Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di revisione di maggio 2024 dell’ordinanza sull’approvvigionamento elettrico (protezione dai ciberattacchi)

La presente regolamentazione migliora la cibersicurezza nel settore elettrico, prevedendo a tal fine l’elaborazione di misure di protezione adeguate. Essa è pertanto in linea con gli sforzi dell’UE di migliorare ulteriormente la cibersicurezza nel settore elettrico.

6. Commento alle singole disposizioni

Articolo 1 capoverso 2

Conformemente all’articolo 1 capoverso 2 OAEl la rete di trasporto delle ferrovie svizzere (rete della corrente di trazione), gestita con una frequenza di 16,7 Hz e un livello di tensione di 132 kV, sottostà alla LAEl nella misura in cui questa intende creare le condizioni per garantire un approvvigionamento di energia elettrica sicuro. L’articolo 8a LAEl¹⁴ ha lo scopo di assicurare l’approvvigionamento elettrico e si applicherebbe pertanto anche al settore della corrente di trazione. Per le applicazioni telematiche in tale settore esistono invece già requisiti di diritto speciale relativi alla cibersicurezza, sul cui rispetto vigila l’Ufficio federale dei trasporti (UFT).¹⁵ Per evitare la doppia attribuzione delle stesse competenze (UFT e Commissione federale dell’energia elettrica [ElCom]), questo ambito viene escluso pertanto dal campo di applicazione dell’articolo 8a LAEl e delle corrispondenti disposizioni di esecuzione, contenute nell’articolo 5a OAEl.

Articolo 5a

Capoverso 1: l’articolo contiene un rimando diretto allo Standard minimo TIC. La succitata versione dello Standard (2023) è dichiarata vincolante, pertanto le raccomandazioni in esso contenute devono essere rispettate dagli attori a cui lo Standard si rivolge, a seconda del livello di protezione definito all’allegato 1a (cfr. più avanti nel testo). I produttori e i gestori di impianti di stoccaggio (lett. b) nonché i loro rispettivi fornitori di servizi (lett. c n. 2) sono soggetti a questo obbligo solo se l’accesso alla potenza stabilita è possibile attraverso un unico sistema. In vista di un eventuale ciberattacco, per il calcolo della potenza totale è determinante l’influenza dell’attore sul sistema di comando (sistema di controllo industriale/operativo). Ai fini di questa disposizione, se più sistemi di controllo sono collegati tra loro in modo tale che la compromissione di uno di essi può compromettere anche gli altri, tali sistemi devono essere considerati come un unico sistema. Non sarebbe soggetto a tale obbligo, ad esempio, un produttore che gestisce vari impianti con meno di 100 MW di potenza ciascuno attraverso differenti sistemi di comando non collegati tra loro. In virtù dell’articolo 8a capoverso 2 LAEl, i gestori delle centrali nucleari (titolari della licenza di esercizio per una centrale nucleare) sono esonerati dal campo di applicazione di questa nuova disposizione perché per essi esistono già prescrizioni equivalenti, sul cui rispetto vigila l’Ispettorato federale della sicurezza nucleare (IFSN)¹⁶. L’accesso di un fornitore di servizi (lett. c) è da ritenersi permanente se gli è stato concesso nell’ambito di un rapporto obbligatorio di durata, senza cioè che il committente debba concedergli ogni volta i diritti di accesso necessari.

Capoverso 2: la disposizione chiarisce che le norme (riferimenti) citate nello Standard minimo TIC non sono vincolanti.

Capoverso 3: Data la sua competenza sussidiaria generale (art. 22 cpv. 1 LAEl), la ElCom vigila sul rispetto dell’articolo 8a LAEl e dell’articolo 5a OAEl.

Allegato 1a I livelli di protezione (profili di protezione) definiscono i requisiti in merito al grado di attuazione delle misure indicate nello Standard minimo TIC. I requisiti più elevati sono quelli del livello di protezione A, che viene attribuito alle imprese più importanti per l’approvvigionamento elettrico. Requisiti meno stringenti sono quelli dei livelli di protezione B e C, rispettivamente per gli attori medi e più