Nel 2026, con l’entrata a regime piena della Direttiva NIS2 recepita in Italia dal Decreto Legislativo 138/2024, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha definito le specifiche di base che rappresentano il livello minimo obbligatorio di protezione per i soggetti essenziali e importanti. Queste specifiche, dettagliate nella Determinazione ACN n. 379907/2025 e accompagnate dalle linee guida pubblicate nel 2025, introducono un approccio concreto e misurabile alla cosiddetta igiene informatica, spostando l’attenzione da principi generali a misure tecniche obbligatorie e verificabili.
Le specifiche di base si basano sul Framework Nazionale per la Cybersecurity e la Data Protection (edizione 2025) e sono organizzate in funzioni, categorie, sottocategorie e requisiti. Per i soggetti importanti sono previste 37 misure di sicurezza articolate in 87 requisiti, mentre per i soggetti essenziali le misure salgono a 43 con un totale di 116 requisiti. Questa differenziazione rispetta il principio di proporzionalità previsto dall’art. 31 del decreto NIS, considerando il maggiore impatto potenziale di incidenti su infrastrutture critiche.
Le Misure Chiave: Focus su Crittografia, MFA e Patch Management
Tra le misure più rilevanti per gli impianti energetici e le infrastrutture OT (Operational Technology), l’ACN pone l’accento su tre pilastri tecnici fondamentali per ridurre drasticamente la superficie di attacco e la finestra di vulnerabilità:
- Crittografia End-to-End Obbligatoria Le specifiche impongono l’adozione di protocolli di crittografia moderni e allo stato dell’arte per la protezione dei dati in transito e a riposo. Questo include l’uso di TLS 1.3 o superiore per comunicazioni remote, algoritmi robusti come AES-256 e politiche di gestione delle chiavi crittografiche. Nei contesti OT/SCADA, la crittografia end-to-end diventa essenziale per proteggere telemetria, comandi di controllo e dati sensibili scambiati tra sensori, PLC e centri di controllo. Senza questa misura, intercettazioni man-in-the-middle o injection di falsi dati (False Data Injection Attacks) restano facilmente realizzabili, come dimostrato da attacchi storici su infrastrutture energetiche.
- Autenticazione a Più Fattori (MFA) per Ogni Accesso Remoto L’MFA non è più opzionale: diventa requisito obbligatorio per tutti gli accessi remoti a sistemi critici, inclusi VPN, console di gestione SCADA, interfacce cloud e account privilegiati. Le linee guida ACN sottolineano che l’autenticazione multifattore deve essere applicata in modo rigoroso, con meccanismi resistenti a phishing (es. FIDO2/WebAuthn o push notification sicuri). Nei settori energia e utilities, dove gli accessi remoti da parte di manutentori o fornitori sono frequenti, l’assenza di MFA rappresenta una delle principali vie di ingresso per attacchi credential-stuffing o social engineering. L’ACN richiede anche la gestione centralizzata degli account privilegiati e il monitoraggio continuo di sessioni remote.
- Sistemi di Patch Management Automatizzati Uno dei requisiti più stringenti riguarda la gestione automatizzata delle patch di sicurezza per ridurre al minimo la finestra di esposizione alle vulnerabilità note. Le specifiche impongono processi di vulnerability assessment periodici (scansioni automatizzate), priorizzazione basata sul rischio (CVSS + contesto OT) e applicazione tempestiva delle patch, con test in ambienti di staging per evitare impatti su sistemi legacy. Nei contesti industriali, dove firmware e sistemi embedded possono essere difficili da aggiornare, l’ACN spinge verso soluzioni di patching over-the-air (OTA) sicure e verso la segmentazione per isolare dispositivi non patchabili. Questo riduce drasticamente il rischio di exploit di vulnerabilità zero-day o note non corrette, come quelle sfruttate in attacchi ransomware su infrastrutture critiche.
Queste tre misure, integrate in domini come PR.DS (Data Security), PR.PS (Protective Technology) e ID.RA (Risk Assessment) del Framework Nazionale, rappresentano il nucleo dell’igiene informatica avanzata richiesta dall’ACN. Sono obbligatorie entro 18 mesi dalla notifica di inserimento nell’elenco NIS (tipicamente ottobre 2026 per molti soggetti), con scadenze intermedie per obblighi operativi immediati già dal gennaio 2026.
Impatto sul Settore Energetico e Prossimi Passi
Per gli operatori energetici (Terna, distributori, produttori rinnovabili), queste specifiche rappresentano un cambio di paradigma: da una cybersecurity reattiva a una proattiva e misurabile. L’integrazione di crittografia end-to-end, MFA obbligatoria e patch management automatizzato riduce significativamente i rischi legati a intrusioni remote, manipolazione di dati OT e propagazione di malware (es. Sandworm-style attacks).
Le organizzazioni devono ora:
- Effettuare una gap analysis rispetto alle 37/43 misure.
- Prioritizzare l’implementazione di MFA e patch management automatizzato.
- Documentare e testare i processi di crittografia in ambienti OT.
- Preparare audit e reporting per dimostrare conformità all’ACN.
L’igiene informatica non è più un “nice-to-have”: con le specifiche di base dell’ACN, diventa un obbligo legale con responsabilità dirette per gli organi di amministrazione e sanzioni fino al 2% del fatturato globale. Nel 2026, adeguarsi non significa solo evitare multe, ma proteggere la resilienza energetica nazionale in un contesto di minacce ibride crescenti.