecurity.
Audit dei Fornitori: Avviare verifiche a campione sui partner commerciali strategici per mappare il rischio di terze parti.
La conformità non si esaurirà il 31 ottobre 2026. Da quella data inizierà la fase di mantenimento e dimostrazione documentale dei processi abilitati. Rimandare gli investimenti significa esporsi a sanzioni onerose e, soprattutto, a rischi di fermo impianto non più tollerabili.
