Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di revisione di maggio 2024 dell’ordinanza sull’approvvigionamento elettrico (protezione dai ciberattacchi)

statunitense per gli standard e la tecnologia NIST (National Institute of Standards and Technology)⁶. Esso contiene 108 misure, suddivise in 23 categorie, che possono aiutare a valutare e a migliorare la maturità aziendale nei confronti dell’organizzazione della cibersicurezza.

Le misure di base dello Standard non possono sostanzialmente essere modificate, tuttavia per la loro attuazione occorrono una certa flessibilità, la capacità di adeguarle alle nuove minacce e ai nuovi pericoli per l’azienda, ausili tecnici e competenze adeguate⁷. Non vengono prescritte soluzioni tecniche, che le imprese dovranno invece sviluppare autonomamente. A tal fine possono collaborare nel quadro delle strutture associative esistenti per la definizione di uno standard settoriale specifico.

2.2 Livello di protezione (profilo di protezione)

Il livello di protezione definisce i requisiti relativi al grado di attuazione delle misure stabilite nello Standard minimo TIC (valori/tier level indicati al capitolo 3 dello Standard minimo TIC). Al livello di protezione A corrispondono i requisiti più elevati, mentre i livelli di protezione B e C prevedono ciascuno requisiti leggermente inferiori rispetto al livello precedente. Per gli operatori di mercato più piccoli il livello di protezione C prevede indicazioni al riguardo solo per un numero limitato di misure. Le misure per le quali non viene fissato alcun valore non devono essere attuate obbligatoriamente e rimangono pertanto raccomandazioni non vincolanti. I singoli livelli di protezione sono indicati nel nuovo allegato 1a. I valori in esso fissati per ogni livello di protezione sono stati definiti in base alla criticità delle imprese e tenendo conto delle risorse necessarie per l’implementazione. Essi sono stati stabiliti da un gruppo di lavoro dell’Associazione delle aziende elettriche svizzere (AES) in collaborazione con esperti dell’UFE.

L’attribuzione di un determinato livello di protezione (A, B o C) alle imprese si basa su criteri predefiniti: un’impresa che risponde ai criteri di un determinato livello di protezione verrà attribuita a tale livello. Ad esempio, il livello di protezione A viene attribuito ai gestori di rete che trasportano almeno 450 GWh di elettricità all’anno (n. 1.1 all. 1a). Per la definizione dei suddetti criteri si è tenuto conto delle analisi e della prassi di altri servizi specializzati: ad esempio, il criterio dei 450 GWh/anno per l’attribuzione dei gestori di rete al livello di protezione A corrisponde a un valore stabilito dall’Ufficio federale della protezione della popolazione (UFPP) per le infrastrutture critiche di importanza nazionale; allo stesso modo il criterio dei 112 GWh/anno per l’attribuzione dei gestori di rete e dei fornitori di servizi al livello di protezione B corrisponde essenzialmente al valore annualizzato che secondo l’AES caratterizza una crisi⁸.

Per l’attribuzione dei produttori e dei gestori di impianti di stoccaggio ai livelli di protezione A e B è stata scelta rispettivamente una potenza di 800 MW e di 100 MW. Quest’ultimo valore corrisponde a quello definito nell’ordinanza sull’energia⁹ per le centrali di stoccaggio con pompaggio di interesse nazionale.

Nel caso di una potenza inferiore a 100 MW i produttori, gli operatori di impianti di stoccaggio e i rispettivi fornitori di servizi di entrambi gli attori non sono soggetti all’obbligo di rispettare lo Standard minimo TIC. Per loro non è previsto un livello di protezione C. Fintanto che non viene raggiunta la soglia di 100 MW, per loro lo Standard rimane solo una raccomandazione. Ciò dipende, da un lato, dal fatto che la loro influenza sulla sicurezza dell’approvvigionamento è minore rispetto a quella dei gestori di rete che accedono direttamente alla rete tramite un’apposita tecnologia di comando e, dall’altro, anche dal fatto che non possono includere i costi della cibersicurezza nelle tariffe, a differenza dei gestori di rete.