Valutazione dei rischi informatici del fotovoltaico
Cresce il ruolo dell’energia solare nel mix elettrico europeo, crescono di conseguenza i rischi informatici per il fotovoltaico. Gli impianti sono, infatti, digitalizzati e sempre più connessi a internet tramite inverter. E nonostante il settore sia attualmente uno dei meno esposti agli attacchi hacker nel panorama delle infrastrutture energetiche, il suo ruolo nella transizione in corso pone diverse questioni nell’ambito della cyber sicurezza.
A mettere a fuoco l’argomento è un nuovo rapporto prodotto da DNV e commissionato da SolarPower Europe con il titolo “Solutions for PV Cyber Risks to Grid Stability”. Il documento fornisce una valutazione completa dei cyber rischi per gli impianti fotovoltaici e le possibili soluzioni da attuare per rendere il comparto più sicuro.
Il lavoro è partito identificando le minacce al settore sulla base di tre tipologie di rischio:
- sicurezza a livello di dispositivo;
- compromissione di uno stakeholder del settore;
- uso improprio intenzionale della capacità installata da parte di un attore statale ostile con la cooperazione del fornitore.
Il documento mette in luce anche i diversi attori nella filiera del solare che necessitano di accedere alle installazioni per varie ragioni e con differenti livelli di autorizzazione:
- Produttori di inverter: richiedono il massimo livello di accesso (aggiornamenti firmware, configurazioni, controllo) per garantire prestazioni ottimali, sicurezza e nuove funzionalità.
- Proprietari degli impianti: spesso non sono gli operatori, ma necessitano di accesso in sola lettura per monitorare lo stato e la salute generale dell’impianto.
- Partner di assistenza/EPC (installatori): necessitano di accesso in lettura cper la messa in servizio, la manutenzione, la risoluzione dei problemi e la diagnostica del sistema.
- TSO e DSO: in genere non accedono direttamente agli impianti più piccoli, ma controllano e monitorano quelli su larga scala per la stabilizzazione e il bilanciamento della rete.
- Operatori di centrali elettriche virtuali (VPP): richiedono l’accesso al controllo per gestire l’erogazione di energia aggregando diversi impianti solari distribuiti e altre fonti rinnovabili.
- Fornitori di servizi terzi (es. smart home): spesso ottengono pieno accesso all’impianto solare per consentire la gestione e l’automazione dell’energia da parte dei consumatori.
3 GW fv compromessi bastano per danneggiare la rete europea
Da un lato, il documento rileva che gli impianti su scala industriale sono più sicuri. Sono, infatti, spesso gestiti da grandi utility e coperti dalla direttiva comunitaria NIS2 (Network and Information Security Directive 2) che mira a rafforzare la cybersicurezza in tutti gli Stati membri.
Gli impianti solari di piccola taglia, spesso installati sui tetti, non sono, invece, soggetti a norme informatiche altrettanto rigide. Sono connessi ai cloud di produttori, installatori o fornitori di servizi e, sebbene l’impatto della compromissione di un singolo impianto sia basso, se aggregati in centrali elettriche virtuali possono provocare grandi danni
I rischi informatici per il fotovoltaico, spiegano gli autori, tenendo conto dei futuri controlli di sicurezza previsti dalle normative esistenti, sono superiori ai limiti accettabili per tutti gli impianti connessi alla rete. “Le simulazioni del sistema elettrico suggeriscono che una compromissione mirata di 3 GW può avere implicazioni significative per la rete elettrica europea”, scrivono gli autori. “Oltre una dozzina di produttori occidentali e non occidentali controllano significativamente più di 3 GW di capacità di inverter installata. Altri attori critici sono i grandi operatori di asset fotovoltaici, gli installatori e alcuni fornitori di servizi di terze parti selezionati”.
Le soluzioni
Nel dettaglio il documento individua 14 aree di rischio informatico di cui 5 classificate come a rischio medio, 6 ad alto rischio e 3 a rischio critico (il livello combina gravità dell’impatto e probabilità). Per tornare a una categoria di rischio “basso” per la sicurezza informatica del fotovoltaico, gli autori raccomandano due soluzioni globali. Ossia:
- Norme informatiche specifiche per settore.
- Limitare l’accesso remoto.
La prima garantirebbe che le leggi esistenti in materia di sicurezza informatica siano sufficientemente specifiche per le esigenze del settore solare. La seconda introdurrebbe nuove norme che mantengano il controllo dei sistemi solari tramite inverter all’interno dell’UE o di giurisdizioni in grado di garantire un livello di sicurezza equivalente.
Per quanto riguarda la seconda soluzione, il rapporto raccomanda di seguire un approccio simile alle norme del GDPR, in base al quale il controllo dei dispositivi distribuiti aggregati, come i piccoli impianti solari su tetto, dovrebbe avvenire solo in regioni considerate equivalenti in termini di sicurezza a quelle dell’UE. Ciò dovrebbe essere implementato tramite l’EU NCCS o un’altra nuova procedura accelerata.
Leggi QUI il report.
Leggi anche Fotovoltaico e Cybersicurezza, come alzare la guardia