NIS2 nel settore energia: chi rientra, dal fotovoltaico al gas

L'energia è il primo settore dell'allegato I della NIS2, quello dei settori ad alta criticità. Ci sono dentro le reti e chi le gestisce, ma anche chi vende luce e gas, chi produce energia elettrica, chi gestisce colonnine di ricarica o reti di teleriscaldamento. In molti casi si tratta di medie imprese che non si sentono «infrastruttura critica», eppure per il d.lgs. 138/2024 lo sono.

Questa guida mette in fila i sottosettori, i casi di confine che l'ACN ha chiarito nelle sue FAQ, dal fotovoltaico al GPL, lo status che ne deriva e cosa cambia in pratica, dalla sala controllo alla fatturazione.

I cinque sottosettori dell'energia

L'allegato I, punto 1, rinvia alle definizioni delle norme europee sul mercato dell'energia. In sintesi:

Valgono le regole generali dell'ACN: conta ciò che fate davvero e basta anche un'attività svolta in modo marginale (FAQ AMB.GE.4). Per l'energia non c'è l'eccezione della prevalenza che vale invece per acqua e rifiuti.

I casi di confine chiariti dall'ACN

Le FAQ dell'ACN sul settore energia rispondono ad alcune domande molto frequenti tra le imprese:

Il caso del fotovoltaico merita una spiegazione. L'allegato I include i «produttori» di energia elettrica, ma non richiama la figura del «cliente attivo», cioè il cliente finale che consuma o accumula l'energia prodotta nei propri locali, o vende quella autoprodotta, purché non sia la sua attività commerciale o professionale principale (direttiva (UE) 2019/944, art. 2, punto 8). Per l'ACN un'azienda che ha un impianto sul tetto dello stabilimento e risponde a questa definizione non entra nella NIS2 per questo motivo (FAQ A1.1.a.4). Chi invece produce energia come attività d'impresa, per esempio una società che gestisce parchi fotovoltaici o centrali idroelettriche, è un produttore, e se è almeno una media impresa rientra.

Dimensione e status: importanti o essenziali

Si entra dalla media impresa in su (art. 3, c. 2): da 50 dipendenti, oppure sotto i 50 con fatturato e totale di bilancio entrambi oltre 10 milioni di euro. Per calcolare la dimensione conta tutto il fatturato dell'impresa, non solo quello delle attività energetiche (FAQ A1.2), e nei gruppi si sommano le imprese collegate e la quota delle associate: le regole sono in a chi si applica la NIS2.

Siccome l'energia è nell'allegato I, la dimensione decide anche lo status:

• media impresa: soggetto importante, con 37 misure e 87 requisiti di base, tre tipi di incidente da notificare e vigilanza solo in presenza di elementi di violazione;
• grande impresa: soggetto essenziale (art. 6, c. 1, lett. a), con 43 misure e 116 requisiti, il quarto tipo di incidente (IS-4), ispezioni e audit anche senza indizi e sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale.

Due situazioni particolari, frequenti nel settore. I soggetti critici individuati ai sensi del d.lgs. 134/2024 sono essenziali a prescindere dalla dimensione; la qualifica arriva con l'inserimento nell'elenco dei soggetti critici e la relativa comunicazione (FAQ AMB.NO.1). Gli ex operatori di servizi essenziali della prima direttiva NIS devono mantenere, sui sistemi già individuati, le misure adottate allora (determinazione ACN 379907/2025, art. 5).

La proposta europea di modifica della NIS2, COM(2026) 13, vorrebbe chiarire l'ambito dei produttori di elettricità e dell'idrogeno. Non è stata adottata: oggi valgono le regole descritte qui.

Chi vi segue: ACN e Ministero dell'ambiente

Registrazione, vigilanza e sanzioni sono dell'Agenzia per la cybersicurezza nazionale. Per tutto il settore energia l'autorità di settore è il Ministero dell'ambiente e della sicurezza energetica (art. 11, c. 2, lett. e), che verifica l'elenco dei soggetti, propone all'ACN quelli da individuare e coordina i tavoli settoriali.

La registrazione si fa ogni anno dal 1° gennaio al 28 febbraio sul Portale ACN; seguono l'aggiornamento delle informazioni (15 aprile – 31 maggio) e la categorizzazione di attività e servizi (1° maggio – 30 giugno), con il modello che la determinazione ACN 155238/2026 riserva ai settori come energia, trasporti e sanità. Le date sono in le scadenze.

Cosa cambia: reti, impianti e clienti

In un'impresa energetica convivono due mondi, ed entrambi sono «sistemi informativi e di rete» per le misure dell'ACN.

• Gli impianti e il telecontrollo. Sistemi di supervisione, cabine e stazioni telecontrollate, inverter, contatori: sono dispositivi OT e IoT che la misura ID.AM-01 vuole nell'inventario. Chi può raggiungerli da remoto, e come, va scritto in un elenco aggiornato (PR.IR-01), con l'autenticazione a più fattori sui sistemi rilevanti (PR.AA-03).
• I portali dei costruttori. Molti impianti, soprattutto fotovoltaici ed eolici, si monitorano dalla piattaforma cloud di chi ha fornito inverter o turbine. Quel servizio è un fornitore da elencare e valutare, con requisiti di sicurezza nel contratto (GV.SC-05 e GV.SC-07) e nell'inventario dei servizi cloud (ID.AM-04).
• Clienti e fatturazione. Per chi vende luce e gas i sistemi critici sono spesso il CRM, la fatturazione e i flussi con i distributori: dati personali di migliaia di clienti e processi che non possono fermarsi a lungo.
• Continuità. Piani di continuità operativa, di ripristino e di gestione delle crisi approvati dai vertici e rivisti almeno ogni due anni (ID.IM-04), con backup anche delle configurazioni degli impianti (PR.DS-11).

Ricordate anche l'altro lato: per le aziende che sono soggetti NIS, la fornitura di energia elettrica è un esempio di fornitura «non fungibile», da indicare all'ACN tra i fornitori rilevanti (FAQ FRN.4). I vostri clienti più strutturati vi chiederanno quindi prove della vostra sicurezza. L'elenco completo delle misure è in le misure di sicurezza di base.

Un incidente concreto: il venditore di gas

Una società media che vende gas e luce a famiglie e imprese subisce un attacco: un ransomware cifra il CRM e la fatturazione, e gli attaccanti copiano l'anagrafica dei clienti con i dati di pagamento. Per una settimana non si emettono bollette e non si gestiscono i cambi di fornitore. Per la NIS2:

• è un IS-3 se il fermo supera i livelli di servizio che l'azienda ha fissato per quei servizi (DE.CM-01);
• è un IS-1, perché dati di cui l'azienda ha il controllo sono usciti verso l'esterno;
• se gli attaccanti avessero alterato letture o importi poi inviati ai clienti, sarebbe anche un IS-2, perdita di integrità con impatto esterno.

Pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese; in parallelo, la notifica al Garante privacy per i dati personali. Se l'attacco toccasse il telecontrollo di una rete di distribuzione, cambierebbero le persone coinvolte, non i tempi. Tutto il processo è in la notifica degli incidenti.

Da dove partire

1. Elencate le attività energetiche che svolgete, anche marginali: produzione, vendita, distribuzione, ricarica, stoccaggio.
2. Escludete con le FAQ i casi che non rientrano: cliente attivo, colonnine per i soli clienti, GNL liquido, distributori stradali.
3. Calcolate la dimensione sull'intero fatturato e sul gruppo, e capite se sareste importanti o essenziali.
4. Se siete dentro, fate l'inventario partendo dagli impianti e dagli accessi da remoto, e scrivete i livelli di servizio dei processi verso i clienti.

Con la verifica gratuita sapete in pochi minuti se siete dentro e perché. Pilot vi accompagna in otto tappe, dalla registrazione allo scadenzario dei documenti, con i fornitori che caricano i loro report da un link personale: iniziate gratis. Se volete essere seguiti da un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti