Questa guida riguarda i gestori di acquedotti, operatori di depurazione e gestori di reti di distribuzione idrica classificati come soggetti essenziali secondo il D.Lgs. 138/2024. Scoprirete gli obblighi specifici di cybersicurezza per i sistemi SCADA, le modalità di notifica degli incidenti entro 24/72 ore e come integrare la protezione fisica e digitale delle infrastrutture critiche.
Sono soggetti essenziali NIS2 tutti i fornitori di acqua potabile e gli operatori di reti di distribuzione idrica e di trattamento delle acque reflue che forniscono servizi essenziali a popolazioni significative. La classificazione riguarda le aziende pubbliche e private che gestiscono acquedotti principale, impianti di depurazione, e sistemi di pompaggio interconnessi a livello regionale o superiore, indipendentemente dalle dimensioni del fatturato.
È obbligatorio implementare firewall e segmentazione di rete per isolare completamente i sistemi di controllo dell'automazione idrica (SCADA/ICS) dalla rete aziendale e da internet. Ogni sistema di dosaggio chimico, pompa, serbatoio controllato in remoto e stazione di trattamento deve essere protetto mediante autenticazione multi-fattore e accessi basati su ruolo. La mancanza di segmentazione tra rete corporativa e rete operativa espone a rischi critici di compromissione dell'integrità dell'acqua distribuita.
Qualsiasi incidente che comprometta la disponibilità, confidenzialità o integrità dei dati o servizi idrici deve essere notificato all'ACN (Agenzia per la Cybersicurezza Nazionale) entro 24 ore dal rilevamento. Se l'incidente causa una disruption significativa nella fornitura di acqua potabile a una popolazione rilevante, è obbligatoria la notifica entro 72 ore con dettagli sulla causa, l'impatto sulla distribuzione, e le misure di mitigazione intraprese. Documentate ogni tentativo di accesso sospetto ai controller di dosaggio e alle valvole di controllo.
Tutti i dispositivi SCADA, i controller PLC dei sistemi di trattamento e i gateway di comunicazione devono avere credenziali personalizzate univoche; le password di default fornite dal costruttore devono essere immediatamente modificate. È vietato l'utilizzo di credenziali condivise; ogni operatore deve disporre di un account nominale con tracciamento completo delle azioni eseguite. I controller di dosaggio chimico, in particolare, richiedono un livello di accesso fisico e digitale integrato per prevenire manomissioni intenzionali.
Le stazioni di pompaggio e i nodi critici della rete devono essere protetti tanto fisicamente quanto digitalmente mediante monitoraggio video, sistemi di controllo accesso biometrico o badge, e compensazione con sensori digitali di movimento e temperatura. Il tamper detection sui pannelli di controllo deve essere integrato con alert automatici al sistema di cybersecurity centrale. La separazione geografica di backup power supply e comunicazione ridondante garantisce resilienza anche in caso di attacco fisico combinato.
Entro il 28 febbraio di ogni anno, i gestori idrici devono registrare o aggiornare il proprio profilo sulla piattaforma ACN, indicando operatività, infrastrutture critiche presidiate e eventuali incidenti dell'anno precedente. La conformità deve essere costantemente mantenuta tramite audit annuali interni, test di penetrazione su sistemi SCADA, e piani di continuità operativa con RTO/RPO definiti. Il mancato rispetto espone a sanzioni fino a €10 milioni o il 2% del fatturato globale annuo.
La segmentazione minima richiede isolamento completo della rete SCADA/ICS dalla rete corporate mediante firewall dedicato con regole whitelist (solo traffico autorizzato verso specifici controller). Per sistemi legacy, installate un industrial data diode o gateway bidirezionale con ispezione profonda che traduca solo i comandi MODBUS o Profinet legittimi, bloccando tutto il resto. Ogni pompa, dosatore e serbatoio deve essere su subnet separate da quella di ufficio, gestione dati e e-mail aziendali.
Dovete notificare l'ACN entro 72 ore con una relazione completa contenente la cronologia dell'incidente, la causa (es. iniezione SQL su server SCADA), l'impatto quantificato sulla popolazione e sulla continuità operativa, e le azioni di mitigazione adottate (es. isolamento dei sistemi compromessi, ripristino da backup). La mancata notifica entro il termine espone a sanzioni fino a €10 milioni o il 2% del fatturato. Se ritenete che il danno sia stato intenzionale (attacco cyber), includete evidenze forensiche e rapporto tecnico.
La registrazione o l'aggiornamento del profilo sulla piattaforma ACN deve avvenire entro il 28 febbraio di ogni anno (prossima scadenza: 28 febbraio 2025). Indicare i dati di identificazione, le infrastrutture critiche presidiate, i responsabili della cybersecurity e qualsiasi incidente segnalato nell'anno precedente. Il ritardo nella registrazione è sanzionabile fino a €7 milioni per entità importanti e €10 milioni per entità essenziali; inoltre esclude dal beneficio dei termini di remediation e sottopone a controlli ACN immediati.