Cyber-attacchi reti FER: Inverter e rischi Hacker 2026

Pubblicato il 21/04/2026

Con l’obbligo del Controllore Centrale d’Impianto introdotto dalla delibera ARERA 23/2026, ogni impianto fotovoltaico connesso alla rete è diventato un nodo telecomandabile. Il teledistacco ha risolto un problema di stabilità del sistema elettrico, ma ne ha aperto uno nuovo: se il canale di comunicazione non è cifrato secondo gli standard CEI vigenti, l’inverter non è più solo un convertitore di corrente, ma una porta d’accesso all’infrastruttura energetica nazionale. Le compagnie assicurative lo hanno già compreso e stanno aggiornando le clausole di rischio. Gli operatori, spesso, ancora no.

Il tema non è teorico. Le reti elettriche europee sono già state oggetto di attacchi documentati e l’Italia, con oltre 5 GW di nuova capacità installata nel 2025 e un parco impianti sempre più digitalizzato, è un bersaglio credibile. La sovranità digitale energetica non è più un concetto da convegno, ma una condizione operativa che ogni EPC e ogni energy manager deve valutare prima di firmare un contratto di manutenzione o scegliere il firmware di un inverter. La superficie d’attacco si è ampliata: ogni porta Modbus esposta, ogni VPN non aggiornata, ogni protocollo non cifrato rappresenta un punto debole che può essere sfruttato per manipolare la produzione, saturare la rete locale o compromettere la sicurezza dell’impianto.

Manipolazione silenziosa e instabilità dei flussi

Il rischio principale non è il blackout, ma la manipolazione silenziosa dei flussi energetici. Un attacco mirato può alterare i set‑point di immissione, disattivare il controllo di frequenza, forzare cicli anomali di carica e scarica dei sistemi BESS o simulare un comando di teledistacco. In un contesto in cui gli impianti FER sono sempre più integrati con sistemi di accumulo, la compromissione di un singolo inverter può propagarsi a catena, generando instabilità locali e danni economici significativi. Gli operatori che gestiscono impianti multi‑MW stanno iniziando a introdurre audit di sicurezza periodici, ma la maggior parte degli impianti commerciali e agricoli rimane esposta.

Il problema è amplificato dalla frammentazione tecnologica. Il mercato italiano è popolato da inverter con firmware eterogenei, spesso non aggiornati, con protocolli proprietari e livelli di sicurezza molto diversi tra loro. Molti modelli installati tra il 2015 e il 2021 non supportano nativamente la cifratura TLS e richiedono gateway esterni per essere messi in sicurezza. La mancanza di un obbligo normativo chiaro sulla cybersecurity degli impianti FER ha creato un vuoto operativo che oggi rappresenta uno dei principali rischi sistemici della transizione energetica.

La reazione delle compagnie assicurative e la due diligence

Le compagnie assicurative stanno già reagendo. Alcune polizze incendio e guasti richiedono esplicitamente la conformità agli standard CEI 0‑21 e CEI 0‑16 aggiornati, includendo la verifica della cifratura dei canali di comunicazione. In caso di incidente, un inverter compromesso da un attacco informatico può portare alla contestazione della copertura assicurativa. È un rischio che molti proprietari di impianti non hanno ancora compreso, ma che sta diventando centrale nelle valutazioni di due diligence per la compravendita di asset fotovoltaici.

La tabella seguente sintetizza i principali vettori di attacco e le relative conseguenze operative per gli impianti FER nel 2026.

Vettore di Attacco	Descrizione	Impatto Operativo	Rischio Economico
Accesso non cifrato	Connessioni Modbus/TCP senza TLS	Manipolazione set‑point e teledistacco	Perdita produzione e rimborsi
Firmware obsoleto	Vulnerabilità note non patchate	Controllo remoto dell’impianto	Fermo impianto prolungato
Gateway CCI esposto	Credenziali deboli o default	Accesso alla rete locale (LAN)	Compromissione EMS e BESS
VPN non protette	Protocolli insicuri	Intercettazione del traffico dati	Alterazione monitoraggi

Responsabilità condivisa per la protezione degli asset

La digitalizzazione del fotovoltaico ha creato un ecosistema più efficiente, ma anche più vulnerabile. La sicurezza informatica non è più un tema da demandare ai produttori di inverter: è una responsabilità condivisa tra EPC, O&M, proprietari e gestori di rete. Ogni impianto connesso è un nodo potenzialmente attaccabile e la protezione del sistema elettrico passa dalla protezione di ogni singolo inverter.

Nel 2026 la cybersecurity non è un costo aggiuntivo: è una condizione minima per garantire la continuità operativa, l’accesso agli incentivi e la bancabilità degli asset fotovoltaici.

FAQ — Cyber-attacchi inverter e CCI

Tutti gli inverter installati devono essere aggiornati per rispettare i nuovi standard di sicurezza? Non esiste ancora un obbligo normativo specifico sulla cybersecurity degli inverter fotovoltaici in Italia. Tuttavia, la delibera ARERA 23/2026 impone che i canali di comunicazione del CCI rispettino i protocolli CEI vigenti. Chi non adegua il firmware espone l’impianto a rischi operativi e può incorrere in contestazioni assicurative in caso di incidente.

Un attacco informatico a un inverter può portare alla perdita degli incentivi GSE? Non direttamente, ma se l’attacco causa una disconnessione non autorizzata o una manipolazione della produzione dichiarata, il GSE può avviare verifiche che portano alla sospensione dei pagamenti. La documentazione di un sistema di sicurezza adeguato sta diventando parte integrante dei fascicoli di due diligence per la compravendita di asset fotovoltaici.

Quali sono i protocolli minimi di sicurezza che un impianto FER deve avere nel 2026? I riferimenti tecnici sono la norma CEI 0-21 aggiornata e le raccomandazioni ENISA per le infrastrutture energetiche critiche. In pratica: cifratura TLS sui canali Modbus, autenticazione a due fattori per l’accesso remoto al CCI, aggiornamenti firmware documentati e segmentazione della rete locale tra EMS e sistemi IT aziendali.

Chi è responsabile della sicurezza informatica di un impianto fotovoltaico? La responsabilità è condivisa tra il proprietario dell’impianto, il soggetto responsabile della manutenzione O&M e il produttore dell’inverter. In caso di incidente, la catena di responsabilità viene verificata sulla base dei contratti di manutenzione e della documentazione tecnica disponibile. Gli EPC che non inseriscono clausole di cybersecurity nei capitolati si espongono a contenziosi.