Con il recepimento della direttiva NIS2 (Direttiva UE 2022/2555) attraverso il D.Lgs. 138/2024, l’Italia ha ampliato gli obblighi di cybersecurity per i soggetti rientranti nei settori essenziali e importanti. Tra i settori interessati figura quello dell’energia, che include anche le organizzazioni che gestiscono impianti fotovoltaici. Tuttavia, l’applicabilità della normativa a queste realtà, soprattutto quando gli impianti sono destinati all’autoconsumo, pone interrogativi significativi per le aziende che, pur rispettando i criteri dimensionali, non si percepiscono come operatori di infrastrutture essenziali.
Normativa NIS2 e obblighi per gli impianti fotovoltaici (e biomassa)
La direttiva NIS2 mira a migliorare la resilienza delle infrastrutture nazionali contro attacchi informatici e include, tra i settori regolamentati, l’energia elettrica. I criteri per identificare i soggetti obbligati sono:
- Criteri dimensionali: imprese con più di 50 dipendenti e un fatturato o bilancio annuo superiore a 10 milioni di euro.
- Settore di attività: aziende che operano nella produzione, distribuzione o gestione di energia.
Le organizzazioni che possiedono impianti fotovoltaici, dunque, potrebbero ricadere nell’ambito di applicazione, anche se l’energia prodotta è destinata principalmente all’autoconsumo e non alla vendita.
Impianti fotovoltaici per autoconsumo: sono soggetti alla NIS2?
Molte aziende italiane si sono dotate di impianti fotovoltaici come parte delle strategie di sostenibilità o per ridurre i costi energetici. In tali casi, l’energia prodotta viene utilizzata internamente, con una minima o nulla immissione nella rete nazionale. Questo pone un problema interpretativo: tali aziende possono essere considerate soggetti essenziali o importanti ai sensi della normativa NIS2?
La normativa non fa alcun riferimento a soglie di volume di energia elettrica prodotta, estendendo la possibile applicabilità a una moltitudine di soggetti.
Infatti, la definizione di produttore riportata anche da ACN è individuabile all’art 2 punto 38 della Direttiva UE 2019/944 che considera produttore
“la persona fisica o giuridica che produce energia elettrica”;
pertanto, attualmente non sembra rilevare l’effettiva quantità di energia elettrica immessa sulla rete nazionale.
ACN ha pubblicato, all’interno delle FAQ sulla NIS2, la FAQ A1.1.a.1 stabilendo quali sono i soggetti che rientrano in questo settore:
- Organizzazioni soggette alla direttiva 2019/944 recepita dal D.lgs. 201/2021
- Organizzazioni soggette all’applicazione del regolamento 2019/943/UE
- Organizzazioni riconducibili a un gestore di un punto di ricarica ed è responsabile della gestione e del funzionamento di un punto di ricarica.
Inoltre, per l’ottenimento di agevolazioni fiscali, alcune aziende hanno optato per l’inserimento dei Codice ATECO 35.11 (Produzione di energia elettrica) e 35.14 (Commercio di energia elettrica). In questo caso, durante la procedura di registrazione, il sistema obbliga l’aggiunta del settore Energia.
Cosa comporta l’applicazione della NIS2 per produttori di energia
L’applicazione della normativa NIS2 comporta obblighi rilevanti, tra cui:
- Mappatura dei rischi informatici legati agli impianti fotovoltaici.
- Adozione di misure di sicurezza informatica adeguate, come firewall, sistemi di monitoraggio e backup.
- Creazione di un piano di continuità operativa per garantire la resilienza degli impianti.
- L’adozione di processi di reporting degli incidenti di sicurezza al CSIRT nazionale.
Questi adempimenti, progettati per operatori essenziali, possono risultare onerosi per le aziende non orientate alla produzione energetica.
Come verificare se la tua azienda è soggetta agli obblighi NIS2
Per stabilire se l’organizzazione con impianti fotovoltaici è tenuta a rispettare la normativa, è importante seguire questi passaggi:
- Analizzare il proprio profilo di rischio: valutare se l’impianto fotovoltaico può influire sulla sicurezza energetica o digitale.
- Verificare il perimetro applicativo: esaminare i criteri dimensionali e settoriali alla luce delle linee guida del decreto.
- Implementare misure proporzionate: adeguarsi ai requisiti di sicurezza laddove sussista un rischio reale.
L’applicazione della normativa NIS2 alle organizzazioni con impianti fotovoltaici rappresenta un tema complesso che richiede un’interpretazione equilibrata delle disposizioni normative. Sebbene l’intento della direttiva sia chiaro, è necessario distinguere tra operatori con un impatto critico sulla rete energetica e realtà che utilizzano l’energia principalmente per autoconsumo.
Un chiarimento normativo o una guida applicativa specifica da parte delle autorità competenti potrebbe ridurre l’incertezza e garantire un’implementazione più efficace e proporzionata.
Per approfondire il tema e restare sempre aggiornato, unisciti al nostro gruppo LinkedIn, uno spazio dedicato alla condivisione di novità e approfondimenti sull’argomento.
Abbiamo inoltre organizzato un webinar NIS2 che potrà esserti utile per chiarire i dubbi e comprendere meglio gli obblighi.
Se la tua organizzazione è soggetta agli obblighi della NIS2, i nostri esperti di compliance sono a disposizione per offrirti supporto personalizzato.
