Regolamento (UE) 2024/1366

Regolamento delegato (UE) 2024/1366: cibersicurezza dei flussi transfrontalieri di energia elettrica

Il regolamento integra il regolamento (UE) 2019/943 istituendo un codice di rete settoriale per gli aspetti di cibersicurezza dei flussi transfrontalieri di energia elettrica. La ratio è rafforzare la sicurezza dell’approvvigionamento, prevenire e gestire crisi elettriche connesse ad attacchi informatici e assicurare un livello elevato e comune di protezione in tutta l’Unione, in coordinamento con NIS 2, con il regolamento sulla preparazione ai rischi nel settore elettrico e con la disciplina UE sulla certificazione di cibersicurezza.

Ambito di applicazione e soggetti interessati

Il regolamento si applica agli aspetti di cibersicurezza connessi ai flussi transfrontalieri di energia elettrica e riguarda soltanto i soggetti individuati come ad alto impatto o a impatto critico dall’autorità competente ai sensi dell’articolo 24. Tra i soggetti elencati all’articolo 2 figurano imprese elettriche, gestori del mercato elettrico designati, mercati organizzati che trattano prodotti rilevanti per i flussi transfrontalieri, prestatori di servizi TIC critici, ENTSO per l’energia elettrica, EU DSO, responsabili del bilanciamento, gestori di punti di ricarica, centri di coordinamento regionali e prestatori di servizi di sicurezza gestiti.

Il regolamento si applica anche a soggetti non stabiliti nell’Unione che prestano servizi a soggetti nell’UE, se identificati come ad alto impatto o critici. Restano ferme la competenza degli Stati membri in materia di sicurezza nazionale e la specifica tutela delle attività di produzione di energia elettrica da centrali nucleari. È inoltre chiarito che il trattamento di dati personali avviene nel rispetto del regolamento (UE) 2016/679.

Autorità competenti, coordinamento e governance

L’articolo 4 impone a ciascuno Stato membro di designare entro il 13 dicembre 2024 un’autorità competente per l’esecuzione del regolamento; in via transitoria, i compiti spettano all’autorità di regolazione nazionale già designata ai sensi della direttiva (UE) 2019/944. La designazione deve essere notificata senza indugio alla Commissione, all’ACER, all’ENISA, al gruppo di cooperazione NIS e al gruppo di coordinamento per l’energia elettrica.

L’articolo 5 richiede che le autorità competenti coordinino le relazioni tra autorità per la cibersicurezza, autorità di gestione delle crisi informatiche, autorità di regolazione, autorità per la preparazione ai rischi e CSIRT, evitando duplicazioni e garantendo una cooperazione effettiva. È previsto un modello di cooperazione multilivello che coinvolge anche ACER, ENISA, ENTSO e EU DSO.

Definizioni operative rilevanti

L’articolo 3 contiene definizioni molto puntuali, centrali per l’interpretazione del regolamento. Tra le nozioni più importanti vi sono:

• asset, processo a impatto alto/critico e relativi perimetri;
• soglia di alto impatto e di impatto critico;
• prestatori di servizi TIC critici;
• ECII, ossia indice di impatto sulla cibersicurezza dell’energia elettrica;
• attacco informatico, minaccia informatica, vulnerabilità e vulnerabilità sfruttata attivamente non risolta;
• sistema di gestione della cibersicurezza e centro operativo per la cibersicurezza;
• crisi simultanea dell’energia elettrica.

Le definizioni sono costruite in modo da concentrare la disciplina sugli effetti dei possibili attacchi sui flussi transfrontalieri e sulla sicurezza operativa del sistema elettrico, non su danni reputazionali o puramente economico-finanziari.

Elaborazione di metodologie, controlli e piani

Gli articoli 6-10 disciplinano la procedura di adozione di tutte le misure tecniche e organizzative più rilevanti. I TSO, con il supporto dell’ENTSO per l’energia elettrica e in cooperazione con l’EU DSO, elaborano proposte di metodologie, controlli, raccomandazioni e piani; tali atti sono poi approvati dalle autorità competenti interessate.

Sono sottoposti ad approvazione, in particolare:

• le metodologie di valutazione del rischio per la cibersicurezza;
• la relazione globale di valutazione transfrontaliera del rischio;
• i controlli minimi e avanzati di cibersicurezza, inclusa la mappatura rispetto alle norme;
• la raccomandazione per gli appalti riguardo alla cibersicurezza;
• la metodologia della scala di classificazione degli attacchi informatici.

L’EU DSO può formulare un parere motivato; l’ACER può esprimere un parere su richiesta delle autorità di regolazione nazionali e consulta l’ENISA. In caso di mancato accordo, le autorità informano la Commissione, che può intervenire per consentire l’adozione degli atti necessari.

Valutazione dei rischi: approccio comune e tempistiche

Il capo II costruisce un sistema graduale di valutazione del rischio su più livelli. L’articolo 18 affida ai TSO la proposta, entro il 13 marzo 2025, di metodologie di valutazione del rischio per la cibersicurezza a livello UE, regionale e nazionale. Tali metodologie devono includere almeno:

• l’elenco delle minacce informatiche, comprese quelle della catena di approvvigionamento;
• i criteri per qualificare l’impatto come alto o critico;
• l’analisi del rischio derivante da sistemi legacy, effetti a cascata e funzionamento in tempo reale;
• l’analisi del rischio da dipendenza da un unico fornitore.

Le metodologie devono utilizzare una matrice unica dell’impatto del rischio, che misura le conseguenze in termini di perdita di carico, riduzione di produzione, perdita di capacità di black start, durata e ampiezza delle interruzioni e altri criteri pertinenti; la probabilità è misurata in frequenza annuale di attacchi.

L’ECII è l’indice che consente di classificare l’impatto operativo di un processo e di determinare le soglie di alto impatto e di impatto critico. Le valutazioni a livello dell’Unione, nazionale e regionale sono poi sviluppate secondo un calendario preciso: relazione UE entro 9 mesi dall’approvazione delle metodologie, relazione nazionale entro 21 mesi dalla notifica dei soggetti, relazione regionale entro 30 mesi, piano regionale di attenuazione entro 36 mesi e relazione globale transfrontaliera entro 40 mesi.

Individuazione dei soggetti ad alto impatto e a impatto critico

L’articolo 24 attribuisce all’autorità competente il compito di individuare i soggetti nazionali e quelli extra-UE che superano le soglie di ECII indicate nella relazione UE. L’autorità può anche individuare gruppi di soggetti, in uno o più Stati membri, quando un attacco simultaneo su più soggetti può generare un impatto aggregato superiore alle soglie. In tal caso, tutti i soggetti del gruppo sono qualificati come ad alto impatto o critici secondo l’ECII aggregato.

La notifica ai soggetti individuati deve avvenire, in linea di massima, entro 9 mesi dalla notifica della relazione UE e comunque entro il 13 giugno 2028.

Obblighi di gestione del rischio a livello di soggetto

L’articolo 26 impone ai soggetti ad alto impatto e a impatto critico di gestire il rischio per tutti gli asset nei relativi perimetri, mediante un ciclo di gestione articolato in quattro fasi:

• definizione del contesto;
• valutazione del rischio;
• trattamento del rischio;
• accettazione del rischio residuo.

Il soggetto deve individuare i processi rilevanti, valutare minacce, vulnerabilità e scenari di attacco, classificare i processi e gli asset, definire i perimetri ad alto impatto e critici e determinare un piano di attenuazione a livello di soggetto. Gli asset devono essere registrati in un inventario, che resta distinto dalla relazione di valutazione del rischio.

L’articolo 27 richiede una relazione periodica all’autorità competente entro 12 mesi dalla notifica e poi ogni tre anni, con indicazione dei controlli selezionati e del loro stato di attuazione, della stima del rischio per ciascun processo UE ad alto impatto o critico e dell’elenco dei prestatori di servizi TIC critici.

Quadro comune di cibersicurezza: controlli, gestione e verifica

Gli articoli 28-32 istituiscono il quadro comune per la cibersicurezza dell’energia elettrica, composto da controlli minimi, controlli avanzati, matrice di mappatura e sistema di gestione della cibersicurezza. I soggetti ad alto impatto applicano i controlli minimi, mentre quelli a impatto critico applicano i controlli avanzati nei rispettivi perimetri.

I controlli iniziali devono essere elaborati entro 7 mesi dalla presentazione del primo progetto di relazione UE; entro 12 mesi dall’approvazione, i soggetti individuati devono applicarli nei rispettivi perimetri. Il sistema di gestione della cibersicurezza deve essere istituito entro 24 mesi dalla notifica e deve coprire tutti gli asset nei perimetri ad alto impatto e critici, includendo governance, responsabilità, risorse, documentazione, audit interni, monitoraggio, riesame e miglioramento continuo.

Per i soggetti a impatto critico è prevista anche una verifica specifica della conformità, entro 24 mesi dall’adozione dei controlli e del sistema di gestione, mediante audit indipendenti o un sistema nazionale di verifica. La nuova verifica si ripete al massimo ogni 36 mesi e poi ogni tre anni.

Deroghe ai controlli minimi e avanzati

L’articolo 30 consente, in casi eccezionali, deroghe all’obbligo di applicare i controlli minimi e avanzati. La deroga può essere concessa se il soggetto dimostra che i costi superano significativamente i benefici oppure se presenta un piano di trattamento del rischio che raggiunge un livello accettabile mediante controlli alternativi.

L’autorità competente decide entro 3 mesi e le deroghe durano al massimo 3 anni, rinnovabili. Le deroghe concesse sono incluse, in forma aggregata e anonimizzata, nella relazione globale transfrontaliera del rischio.

Catena di approvvigionamento, appalti e certificazione

Gli articoli 33-36 dedicano un’attenzione specifica ai rischi della supply chain, riconoscendo che gli attacchi recenti sfruttano sempre più i fornitori e possono produrre effetti a cascata. I controlli minimi di catena di approvvigionamento riguardano, tra l’altro:

• requisiti di sicurezza per gli appalti di prodotti, servizi e processi TIC;
• controlli sui precedenti del personale del fornitore;
• progettazione, sviluppo e produzione sicuri;
• accessi del fornitore e obblighi contrattuali;
• tracciabilità delle specifiche di sicurezza;
• aggiornamenti di sicurezza lungo il ciclo di vita;
• audit rights;
• valutazione del profilo di rischio del fornitore;
• diversificazione delle fonti e riduzione della dipendenza da un singolo fornitore.

Per i soggetti a impatto critico, i controlli avanzati prevedono verifiche, già in fase di appalto, che prodotti, servizi e processi TIC rispettino le specifiche di cibersicurezza, anche tramite sistemi europei di certificazione o verifiche dedicate. Le procedure di appalto interessate si applicano alle gare avviate sei mesi dopo l’adozione o l’aggiornamento dei controlli.

Raccomandazioni per gli appalti e mappatura con norme tecniche

L’articolo 35 prevede un programma di lavoro per raccomandazioni non vincolanti sugli appalti di sicurezza, da aggiornare a ogni nuova relazione regionale di valutazione del rischio. Le raccomandazioni devono essere comparabili tra regioni e coerenti con la direttiva 2014/24/UE e con i sistemi di certificazione UE disponibili.

L’articolo 34 istituisce una matrice di mappatura dei controlli verso norme europee e internazionali e, se del caso, verso quadri legislativi nazionali. Questa matrice è rilevante per collegare i controlli settoriali ai controlli già riconosciuti in altri ordinamenti o standard tecnici.

Condivisione delle informazioni, attacchi informatici e vulnerabilità

Il capo V prevede un sistema di circolazione rapida delle informazioni. Le autorità competenti, una volta ricevuta una segnalazione, devono valutare la riservatezza entro 24 ore, condividere le informazioni con punti di contatto nazionali, CSIRT e autorità omologhe di altri Stati membri, e diffondere una versione anonimizzata ai soggetti interessati.

I CSIRT devono, a loro volta, reagire rapidamente alle vulnerabilità sfruttate attivamente non risolte, condividendole con ENISA e con gli altri CSIRT rilevanti. È inoltre prevista la classificazione degli attacchi informatici su scala a cinque livelli, da definire entro il 13 giugno 2025, con i livelli più elevati denominati "alta" e "critica".

I soggetti ad alto impatto e critici devono essere in grado di condividere entro 4 ore le informazioni su attacchi segnalabili e su minacce informatiche con i loro CSIRT e con l’autorità competente, indicando la classificazione dell’incidente. Devono inoltre predisporre capacità di cyber security operations center o ricorrere a MSSP, mantenendo la responsabilità dell’operato di questi ultimi.

Gestione delle crisi e continuità operativa

Gli articoli 40 e 41 costruiscono un sistema di gestione delle crisi a due livelli, nazionale e unionale. In caso di crisi elettrica connessa a un attacco informatico con impatto su più Stati membri, si istituisce un gruppo ad hoc transfrontaliero che coordina informazioni, comunicazione, supporto tecnico e relazioni con Commissione, gruppo di coordinamento per l’energia elettrica ed EU CyCLONe se si tratta di incidente su vasta scala ai sensi della direttiva NIS 2.

ACER deve elaborare entro 24 mesi dalla notifica della relazione UE un piano di gestione delle crisi di cibersicurezza e di risposta a livello dell’Unione per il settore elettrico; l’autorità competente deve poi predisporre entro 12 mesi un piano nazionale coerente con quello UE e con il piano nazionale di preparazione ai rischi. I soggetti a impatto critico e ad alto impatto devono, a loro volta, predisporre un piano di gestione delle crisi a livello di soggetto, integrato nella continuità operativa, da testare almeno ogni tre anni.

Esercitazioni di cibersicurezza

Gli articoli 43-45 impongono esercitazioni periodiche. I soggetti a impatto critico devono effettuare esercitazioni entro il 31 dicembre dell’anno successivo alla notifica e poi ogni tre anni; gli Stati membri possono sostituire l’esercitazione del soggetto con una esercitazione nazionale. A livello regionale o transregionale, ENTSO ed EU DSO organizzano esercitazioni entro il 31 dicembre 2029 e poi ogni tre anni, con modelli di scenario da mettere a disposizione e con il supporto di ENISA.

Ogni esercitazione deve concludersi con una relazione di sintesi degli insegnamenti tratti e con raccomandazioni operative; i risultati possono essere condivisi con CSIRT, NIS Cooperation Group ed EU CyCLONe, e deve essere verificata l’attuazione delle raccomandazioni.

Protezione delle informazioni e riservatezza

Gli articoli 46 e 47 disciplinano in modo dettagliato la protezione delle informazioni scambiate, con un’impostazione centrata su necessità di conoscere, tracciabilità del ciclo di vita, anonimizzazione, segreto professionale e limitazione delle finalità. Le informazioni possono essere divulgate a terzi solo in presenza di consenso scritto dell’originatore, salvo eccezioni limitate per prevenire crisi gravi o quando la divulgazione sia effettuata da autorità competenti con adeguate garanzie.

L’ACER deve emettere entro il 13 giugno 2025 orientamenti su meccanismi di scambio, canali di comunicazione e tecniche di anonimizzazione e aggregazione. Le disposizioni valorizzano la cooperazione tra autorità della cibersicurezza, regolazione, preparazione ai rischi e privacy, preservando la riservatezza commerciale e la sicurezza dei soggetti interessati.

Disposizioni transitorie e applicazione

L’articolo 48 prevede una fase transitoria fino all’approvazione dei termini e delle condizioni o delle metodologie e dei piani. In tale fase, ENTSO ed EU DSO elaborano orientamenti non vincolanti su ECII provvisorio, elenco provvisorio dei processi ad alto impatto/critici e elenco provvisorio delle norme e controlli rilevanti. Gli Stati membri individuano i candidati a soggetti ad alto impatto o critici sulla base dell’ECII provvisorio e i soggetti così notificati possono adempiere volontariamente agli obblighi in via prudenziale.

L’articolo 49 stabilisce che il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.