NIS2 nel settore energetico: il Network Code on Cybersecurity cambia il perimetro

Un portafoglio di generazione tedesco da 1.500 MW è un soggetto essenziale ai sensi di NIS2. In base all'Electricity Cybersecurity Impact Index provvisorio è anche candidato a soggetto ad alto impatto ai sensi di un secondo regolamento europeo che la maggior parte dei consulenti IT non ha mai aperto.

Quel regolamento è il Network Code on Cybersecurity — Regolamento Delegato (UE) 2024/1366, in vigore dal 13 giugno 2024. Si applica direttamente in ogni Stato membro. Nessun recepimento, nessuna legge nazionale di attuazione, nessuna attesa.

Se seguite la readiness NIS2 per clienti del settore energetico e il vostro perimetro si ferma all'Article 21, il perimetro è sbagliato.

NIS2 nel settore energetico è il pavimento, non il soffitto

NIS2 colloca elettricità, gas, petrolio, idrogeno e teleriscaldamento nell'Allegato I. Gli operatori con 250 o più dipendenti, oppure meno di 250 con un fatturato superiore a 50 milioni di euro e un totale di bilancio superiore a 43 milioni di euro, rientrano come soggetti essenziali; quelli con 50 o più dipendenti, oppure meno di 50 con fatturato e totale di bilancio entrambi superiori a 10 milioni di euro, come soggetti importanti. Da lì parte il programma standard: le dieci misure dell'Article 21, la notifica degli incidenti ai sensi dell'Article 23 e la responsabilità degli organi di gestione ai sensi dell'Article 20.

Il NCCS si sovrappone a tutto questo, specificamente per l'elettricità. Esiste perché un incidente cyber in una sala di controllo non si ferma al confine: le deviazioni di frequenza si propagano in un'area sincrona in pochi secondi. L'UE ha quindi scritto regole settoriali per i flussi transfrontalieri di elettricità dando loro efficacia diretta.

Due conseguenze che i vostri clienti sentiranno subito:

• Il NCCS definisce perimetro, set di controlli e ciclo di audit propri. Nulla è ereditato dalla legge nazionale NIS2.
• Ai sensi del Recital 15, la conformità a un quadro può valere come evidenza per l'altro. Il lavoro è riutilizzabile, ma solo se lo mappate deliberatamente.

È la designazione a decidere il perimetro, non l'organico

È qui che i consulenti sbagliano. Il perimetro NIS2 è meccanico: settore più soglie dimensionali. Quello NCCS no.

Ai sensi dell'Article 24 un'autorità nazionale competente designa i soggetti come ad alto impatto o ad impatto critico usando l'Electricity Cybersecurity Impact Index. Alto impatto significa che un'interruzione inciderebbe in modo rilevante sui flussi transfrontalieri. Impatto critico significa che li destabilizzerebbe.

ENTSO-E e la EU DSO Entity hanno pubblicato soglie ECII provvisorie perché gli Stati membri possano notificare i candidati prima della valutazione dei rischi a livello di Unione. Variano molto da Paese a Paese:

Stato membro	Alto impatto	Impatto critico
Germania, Francia, Italia, Paesi Bassi, Svezia	1.500 MW	3.000 MW
Spagna, Polonia, Romania, Slovenia	1.000 MW	3.000 MW
Austria, Cechia, Grecia, Ungheria, Slovacchia	500 MW	3.000 MW
Estonia, Lettonia, Lituania	500 MW	900 MW
Irlanda	500 MW	700 MW
Malta	250 MW	250 MW

Un portafoglio da 900 MW in Irlanda è candidato a impatto critico. Lo stesso portafoglio in Germania non raggiunge nemmeno l'alto impatto. I gruppi transfrontalieri devono farlo verificare per società operativa, non per gruppo.

Il perimetro va anche ben oltre i produttori. L'Article 2(1) elenca TSO, DSO, operatori designati del mercato elettrico, borse elettriche, soggetti responsabili del bilanciamento, centri di coordinamento regionali e operatori di punti di ricarica — e, aspetto rilevante per i lettori di questo blog, fornitori di servizi ICT critici e managed security service provider. Se gestite un SOC o amministrate infrastrutture SCADA ed EMS per un soggetto designato, potete essere designati a vostra volta.

L'orologio NCCS parte dalla designazione, non da una data UE fissa

Non esiste una scadenza unica da inserire nel piano cliente. L'orologio è specifico per ciascun soggetto.

• 12 mesi dalla designazione — trasmettere all'autorità competente una relazione sui rischi: controlli di mitigazione selezionati e stato di attuazione, stime del rischio residuo per i processi ad impatto critico a livello di Unione tramite la matrice di impatto UE, ed elenco dei fornitori ICT critici che supportano tali processi (Art. 27).
• 24 mesi — dimostrare la conformità ai controlli applicabili, tramite uno schema nazionale di verifica o un audit indipendente di terza parte (Art. 25, Art. 31).
• Ogni tre anni — ciclo completo di risk management e relazione aggiornata. I soggetti ad impatto critico riverificano la conformità su tutti gli asset critici (Art. 26, Art. 31).
• Annualmente — audit parziali, con l'intero ambito di verifica coperto almeno una volta ogni tre anni (Art. 25(2)).

Un obbligo ha già morso. Ai sensi dell'Article 18(1) i TSO dovevano sviluppare quadri armonizzati di valutazione del rischio cyber a livello di Unione, regionale e di Stato membro entro il 13 marzo 2025 — vincolante a prescindere dal fatto che l'autorità nazionale avesse già designato qualcuno.

Lettura pratica: se il vostro cliente è un candidato plausibile, non aspettate la lettera di designazione. Dodici mesi sono pochi per costruire un CSMS, completare una valutazione dei rischi a livello di soggetto e produrre un elenco di controlli documentato.

Dove il NCCS va più a fondo dell'Article 21

L'Article 21 dice cosa affrontare. Il NCCS dice ai soggetti designati fin dove, e poi lo verifica.

Un CSMS, non un raccoglitore di policy. L'Article 28 richiede un sistema di gestione della cybersecurity allineato a standard europei e internazionali — l'equivalente settoriale di un ISMS — più una mappatura documentata dei controlli verso tali standard (Art. 34). «Abbiamo delle policy» non sopravvive a questo.

Due livelli di controlli. I controlli minimi si applicano ai soggetti ad alto impatto; quelli avanzati ai soggetti ad impatto critico, e solo entro il perimetro designato. La definizione del perimetro diventa essa stessa un artefatto di audit: la stessa disciplina descritta per il confine IT/OT nel manifatturiero.

Un ciclo di rischio fisso. L'Article 26 impone un ciclo completo ogni tre anni — contesto, valutazione, trattamento, accettazione — con la matrice di impatto UE. Non «periodicamente». Ogni tre anni, documentato e approvato.

Poteri di vigilanza reali. Le autorità competenti possono condurre ispezioni in loco, vigilanza a distanza, controlli a campione, audit basati sul rischio e scansioni tecniche di sicurezza, e richiedere policy, rapporti di audit ed evidenze di attuazione (Art. 25).

Reporting che si sovrappone invece di duplicarsi. Una notifica di incidente presentata ai sensi dell'Article 23 NIS2 soddisfa il reporting NCCS, purché contenga le informazioni aggiuntive richieste (Art. 38). Il flusso 24 e 72 ore già in essere presso il cliente ha bisogno di un set di campi in più, non di un secondo processo.

I fornitori non sono regolati — e rientrano comunque nel perimetro

Il NCCS vincola i soggetti designati, non i loro fornitori. Ma l'Article 33 obbliga quei soggetti a trasferire i requisiti di cybersecurity sull'intero ciclo di vita ICT: verifiche sul personale del fornitore dove giuridicamente ammesso, sviluppo secure-by-design, architettura zero trust, restrizioni di accesso, tutele contrattuali, diritti di audit e tracciabilità dei requisiti di sicurezza lungo la catena. I soggetti devono inoltre valutare il rischio di lock-in e la diversificazione dei fornitori.

I soggetti ad impatto critico vanno oltre: ai sensi dell'Article 33(4) i componenti ICT critici devono essere verificati tramite uno schema di certificazione UE o un'assurance interna equivalente.

Tali controlli diventano vincolanti per ogni approvvigionamento avviato sei mesi dopo la loro adozione o aggiornamento. Il fattore scatenante pratico per un fornitore non è quindi un regolatore: è un documento di gara.

Se vendete integrazione SCADA, monitoraggio remoto o managed detection agli operatori di rete, risponderete a queste domande designati o meno. È la dinamica descritta in sicurezza della supply chain NIS2 e contratti con i fornitori ai sensi dell'Article 21, un livello più severo.

Cosa fare nei prossimi 90 giorni

Per ogni cliente del settore elettrico in portafoglio:

1. Verificate la candidatura. Confrontate potenza installata e ruolo — TSO, DSO, NEMO, responsabile del bilanciamento, aggregatore, operatore di punti di ricarica, fornitore ICT — con la soglia ECII provvisoria del Paese di esercizio. Per singola entità giuridica, non per gruppo.
2. Individuate l'autorità. Gli Stati membri dovevano designare un'autorità competente NCCS entro il 13 dicembre 2024, spesso il regolatore energetico (BNetzA in Germania), in raccordo con il CSIRT nazionale. Confermate chi vigila sul cliente e se le notifiche dei candidati sono partite.
3. Mappate prima di costruire. Prendete la gap analysis NIS2 esistente e segnate quali artefatti soddisfano già gli Articles 26–34 del NCCS. Il Recital 15 fa viaggiare le evidenze in entrambe le direzioni, ma nessuno ne beneficia senza una matrice di mappatura.
4. Definite il perimetro. I perimetri ad alto impatto e ad impatto critico decidono quale livello di controlli si applica dove. Sbagliarlo significa sovradimensionare il programma o lasciare un asset critico fuori dal recinto.
5. Sistemate subito gli acquisti. Aggiungete le clausole dell'Article 33 — diritti di audit, sviluppo sicuro, evidenze di certificazione, screening del personale — al template fornitori del cliente prima della prossima gara, non dopo.

I clienti energetici che faranno fatica nel 2027 sono quelli che hanno trattato NIS2 come la fine del discorso. Il NCCS era già in vigore mentre ancora discutevano della documentazione dell'Article 21.

Se volete una vista rapida e strutturata di dove si trova davvero un cliente energetico rispetto a NIS2 prima di sovrapporre il NCCS, eseguite un NIS2 quick scan e partite da una baseline documentata.