Fotovoltaico e Cybersicurezza: Le Raccomandazioni Di SolarPower Europe
SolarPower Europe ha appena pubblicato un documento di lavoro su Fotovoltaico e Cybersicurezza, un connubio da non sottovalutare. Il nuovo position paper sulla sicurezza informatica per il FV contiene diverse raccomandazioni politiche e punti chiave per alzare la guardia sul rischio informatico che può prendere di mira le reti a bassa tensione.
L’associazione dei produttori solari in Europa sa bene che, oggi, la digitalizzazione è ormai un elemento essenziale per lo sviluppo del sistema energetico. Ecco perché ha messo a punto un documento che vuole attirare l’attenzione su lacune, azioni e scelte da fare. Tra queste, definire un nuovo standard comunitario per la sicurezza nel contesto delle risorse energetiche distribuite, migliorare le valutazioni del rischio cyber, prevedere un monitoraggio autorizzato a livello europeo o nazionale.
La digitalizzazione del settore energetico, come qualsiasi altro comparto, al giorno d’oggi è una tappa obbligata. Serve ad incrementare l’efficienza delle centrali elettriche ed a gestire meglio l’energia distribuita per soddisfare tanto la capacità della rete quanto la domanda.
Come ha spiegato Dries Acke, Vice CEO di SolarPower Europe, un sistema energetico elettrificato e digitale farà risparmiare agli europei 160 miliardi di euro entro il 2040. Entro il 2030, il risparmio dovrebbe attestarsi a 32 miliardi.
D’altro canto, come qualsiasi rivoluzione tecnologica, il settore dell’energia presenta nuove sfide come la Cybersicurezza.
Cosa propone SolarPower Europe nel suo documento sulla sicurezza informatica per il Fotovoltaico?
Fotovoltaico e Cybersicurezza: attacchi informatici più che raddoppiati
SolarPower Europe, con le nuove raccomandazioni, intende anticipare i tempi. Ad oggi, i rischi legati alla Cybersicurezza sono ancora piuttosto limitati nel settore Fotovoltaico. Non dimentichiamo, però, alcuni precedenti degni di nota che non dovrebbero ripetersi.
Il primo cyber attacco ai danni di un impianto fotovoltaico (il primo denunciato pubblicamente, almeno) risale a maggio 2019. Questo attacco ha preso di mira una vulnerabilità nota nel firewall di un software di rete commerciale coinvolgendo un’azienda di servizi pubblici negli USA. L’azienda, nella sua denuncia, ha segnalato al Dipartimento dell’Energia di essere stata danneggiata da un attacco DoS al suo firewall causando l’interruzione della connessione con i suoi impianti solari ed eolici.
I rischi sono ancora limitati ma gli attacchi informatici si moltiplicano. Negli ultimi anni, è stato registrato un aumento nel comparto energetico.
Da un recente report dell’Agenzia internazionale dell’Energia è emerso che gli attacchi informatici settimanali alla rete elettrica globale sono passati da 504 a 1.101. In pratica, sono più che raddoppiati.
Punti deboli dei sistemi FV
Dries Acke, pur confermando che il rischio di un attacco informatico di ampia portata alla rete elettrica europea mediante impianti fotovoltaici sia limitato, guarda al futuro. Considerando la sempre crescente complessità dei sistemi fotovoltaici interconnessi, sa bene quanto sia necessario far fronte a nuove sfide alla sicurezza.
Il settore Fotovoltaico è in procinto di raggiungere una quota di maggioranza nel mix energetico e l’industria solare chiede alla politica e ai regolatori che l’approccio dell’UE si traduca in una base di preparazione informatica armonizzata e specifica per il settore.
I cyber attacchi possono portare al furto o alla manipolazione dei dati, bloccare le operazioni delle centrali elettriche e destabilizzare il sistema elettrico.
I punti deboli dei sistemi fotovoltaici sono componenti come inverter, contatori smart e avanzati, sistemi di controllo e sensori, sistemi di accumulo e colonnine di ricarica dei veicoli particolarmente vulnerabili in termini di Cybersicurezza.
Il tallone d’Achille resta l’inverter, componente essenziale dei sistemi fotovoltaici che converte l’energia prodotta dai pannelli solari in corrente alternata. Gli inverter sono collegati alla rete elettrica nazionale, per cui sono particolarmente soggetti ad attacchi informatici. Questo rischio non interessa soltanto i singoli utenti, ma tutta l’infrastruttura di rete. Un inverter sotto attacco cyber può fare da ponte per attacchi informatici alle reti intelligenti causando danni notevoli alle reti energetiche smart (blackout, sbilanciamenti) cui sono connessi migliaia di dispositivi.
Produttori di progetti e sviluppatori stanno mettendo a punto misure di cybersicurezza. Acke ha ricordato che un paio di normative UE all’avanguardia sulla sicurezza informatica (Cyber Resilience Act e la direttiva aggiornata sulla sicurezza delle reti e dell’informazione) prevedono nuovi obblighi ma la sicurezza informatica, nel prossimo futuro, va presa molto seriamente.
Fotovoltaico e Cybersicurezza: come migliorare la sicurezza informatica secondo SolarPower Europe
In sintesi, per un sistema elettrico sempre più interconnesso, digitale e distribuito, è essenziale migliorare la Cybersecurity proteggendo il settore Fotovoltaico dagli attacchi informatici.
In che modo è possibile potenziare il rapporto tra Fotovoltaico e Cybersicurezza?
L’associazione SolarPower Europe, nel suo documento di lavoro, ha avanzato alcuni suggerimenti a partire dall’idea di migliorare i requisiti di governance nell’ambito della direttiva europea NIS2 e dell’applicazione al Fotovoltaico. Occorre aumentare la visibilità del rischio sulle reti a bassa tensione nel quadro nazionale e dell’UE.
Gli audit previsti dalla normativa NIS2 dovrebbero basarsi sul rischio, secondo gli standard ISO 27001, piuttosto che essere applicati per tutte le operazioni ai sensi del testo attuale. L’approccio consigliato dall’associazione SolarPower Europe avrebbe dei vantaggi: riduzione delle spese per le aziende, concentrazione degli audit nei settori significativi a livello di sicurezza, garanzia della necessaria copertura.
La Cybersecuritydovrebbe essere potenziata per il funzionamento delle centrali elettriche con la garanzia che i dati operativi e non personali di sistemi FV ed apparecchiature energetiche smart restino nell’Unione Europea o in giurisdizioni che garantiscano un livello di sicurezza analogo. Né più né meno come per il trattamento dei dati personali ai sensi del GDPR.
Un altro suggerimento riguarda il rafforzamento della sicurezza informatica in termini di prodotto considerando i requisiti di conformità al CRA (Cyber Resilience Act) ed uno standard apposito per le risorse energetiche distribuite. Ad oggi, tali risorse non vengono classificate come prodotti critici o importanti: ciò consente ai produttori di attestare la conformità tramite dichiarazione di conformità UE. Classificare i dispositivi come ‘prodotti importanti con elementi digitali, classe I’ costringerebbe i produttori a procedure di valutazione della conformità più severe.
L’associazione è convinta, oltretutto, che dovrebbe essere reso obbligatorio un elenco di buone pratiche legato al funzionamento sicuro delle grandi centrali elettriche. Gli enti di normazione dovrebbero implementare una linea base di sicurezza informatica per il funzionamento di piccole risorse energetiche distribuite, connesse all’IT e controllate a distanza.
SolarPower Europe suggerisce, inoltre, che installatori ed utenti di impianti fotovoltaici di piccola taglia impostino password complesse ed installino aggiornamenti di sicurezza nella gestione della sicurezza informatica dei propri dispositivi.
Con la dichiarazione di SolarPower Europe il settore solare propone regole di sicurezza informatica più solide per l’energia distribuita.
