Sicurezza informatica

Sicurezza informatica per gli operatori dei parchi eolici: perché la sicurezza informatica sta diventando una priorità assoluta

Perché la sicurezza informatica riguarda anche i parchi eolici

Gli attacchi informatici fanno parte da tempo della vita quotidiana. Ciò che prima colpiva in particolare le banche e le grandi aziende, ora colpisce anche i parchi eolici, i gestori di rete e i fornitori di energia. Le infrastrutture energetiche sono un obiettivo attraente per gli hacker, sia per motivi finanziari, per destabilizzazione politica o semplicemente perché le vulnerabilità digitali possono essere sfruttate.

I parchi eolici hanno da tempo cessato di essere isole elettriche isolate. Sono integrati in un sistema digitalmente collegato in rete di centri di controllo, sensori, accesso remoto, software di manutenzione e applicazioni cloud. Questo rende i sistemi efficienti, ma anche vulnerabili.

Insomma, chiunque gestisca parchi eolici ha a che fare con la sicurezza informatica. Non a un certo punto, ma ora.

1. Cosa significa effettivamente sicurezza informatica?

La sicurezza informatica si riferisce a tutte le misure adottate per proteggere i sistemi informatici, le reti, i dispositivi e i dati da accessi non autorizzati, uso improprio, sabotaggio e perdita di dati. Ciò vale sia per gli aspetti tecnici (ad es. firewall, controlli degli accessi, aggiornamenti) che per i processi organizzativi (ad es. formazione, piani di emergenza, audit).

Nell'ambito dei parchi eolici, si parla di protezione:

• Tecnologia di controllo e regolazione (ad es. sistemi SCADA)
• del software di gestione delle operazioni
• di interfacce di comunicazione (ad es. VPN, accesso alla manutenzione remota)
• dei dati dei sensori e delle cifre chiave di funzionamento
• di contratti, piani e dati anagrafici

2. Perché la sicurezza informatica è particolarmente importante per i parchi eolici?

I parchi eolici non solo generano elettricità, ma fanno parte dell'infrastruttura critica (KRITIS). Ciò significa che un guasto può avere gravi ripercussioni sulla sicurezza dell'approvvigionamento e sull'economia. L'interesse dei criminali informatici per tali obiettivi è corrispondentemente alto.

Rischi tipici per i gestori di parchi eolici:

• Attacchi ransomware: I sistemi vengono crittografati e rilasciati nuovamente solo dietro riscatto.
• Manipolazione dei controlli: Sabotaggio degli impianti o immissione in rete.
• Furto di dati: È possibile intercettare dati sensibili del contratto, piani tecnici o dati personali.
• Uso improprio dell'accesso per la manutenzione remota: Accesso non autorizzato a causa di interfacce non sufficientemente sicure.
• Interruzioni delle forniture dovute ad attacchi ai sistemi di gestione operativa.

E spesso un singolo sistema obsoleto, un'e-mail di phishing o un accesso configurato in modo errato sono sufficienti per causare danni enormi.

3. La grande ondata di regolamentazione: cosa possono aspettarsi gli operatori

L'UE e il governo tedesco stanno rispondendo alle crescenti minacce informatiche con tutta una serie di nuove leggi e linee guida. L'obiettivo è quello di aumentare in modo significativo la sicurezza informatica nei settori di rilevanza sistemica, e di farlo in modo vincolante.

Panoramica delle normative più importanti:

a) Direttiva NIS 2 (UE)

• Valido da gennaio 2023 a livello dell'UE, attuazione nazionale fino a ottobre 2024
• Direttiva recante misure volte a garantire un livello comune elevato di cibersicurezza nell'UE
• Obblighi per i soggetti "importanti" ed "essenziali", compresi quelli del settore energetico
• Sono colpite anche le medie imprese con almeno 50 dipendenti o un fatturato di 10 milioni di euro nei settori critici
• Doveri:
  • Analisi dei rischi e misure di sicurezza
  • Gestione degli incidenti
  • Piani di emergenza
  • Audit di sicurezza della catena di approvvigionamento
  • Obbligo di notifica degli incidenti entro 24 ore
• Multe per violazioni: fino a 10 milioni di euro o il 2% del fatturato globale annuo

b) Legge ombrello KRITIS (KRITIS-DACHG)

• Integrato NIS-2, riguarda la sicurezza fisica delle infrastrutture critiche
• Gli operatori devono proteggere le risorse critiche da pericoli naturali, sabotaggi e attacchi fisici
• La sicurezza informatica fa parte di un concetto di protezione olistico
• Sarà particolarmente rilevante per i grandi parchi eolici e gli operatori di rete

c) Legge sulla ciberresilienza (CRA)

• Si prevede che si applichi in tutta l'UE a partire dal 2026
• Obiettivo: più sicurezza informatica per i prodotti e i software digitali
• I produttori e i distributori (ad es. produttori SCADA, OEM) devono dimostrare che i loro prodotti sono "sicuri fin dalla progettazione"
• Importante per gli operatori nella selezione e nell'utilizzo di nuovi componenti
• Gli operatori possono anche essere interessati indirettamente, ad esempio attraverso obblighi di aggiornamento

d) Direttiva sulla resilienza dei soggetti critici (CER)

• Integra il NIS-2 con i requisiti per la resilienza degli attori critici
• Gli operatori devono includere nella loro analisi dei rischi rischi come attacchi informatici, attacchi fisici, pandemie, eventi naturali, ecc.
• Gli obblighi di notifica e i concetti di protezione sono obbligatori

e) NIS2UmsuCG / BSIG-E (implementazione tedesca di NIS-2)

• Progetto di legge sull'attuazione della direttiva NIS 2
• Modifiche alla legge BSI (BSIG), in particolare:
• Ampliamento dell'ambito di applicazione
• Più obblighi per più aziende
• Introduzione di un registro delle imprese per la cibersicurezza
• Obbligo di nominare un "referente responsabile" per la cibersicurezza

4. Obblighi specifici per i gestori di parchi eolici

Le normative sono complesse, ma si riducono ad alcuni punti chiave. Gli operatori devono essere preparati ai seguenti requisiti:

a) Attuare misure di sicurezza

• Segmentazione delle reti
• Protezione delle interfacce (VPN, manutenzione remota)
• Utilizzo di software aggiornati e aggiornamenti regolari
• Controlli di accesso (ad es. autenticazione a due fattori)
• Concetti di emergenza e strategie di backup

b) Gestione delle vulnerabilità

• Revisione e valutazione periodica dei propri sistemi IT
• Scansioni di vulnerabilità e test di penetrazione
• Porre rimedio ai rischi entro un periodo di tempo definito

c) Segnalare incidenti di sicurezza

• Obbligo di notificare gli incidenti gravi alla BSI entro 24 ore
• Documentazione di guasti e tentativi di attacco
• Impostazione dei processi di risposta agli incidenti

d) Catena di approvvigionamento sicura

• Audit di sicurezza informatica di fornitori di servizi e fornitori
• Contratti con standard minimi
• Analisi dei rischi a livello di supply chain

e) Sensibilizzare i dipendenti

• Formazione su phishing, sicurezza delle password, segnalazione di incidenti, ecc.
• Costruire una cultura della sicurezza (ad es. attraverso campagne di sensibilizzazione)

5. Sfide tipiche nella pratica

L'attuazione di questi requisiti non è scontata. I gestori di parchi eolici più piccoli o in particolare i gestori devono affrontare ostacoli tangibili:

a) Ambienti IT complessi

Molte piante sono cresciute nel corso degli anni. Produttori diversi, sistemi incompatibili, software SCADA obsoleti: questo rende difficile creare una strategia di sicurezza uniforme.

b) Mancanza di risorse umane

La sicurezza informatica è un campo speciale. Molti operatori non dispongono né di un proprio reparto IT né di responsabili della sicurezza.

c) Mancanza di know-how

Spesso c'è una mancanza di consapevolezza su quali sistemi siano vulnerabili in primo luogo, per non parlare di come possono essere protetti.

d) Sistemi obsoleti

Molti parchi eolici hanno componenti in funzione che non sono stati aggiornati per 10 o più anni, spesso per paura di guasti.

e) Sulle spese

Gli investimenti nella sicurezza informatica costano, ma molti operatori non vedono (ancora) un ROI diretto.

6. Raccomandazioni: come far partire gli operatori in modo sensato

Anche se a prima vista i requisiti sembrano scoraggianti, non è necessario fare tutto in una volta. È importante procedere in modo strutturato e pragmatico:

1. Fare il bilancio

• Quali sistemi sono in uso?
• Quali sono gli accessi (manutenzione remota, internet)?
• Quali dati vengono trattati?

2. Esecuzione dell'analisi delle vulnerabilità

• C'è un software obsoleto?
• I sistemi sono connessi a Internet senza protezione?
• Chi ha accesso a cosa?

3. Attuazione degli standard minimi

• Segmentazione della rete
• Gestione delle patch
• Regole per le password e 2FA
• Piano di emergenza (ad es. ransomware)

4. Coinvolgere i fornitori di servizi

• Consulta fornitori di servizi IT o consulenti specializzati in sicurezza informatica
• Responsabilizzazione dei responsabili delle operazioni

5. Stabilire corsi di formazione

• Sensibilizzare regolarmente i dipendenti
• Segnalazione di incidenti ferroviari

6. Verifica i requisiti legali

• Sei coperto dalla normativa NIS2?
• Quali sono le scadenze e gli obblighi di comunicazione?
• Nome persona di contatto

7. La sicurezza informatica diventa obbligatoria, ma anche un'opportunità

Sì, lo sforzo è in aumento. Sì, sta diventando più tecnico. Ma: chi agisce in anticipo ha dei vantaggi. Non solo in termini di conformità legale, ma anche in termini di sicurezza operativa. Un singolo attacco informatico può costare mesi, nel peggiore dei casi, l'esistenza.

Inoltre, con un chiaro concetto di sicurezza informatica, gli operatori aumentano l'attrattiva per gli investitori, gli acquirenti e gli assicuratori dei parchi eolici, soprattutto in un sistema energetico digitalmente interconnesso e basato sul mercato.