(1)

Il settore europeo dell'energia sta attraversando un momento di grande cambiamento con la transizione verso un'economia decarbonizzata e la necessità di garantire nel contempo la sicurezza dell'approvvigionamento e la competitività. Nel contesto di questa transizione e del correlato decentramento della produzione di energia da fonti rinnovabili, il progresso tecnologico, l'integrazione settoriale e la digitalizzazione stanno trasformando la rete elettrica europea in una «rete intelligente». Tutto ciò comporta però anche nuovi rischi poiché la digitalizzazione espone sempre più il sistema energetico ad attacchi e incidenti informatici che possono compromettere la sicurezza dell'approvvigionamento.

(2)

L'adozione di tutte e otto le proposte legislative (1) del pacchetto «Energia pulita per tutti gli europei», che comprende come primo passo la governance dell'Unione dell'energia, consente di creare un contesto favorevole alla trasformazione digitale del settore energetico. Esso riconosce altresì l'importanza della cibersicurezza nel settore dell'energia. In particolare, la rifusione del regolamento sul mercato interno dell'energia elettrica (2) prevede l'adozione di norme tecniche per l'energia elettrica, come un codice di rete concernente norme settoriali per gli aspetti relativi alla cibersicurezza dei flussi transfrontalieri di energia elettrica, requisiti minimi comuni, la pianificazione, il monitoraggio, la rendicontazione e la gestione delle crisi. Il regolamento sulla preparazione ai rischi nel settore dell'energia elettrica (3) segue in larga misura l'approccio scelto nel regolamento sulla sicurezza dell'approvvigionamento di gas (4), sottolineando la necessità di valutare adeguatamente tutti i rischi, compresi quelli connessi alla cibersicurezza, e proponendo misure intese a prevenire ed attenuare i rischi individuati.

(3)

Al momento dell'adozione della strategia dell'UE per la cibersicurezza (5) nel 2013, la Commissione ha individuato come priorità il rafforzamento della resilienza informatica dell'Unione. Uno dei principali risultati della strategia è la direttiva sulla sicurezza delle reti e dei sistemi informativi (6) (di seguito «direttiva NIS»), adottata nel luglio 2016. La direttiva NIS, che rappresenta il primo tassello della legislazione orizzontale dell'UE in materia di cibersicurezza, rafforza il livello complessivo di cibersicurezza nell'Unione attraverso lo sviluppo di capacità nazionali in questo ambito, l'intensificazione della cooperazione a livello dell'UE e l'introduzione di obblighi di sicurezza e di segnalazione degli incidenti per le imprese che sono «operatori di servizi essenziali». La segnalazione degli incidenti è obbligatoria nei settori chiave, compreso il settore dell'energia.

(4)

Nell'attuare le misure di preparazione in materia di cibersicurezza, i portatori di interessi, compresi gli operatori di servizi essenziali nel settore dell'energia individuati nella direttiva NIS, dovrebbero tener conto degli orientamenti orizzontali emanati dal gruppo di cooperazione NIS istituito dall'articolo 11 della medesima direttiva. Il gruppo di cooperazione, composto da rappresentanti degli Stati membri, dell'Agenzia dell'Unione europea per la cibersicurezza (ENISA) e della Commissione, ha adottato documenti di orientamento riguardanti le misure di sicurezza e la segnalazione degli incidenti. Nel giugno 2018 il gruppo ha creato un workstream dedicato in materia di energia.

(5)

La comunicazione congiunta sulla cibersicurezza del 2017 (7) riconosce l'importanza di considerazioni e prescrizioni settoriali specifiche a livello dell'UE, anche nel settore dell'energia. Negli ultimi anni la cibersicurezza e le possibili implicazioni politiche sono state oggetto di un ampio processo di discussione nell'Unione. Di conseguenza, oggi vi è crescente consapevolezza circa il fatto che ciascun comparto economico si trova a fronteggiare problemi specifici di cibersicurezza e, pertanto, ha bisogno di sviluppare il proprio approccio settoriale nel più ampio contesto delle strategie generali di cibersicurezza.

(6)

La condivisione delle informazioni e la fiducia sono elementi essenziali della cibersicurezza. La Commissione si è proposta di aumentare la condivisione delle informazioni tra i portatori di interessi organizzando appositi eventi (per esempio, la tavola rotonda ad alto livello sulla cibersicurezza nel settore dell'energia organizzata a Roma nel marzo 2017 e la conferenza ad alto livello sulla cibersicurezza nel settore dell'energia tenutasi a Bruxelles nell'ottobre 2018). La Commissione intende inoltre rafforzare la cooperazione tra i portatori di interessi e gli organismi specializzati, come il centro europeo di condivisione e di analisi delle informazioni per l'energia.

(7)

Il regolamento relativo all'ENISA (l'Agenzia dell'UE per la cibersicurezza) e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione («regolamento sulla cibersicurezza») (8) rafforzerà il mandato dell'Agenzia dell'Unione europea per la cibersicurezza in modo da sostenere meglio gli Stati membri nella lotta contro le minacce e gli attacchi informatici. Esso crea inoltre un quadro europeo della cibersicurezza per la certificazione di prodotti, processi e servizi che sarà valido in tutta l'Unione e che riveste particolare interesse per il settore dell'energia.

(8)

La Commissione ha presentato una raccomandazione (9) sui rischi relativi alla cibersicurezza nella quinta generazione (5G) delle tecnologie di rete fornendo orientamenti su adeguate misure nazionali di analisi e gestione dei rischi, sullo sviluppo di un'analisi dei rischi coordinata a livello europeo e sulla definizione di un processo per sviluppare strumenti comuni costituiti dalle migliori misure di gestione dei rischi. Una volta introdotte, le reti 5G costituiranno la struttura portante di una vasta gamma di servizi essenziali per il funzionamento del mercato interno e la gestione di funzioni essenziali per la società e l'economia come l'energia.

(9)

La presente raccomandazione dovrebbe fornire orientamenti non esaustivi agli Stati membri e ai portatori di interessi, in particolare ai gestori di rete e ai fornitori di tecnologia, al fine di conseguire un livello più elevato di cibersicurezza in considerazione delle esigenze specifiche di un contesto in tempo reale individuate per tale settore, degli effetti a cascata e della coesistenza di tecnologie preesistenti e tecnologie all'avanguardia. I presenti orientamenti intendono aiutare i portatori di interessi a tener conto delle esigenze specifiche del settore dell'energia nell'attuazione delle norme tecniche in materia di cibersicurezza riconosciute a livello internazionale (10).

(10)

La Commissione intende riesaminare periodicamente la presente raccomandazione, in consultazione con gli Stati membri e i portatori di interessi, sulla base dei progressi compiuti in tutta l'Unione. La Commissione continuerà ad adoperarsi per rafforzare la cibersicurezza nel settore dell'energia, in particolare attraverso il gruppo di cooperazione NIS, che assicura la cooperazione strategica e lo scambio di informazioni tra gli Stati membri in materia di cibersicurezza,

(1)

(2)

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)