NIS2 per servizio idrico, acque reflue e gestione dei rifiuti: chi rientra

Acqua potabile, acque reflue e rifiuti sono servizi che nessuno nota finché funzionano. La NIS2 li tratta come settori critici: acqua potabile e acque reflue sono nell'allegato I del d.lgs. 138/2024, tra i settori ad alta criticità, la gestione dei rifiuti nell'allegato II. Hanno in comune una regola che non vale quasi da nessun'altra parte: conta l'attività prevalente.

Questa guida è per gestori del servizio idrico, aziende di depurazione, imprese di raccolta, trattamento e intermediazione dei rifiuti, e per i comuni e le società pubbliche che se ne occupano: chi rientra, come si calcola la prevalenza, lo status e cosa cambia negli impianti.

Tre settori, una regola in comune

Sono le tre eccezioni che l'ACN elenca alla regola generale per cui basta anche un'attività marginale (FAQ AMB.GE.4). Le definizioni di dettaglio sono nelle FAQ di settore: A1.6.1 per l'acqua potabile, A1.7.1 per le acque reflue, A2.2.1 per i rifiuti. Per tutti e tre vale poi la soglia della media impresa (art. 3, c. 2).

Come si calcola l'attività prevalente

L'ACN ha dato un criterio semplice, lo stesso per i tre settori: le attività del settore non sono quelle principali se il fatturato che producono non supera quello delle altre attività svolte dalla stessa organizzazione (FAQ A1.6.4, A1.7.4 e A2.2.4). Due conseguenze pratiche:

• un'industria che depura i propri scarichi con un impianto interno non diventa per questo un'impresa di acque reflue, perché non è la sua attività principale;
• un'impresa di trasporti che porta anche rifiuti, per una parte piccola del fatturato, non rientra nella gestione dei rifiuti; può però rientrare per altre attività, come spiega la guida su trasporti e logistica.

Attenzione a non confondere i due calcoli. La prevalenza si misura confrontando il fatturato delle attività; la dimensione dell'impresa, invece, si calcola su tutto il fatturato e su tutti i dipendenti, gruppo compreso (FAQ A1.2). Le soglie sono in a chi si applica la NIS2.

Per l'acqua potabile la prevalenza riguarda solo i distributori: l'eccezione dell'allegato esclude quelli per cui la distribuzione di acqua è una parte non essenziale della distribuzione di altri prodotti (FAQ A1.6.1 e A1.6.3). Un'azienda multiservizi, infine, va guardata servizio per servizio: se distribuisce anche gas o energia elettrica, per quelle attività la prevalenza non conta e rientra comunque, come spiega la guida sul settore energia.

Comuni, società in house ed enti d'ambito

In questi settori molti gestori sono pubblici o partecipati. Le FAQ dell'ACN chiariscono tre situazioni.

• Comuni ed enti locali. Non entrano nella NIS2 per le attività in acqua potabile, acque reflue o rifiuti, se queste non sono la loro attività prevalente (FAQ A1.6.3, A1.7.3 e A2.2.3). Restano gli altri motivi per cui un ente può essere dentro, come l'allegato III: ne parla la guida sulla pubblica amministrazione.
• Società in house, partecipate e controllate. Seguono le stesse regole delle imprese private: la NIS2 non distingue tra settore pubblico e privato (FAQ A1.6.2, A1.7.2 e A2.2.2, che richiamano la AMB.PU.2). Una società in house che gestisce il servizio idrico ed è almeno media impresa rientra.
• Enti di governo d'ambito. Non rientrano nei settori dell'acqua potabile e delle acque reflue; collaborano però con Regioni e Province autonome nel supporto all'autorità di settore per i soggetti del loro territorio (FAQ A1.6.5 e A1.7.5).

Status e autorità di settore

Lo status dipende dall'allegato. Per acqua potabile e acque reflue, nell'allegato I, una media impresa è soggetto importante e una grande soggetto essenziale (art. 6, c. 1, lett. a), con 43 misure e 116 requisiti di base, il quarto tipo di incidente da notificare e ispezioni anche senza indizi. Chi gestisce solo rifiuti, nell'allegato II, è soggetto importante anche se è grande, con 37 misure e 87 requisiti. Se svolgete attività di più settori, lo status lo attribuisce l'ACN: è prudente prepararsi a quello più severo.

Per tutti e tre i settori l'autorità di settore è il Ministero dell'ambiente e della sicurezza energetica (art. 11, c. 2, lett. e); registrazione, vigilanza e sanzioni sono dell'ACN. Per i soggetti di carattere regionale il decreto rinvia a un accordo in Conferenza Stato-Regioni sulla collaborazione con le Regioni (art. 11, c. 5). La registrazione si fa ogni anno dal 1° gennaio al 28 febbraio: i passi sono in registrazione e punto di contatto.

Cosa cambia negli impianti e sui mezzi

Pozzi, centrali di sollevamento, potabilizzatori, depuratori e impianti di trattamento dei rifiuti sono governati da sistemi di telecontrollo, quadri con PLC e stazioni remote collegate spesso con reti mobili. Per le misure dell'ACN sono «sistemi informativi e di rete» come i server, e sono quelli che più spesso mancano negli inventari.

• Inventario degli impianti. La misura ID.AM-01 chiede l'inventario degli apparati «ivi inclusi i dispositivi IT, IoT, OT e mobili»: stazioni remote, PLC, sensori, pannelli operatore.
• Accessi da remoto. Integratori e manutentori intervengono spesso da remoto sugli impianti. Serve l'elenco dei sistemi raggiungibili da fuori con le modalità di accesso (PR.IR-01), l'autenticazione a più fattori sui sistemi rilevanti (PR.AA-03) e la registrazione di tutti gli accessi da remoto (PR.PS-04).
• Saper lavorare in manuale. I piani di continuità e di gestione delle crisi (ID.IM-04) devono dire come si gestiscono gli impianti se il telecontrollo è fermo o inaffidabile, e i backup devono comprendere programmi e configurazioni dei PLC (PR.DS-11).
• Mezzi e tracciabilità. Per chi gestisce rifiuti contano anche la telematica dei mezzi, le pese, la pianificazione dei giri di raccolta e i registri digitali per la tracciabilità dei rifiuti, spesso su piattaforme di fornitori esterni da valutare e vincolare nei contratti (GV.SC-05 e GV.SC-07).

L'elenco completo delle misure, con chi fa cosa tra azienda e fornitore, è in le misure di sicurezza di base.

Un incidente concreto: il telecontrollo

Un gestore del servizio idrico di grandi dimensioni, quindi soggetto essenziale, nota valori anomali nel dosaggio del cloro di un impianto. Qualcuno è entrato in una stazione remota usando un software di accesso remoto lasciato installato da un manutentore e ha cambiato alcuni parametri. Gli operatori passano in manuale e ripristinano i valori.

• C'è stato un accesso non autorizzato a dati digitali dell'azienda, i parametri di dosaggio: IS-4, da notificare per i soggetti essenziali.
• Se i parametri alterati hanno avuto effetti sull'acqua distribuita, è anche un IS-2, perdita di integrità con impatto verso l'esterno.
• Se l'erogazione si è interrotta oltre i livelli di servizio scritti dal gestore, è un IS-3.

Pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Gli obblighi sulla qualità dell'acqua verso le autorità sanitarie seguono le loro regole e non sono sostituiti dalla notifica NIS. Per un'impresa di raccolta dei rifiuti lo scenario tipico è diverso, un ransomware che blocca pianificazione dei giri e pese per giorni, ma la regola è la stessa: conta il superamento dei livelli di servizio che avete scritto (DE.CM-01). I dettagli sono in la notifica degli incidenti.

Da dove partire

1. Calcolate la prevalenza confrontando il fatturato delle attività del settore con quello delle altre.
2. Calcolate la dimensione su tutto il fatturato e sul gruppo, e capite lo status.
3. Controllate le altre voci: energia, trasporti, servizi informatici per il gruppo.
4. Se siete dentro, partite dall'inventario degli impianti e dall'elenco degli accessi da remoto dei fornitori.
5. Scrivete i livelli di servizio di erogazione, depurazione o raccolta e provate il funzionamento in manuale.

La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi accompagna poi in otto tappe, con lo scadenzario dei documenti e un link personale da cui integratori e manutentori caricano i loro report: iniziate gratis. Se volete essere seguiti da un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti