NIS2 nel settore idrico: cosa devono dimostrare i gestori di acqua potabile e acque reflue

Il 17 luglio 2026 è scaduto il termine entro cui gli Stati membri dovevano individuare i soggetti critici ai sensi della direttiva CER (UE) 2022/2557. Acqua potabile e acque reflue rientrano entrambe nel suo ambito. Ogni gestore idrico individuato è ora automaticamente un soggetto essenziale ai sensi della NIS2 — l''articolo 3(1)(e) lo dice espressamente, e nessun dato su organico o fatturato cambia questo esito.

Se assistete gestori idrici, quella lettera è già arrivata sulla scrivania di alcuni vostri clienti. La maggior parte non ve lo ha detto.

Il problema della NIS2 nel settore idrico non è che le regole siano poco chiare. È che i gestori idrici fanno girare reti di controllo di processo vecchie di vent''anni, impiegano due o tre persone che le capiscono e non sono mai stati vigilati da un''autorità di cybersicurezza. Il divario tra ciò che chiede l''articolo 21 e ciò che un gestore regionale può dimostrare oggi è il più ampio di tutti i settori in cui lavoro.

L''allegato I colloca l''acqua nel livello di vigilanza più severo

La NIS2 elenca l''acqua potabile come settore 6 e le acque reflue come settore 7 dell''allegato I — i settori ad alta criticità. Questa collocazione decide quanto duramente il cliente viene vigilato, non solo se rientra nel perimetro.

I soggetti dell''allegato I sopra la soglia di grande impresa — più di 250 dipendenti, oppure fatturato superiore a 50 milioni di euro e totale di bilancio superiore a 43 milioni di euro — sono soggetti essenziali. I soggetti dell''allegato I nella fascia media sono soggetti importanti.

La differenza non è cosmetica. I soggetti essenziali sono sottoposti a vigilanza ex ante ai sensi dell''articolo 32: ispezioni in loco, audit di sicurezza periodici e mirati, e scansioni di sicurezza che l''autorità può disporre senza che si sia verificato alcun incidente. I soggetti importanti sono vigilati ex post ai sensi dell''articolo 33 — l''autorità interviene su indizi di non conformità, di norma dopo che qualcosa è andato storto.

Per un gestore idrico, ex ante significa che un auditor può entrare nell''impianto di trattamento il trimestre prossimo. Non c''è nessun incidente da aspettare.

Due esclusioni vale la pena conoscerle. I distributori per i quali la distribuzione idrica non è parte essenziale di un''attività commerciale più ampia restano fuori dal settore 6. Le imprese per le quali il trattamento delle acque reflue non è parte essenziale della loro attività generale restano fuori dal settore 7 — è così che molti siti industriali con depurazione interna rimangono esclusi.

Le soglie dimensionali non risolvono il perimetro dei gestori idrici

È qui che la maggior parte dei consulenti sbaglia. Applicano il test sull''organico, contano 38 dipendenti e chiudono il fascicolo.

L''articolo 2(2) supera la regola dimensionale in diversi casi che colpiscono proprio i gestori idrici:

Articolo 2(2)(b) — il soggetto è l''unico fornitore in uno Stato membro di un servizio essenziale per il mantenimento di attività sociali o economiche critiche. L''unico fornitore di acqua potabile di un comune vi rientra abitualmente.
Articolo 2(2)(c) — una perturbazione del servizio potrebbe avere un impatto significativo sulla sicurezza pubblica, l''incolumità pubblica o la salute pubblica. L''acqua potabile contaminata o interrotta è il caso da manuale.
Articolo 2(2)(d) — una perturbazione potrebbe generare un rischio sistemico, in particolare nei settori in cui l''impatto può essere transfrontaliero.
Articolo 3(1)(e) — il soggetto è stato individuato come soggetto critico ai sensi della direttiva CER.

Nel settore idrico questi non sono casi limite. Sono la via ordinaria di ingresso nel perimetro per i piccoli gestori. Un consorzio idrico da 30 persone può essere un soggetto essenziale mentre una software house da 400 persone resta del tutto fuori.

La NIS2 si Applica alla Tua Organizzazione?
1
La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼
No▼
2
La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗
La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼
No▼
✓
La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3
La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼
!
La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1
La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →
2
La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →
3
La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →
✗
La NIS2 non si applica direttamente alla tua organizzazione.
✓
La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!
La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applica
Possibile applicazione
Non si applica

Prima di dire a un cliente idrico che è fuori perimetro, verificate se l''autorità nazionale lo ha designato. In diversi Stati membri l''elenco delle designazioni non è pubblico e il gestore lo scopre solo per lettera. Chiedete di vedere la corrispondenza. Poi verificate quale autorità ha effettivamente competenza — per i gestori multisito non è sempre ovvio, e abbiamo trattato la logica dell''articolo 26 in quale autorità vi vigila.

Per l''acqua non esiste un atto di esecuzione europeo — e questo taglia da due parti

Il regolamento di esecuzione (UE) 2024/2690 della Commissione fissa requisiti tecnici e metodologici dettagliati per le misure dell''articolo 21. Si applica a fornitori DNS, registri dei nomi di dominio di primo livello, fornitori di cloud e data center, CDN, fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti, mercati online, motori di ricerca, social network e prestatori di servizi fiduciari.

All''acqua non si applica.

L''articolo 21(5) obbligava la Commissione ad adottare quell''atto per le categorie digitali. Per ogni altro settore, acqua inclusa, può adottarne uno. Finora non lo ha fatto.

La conseguenza pratica: i vostri clienti idrici rispondono dell''articolo 21(2) così com''è scritto, interpretato dalla loro autorità nazionale, senza una base europea che dica cosa significhi «adeguato e proporzionato» in una stazione di pompaggio. Alcune autorità hanno pubblicato linee guida settoriali. Altre indicano la IEC 62443 e si fermano lì.

Questa ambiguità è un rischio durante un audit e un''opportunità in una proposta. Il gestore non può comprare una risposta certificata a scaffale. Qualcuno deve scrivere la motivazione basata sul rischio per ogni controllo — e difenderla. È lavoro fatturabile, ed è il lavoro che determina come va l''audit.

L''articolo 21 in un gestore idrico significa OT, non la rete d''ufficio

Ognuna delle dieci misure dell''articolo 21(2) deve arrivare all''ambiente di controllo di processo. La documentazione della maggior parte dei gestori si ferma al firewall aziendale.

Articolo 21 — 10 Misure di Cybersicurezza NIS2
🛡️
Articolo 21
10 Misure di Cybersicurezza
📊Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni
6Valutazione dell'efficacia delle misure di sicurezza
🚨Incidenti & Continuità
2Gestione degli incidenti & notifica
3Continuità operativa & ripristino di emergenza
🔗Catena di Fornitura & Sistemi
4Sicurezza della catena di fornitura
5Sicurezza nello sviluppo di sistemi di rete e informativi
🔐Controlli Tecnici
8Crittografia & cifratura
10Autenticazione a più fattori & comunicazioni sicure
👥Persone & Risorse
7Igiene informatica & formazione
9Sicurezza HR & controllo degli accessi

Dove i gestori idrici falliscono nella pratica:

Inventario degli asset. L''articolo 21(2)(i) richiede la gestione degli asset. Chiedete a un gestore l''elenco di ogni PLC, RTU, HMI e postazione di ingegneria su tutti i siti, con le versioni firmware. Per esperienza, meno di uno su cinque riesce a produrlo senza un progetto di discovery. Non si può valutare il rischio di ciò che non si è contato.

Segmentazione di rete. Le reti SCADA su Modbus, DNP3 e IEC 60870-5-104 non hanno autenticazione nativa. Tutto ciò che raggiunge il segmento può comandarlo. Il controllo che l''auditor vuole vedere è un confine documentato e applicato tra IT e OT con l''inventario di ogni flusso consentito — la stessa battaglia descritta per i produttori e il confine IT/OT.

Accesso remoto. Le VPN degli integratori verso la rete di controllo sono di gran lunga il rilievo più frequente. L''articolo 21(2)(j) copre le comunicazioni vocali, video e testuali sicure e l''autenticazione a più fattori. Una credenziale fornitore condivisa con accesso permanente è indifendibile.

Patching. L''articolo 21(2)(e) riguarda la gestione delle vulnerabilità. Un impianto che non può fermarsi ha bisogno di controlli compensativi e di una motivazione scritta del rinvio, non del silenzio.

Continuità operativa. L''articolo 21(2)(c) riguarda backup e gestione delle crisi. Per un gestore idrico questo include il ripiego manuale: l''impianto può funzionare in controllo locale se lo SCADA cade, e qualcuno lo ha testato quest''anno? La nostra analisi su backup e continuità mostra come si presenta l''evidenza.

La notifica parte dall''impatto sul processo, non da quando l''IT se ne accorge

L''articolo 23 fissa tre scadenze per un incidente significativo: preallarme entro 24 ore, notifica dell''incidente entro 72 ore e relazione finale entro un mese.

Cronologia delle Notifiche di Incidenti NIS2
24h
⚡Allerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
Fase 1
72h
📋Notifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
Fase 2
1mo
📊Rapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Fase 3
24h
⚡Allerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
72h
📋Notifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
1mo
📊Rapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.

La trappola nel settore idrico è l''innesco. Un incidente significativo ai sensi dell''articolo 23(3) è quello che ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure che ha colpito altre persone causando danni materiali o immateriali considerevoli.

Per un gestore, «in grado di causare» comprende un''anomalia nel dosaggio chimico, un collegamento di telemetria perso verso un serbatoio remoto o una postazione compromessa sulla rete di ingegneria. Nessuno di questi eventi sembra un incidente informatico a un conduttore di impianto. Sembra un martedì.

Se il team di impianto non sa che un''anomalia di dosaggio di origine incerta fa partire un orologio di 24 ore, il soggetto perde il termine per quanto buono sia lo stack di sicurezza. Il controllo che risolve questo non è tecnico. È un elenco scritto di inneschi, concordato con l''esercizio, appoggiato accanto alla console SCADA.

Scrivetelo nella loro lingua. «Variazione di setpoint inspiegata» batte «violazione di integrità» ogni volta.

La maggior parte dei gestori idrici porta ora due regimi insieme

CER e NIS2 sono state pensate in coppia. La CER copre la resilienza fisica — sicurezza dei siti, verifica del personale, continuità del servizio fisico. La NIS2 copre il lato cyber. Acqua potabile e acque reflue figurano negli allegati di entrambe.

Un gestore individuato come soggetto critico ai sensi della CER deve designare un punto di contatto, svolgere una valutazione dei rischi, adottare misure di resilienza e segnalare gli incidenti perturbativi — mentre soddisfa simultaneamente gli articoli 21 e 23 della NIS2, davanti a un''autorità diversa in vari Stati membri.

Non gestiteli come due progetti. La valutazione dei rischi, il registro degli asset, la procedura di incidente e il programma di esercitazioni devono essere un unico insieme di documenti al servizio di entrambi i regimi. I gestori che li separano finiscono con due registri dei rischi contraddittori e un auditor che trova la contraddizione per primo.

Da dove iniziare

Tre cose, in quest''ordine.

Primo, stabilite il perimetro per iscritto. Test dimensionale, motivi di designazione dell''articolo 2(2), stato CER e quale autorità nazionale è competente. Mettetelo nero su bianco e fatelo firmare all''organo di gestione del cliente.

Secondo, inventariate il parco OT. Ogni dispositivo, ogni percorso di rete, ogni via di accesso remoto, ogni terza parte in grado di raggiungere la rete di controllo. Nulla di ciò che viene dopo funziona senza questo.

Terzo, confrontate l''esistente con le dieci misure dell''articolo 21 e registrate le lacune con un responsabile e una data. È il documento che un''autorità di vigilanza chiede per primo, come esposto nella checklist delle evidenze di audit.

Se volete una lettura rapida della posizione di un cliente idrico prima di dimensionare l''incarico, fategli fare la nostra scansione rapida NIS2. Richiede pochi minuti e restituisce un quadro strutturato delle lacune su cui costruire la proposta.

Il settore idrico ha ricevuto il livello di vigilanza più severo della NIS2 e il minor numero di linee guida attuative. Questa combinazione è il motivo per cui questi clienti hanno bisogno di voi — e per cui chi aspetta che sia l''autorità a spiegare i requisiti finirà a dare spiegazioni in prima persona.