Il 13 giugno l’Agenzia europea dei Regolatori dell’energia Acer ha pubblicato delle linee guida per valutare in maniera comparata costi ed efficacia degli investimenti nazionali per la sicurezza informatica nel settore elettrico.
Le varie Autorità di regolazione dei Paesi Ue avranno ora un anno per portare a termine le indagini, basandosi sui riferimenti forniti dalle linee guida.
In questo modo, rileva Acer, sarà possibile ottenere una panoramica su: costi di implementazione dei controlli di cybersecurity, nonché efficacia ed efficienza; prezzi dei servizi, dei sistemi e dei prodotti; livello di comparabilità dei costi e delle funzioni di prodotti e servizi; possibili opportunità per aumentare l’efficienza della spesa.
L’attività di Acer sul tema non si esaurisce qui. A inizio giugno l’Agenzia ha infatti annunciato di voler istituire un nuovo comitato europeo degli stakeholder sulla cybersecurity nel comparto elettrico.
Per questo motivo “invitiamo le associazioni che potrebbero offrire una prospettiva paneuropea sugli aspetti di sicurezza informatica dei flussi di energia elettrica transfrontalieri ad aderire”, spiega una nota.
La scadenza per presentare la propria richiesta di partecipazione è fissata al 2 luglio 2025, mentre la prima riunione del comitato è attesa in autunno (il file pdf con le modalità di candidatura è disponibile in basso).
Sullo sfondo di questa iniziativa, al pari di quella che ha portato alle linee guida descritte precedentemente, c’è il Codice di rete per la cybersecurity dell’energia elettrica entrato in vigore nel giugno 2024 (si veda anche Pubblicato il primo codice di cyber sicurezza per le reti elettriche Ue).
Nel prossimo futuro, attraverso il nuovo comitato, le associazioni di settore coopereranno tra loro e con le autorità indicate nel Codice di rete per: identificare i problemi e proporre miglioramenti all’implementazione del Codice; raccomandare future revisioni del Codice; valutare la necessità di eventuali norme di sicurezza aggiuntive da definire in campo elettrico; rispondere agli sviluppi tecnologici.
“Affrontando questi punti il comitato per la sicurezza informatica contribuirà a mantenere un livello elevato e comune di resilienza nella rete elettrica europea e ad adattare la politica all’evoluzione dei rischi digitali”, conclude l’Acer.
La cybersecurity nelle control room dell’energia
Le iniziative Acer sono sostenute e rilanciate anche da Entso-e, il network dei Tso europei, impegnato a sua volta nel campo della cybersecurity.
Una delle ultime iniziative in ordine di tempo è stata la pubblicazione di un position paper sulle “Soluzioni indipendenti dal fornitore per le sale di controllo di prossima generazione”.
Queste “control room” sono ormai diffuse nella gestione sia degli asset di generazione energetica sia delle reti a ogni livello di tensione. Tali apparati, però, non sono esenti da necessità di interoperabilità, automazione e “cyber-resilienza”, secondo Entso-e.
In particolare, “i Tso hanno raggiunto un punto cruciale in cui gli attuali sistemi di supervisione, controllo e acquisizione dati non sono più sufficienti”. Il nuovo documento “getta le basi per ridefinire le modalità di progettazione e gestione dei centri di controllo in futuro”, riflettendo “un cambio di paradigma nell’approccio dei Tso alle operazioni di sistema, promuovendo l’innovazione, le architetture aperte e un percorso collaborativo che garantisca sicurezza, interoperabilità e resilienza nel panorama energetico europeo”.
Secondo il documento, infine, “le sfide emergenti, come le nuove tecnologie di rete (fotovoltaico, eolico, Hvdc, microreti, accumulo), tra gli altri requisiti, richiedono adattamenti e flessibilità nei centri di controllo. Pertanto, i processi di sicurezza della rete paneuropea devono sfruttare la digitalizzazione e l’automazione per far fronte alle minacce informatiche”.
Ciò richiede, conclude il documento, “lo sviluppo di miglioramenti personalizzati per garantire funzionalità resilienti che consentano di monitorare, proteggere e controllare efficacemente il sistema elettrico. Le responsabilità dei Tso stanno crescendo, portando a cambiamenti nei loro profili con l’emergere di nuovi ruoli, mentalità e metodi di lavoro che devono essere affrontati”.
Da questo punto di vista è bene sottolineare che “nessun singolo fornitore è in grado di garantire tutte le funzionalità richieste con una qualità sufficiente, aggiornando i sistemi alla velocità richiesta”.
Sullo specifico aspetto della cybersecurity, infine, Entso-e sottolinea nel position paper come non sia sufficiente adottare il solo standard Iso 27001 sulla sicurezza delle informazioni, ma servono “ulteriori standard tecnici per l’implementazione di meccanismi supportati dall’Ict nei processi di sicurezza informatica”.
Infine, si suggerisce di sviluppare sistemi che operino in modalità isolata, in modo da contenre gli effetti di eventuali attacchi informatici andati a buon fine: “Il disaccoppiamento delle informazioni tra le zone consente l’isolamento in risposta agli incidenti”.
