A cura di Gianluca Sinibaldi, Direttore Energy & Utilities, Minsait in Italia
Negli ultimi anni, la digitalizzazione delle utilities è stata spesso letta attraverso la lente dell’efficienza operativa: automazione dei processi, integrazione dei sistemi, sfruttamento dei dati in tempo reale. Una chiave interpretativa utile, ma oggi insufficiente. Ciò che sta cambiando in profondità non è soltanto il livello tecnologico delle infrastrutture, bensì il loro stesso equilibrio funzionale. La convergenza tra Information Technology e Operational Technology, infatti, ha trasformato impianti progettati per garantire continuità e affidabilità in ecosistemi digitali complessi, interconnessi e dinamici, nei quali la sicurezza non può più essere confinata a una funzione specialistica. In questo spazio, dove innovazione e rischi procedono insieme, la cybersecurity OT assume un significato nuovo: non semplice presidio difensivo, ma condizione abilitante della resilienza operativa.
I numeri rendono questa traiettoria difficile da ignorare. Gli attacchi che colpiscono ambienti OT e infrastrutture critiche aumentano, e non soltanto per frequenza: aumentano per impatto, sofisticazione e capacità di propagarsi lungo catene operative complesse. Secondo l’Agenzia per la Cybersicurezza Nazionale, in Italia nel primo semestre 2025 sono stati censiti 1.549 attacchi cyber, con un incremento del 53% rispetto allo stesso periodo dell’anno precedente. E se si allarga lo sguardo al contesto internazionale, il Rapporto Clusit 2025 colloca l’Energy & Utilities al 2,8% degli attacchi gravi globali: una quota che, letta isolatamente, potrebbe apparire contenuta, ma che assume un significato diverso alla luce del trend in crescita degli ultimi cinque anni e, soprattutto, della natura strategica e critica degli asset coinvolti.
È proprio in questa specificità che si colloca la principale differenza tra IT e OT. Se la sicurezza IT si è storicamente concentrata sulla protezione del dato, negli ambienti operativi le priorità sono altre e non negoziabili: continuità del servizio, sicurezza fisica delle persone e degli impianti, stabilità dei processi. Le infrastrutture industriali si fondano su sistemi eterogenei, spesso progettati in epoche diverse, con cicli di vita lunghi e margini di intervento limitati. In questo scenario, l’adozione di modelli di sicurezza pensati per il mondo IT non è sempre immediata né priva di rischi. Ne deriva una condizione ormai diffusa: ambienti sempre più connessi, ma non sempre pienamente governabili; sistemi costruiti per essere affidabili, ma non originariamente concepiti per fronteggiare minacce cyber evolute.
La spinta normativa degli ultimi anni ha avuto il merito di portare questi temi al centro dell’agenda. Direttive e standard come NIS2 e IEC 62443 offrono un quadro di riferimento indispensabile per strutturare responsabilità, governance e processi. Tuttavia, sarebbe riduttivo confondere la conformità con la protezione effettiva. Il rispetto dei requisiti normativi è una base necessaria, ma non sufficiente: il rischio è fermarsi a un livello formale, senza incidere realmente sulla capacità di prevenire incidenti o di limitarne le conseguenze operative.
Il vero punto di svolta, prima ancora che tecnologico, è di natura conoscitiva. Negli ambienti industriali, proteggere significa innanzitutto conoscere: avere una visione chiara degli asset, delle interconnessioni e delle dipendenze che sostengono i processi critici. In assenza di questa consapevolezza, la sicurezza tende a rimanere frammentata e reattiva, poco allineata alle reali priorità operative. E soprattutto fatica a rispondere alla domanda chiave per ogni utility: quale sarebbe l’impatto concreto sulle operazioni se un determinato sistema, o una determinata connessione, venisse compromessa?
Tradurre questa consapevolezza in capacità operative richiede un percorso strutturato e continuo, non iniziative episodiche. Il punto di partenza è una visibilità costante sugli asset e sulle comunicazioni industriali, condizione essenziale per governare ambienti complessi senza comprometterne la stabilità. Su questa base si costruiscono modelli di convergenza IT/OT più sicuri, fondati su architetture coerenti, monitoraggio continuo e una gestione integrata degli eventi di sicurezza. A questi elementi si affiancano processi di gestione delle vulnerabilità, controllo degli accessi e risposta agli incidenti, progettati tenendo conto dei vincoli operativi tipici dell’OT e verificati nel tempo attraverso esercitazioni e simulazioni, come parte integrante della gestione del rischio.
In questo quadro, la tecnologia resta una leva fondamentale, ma non autosufficiente. Competenze adeguate, una cultura della sicurezza condivisa anche dalle funzioni operative e un governo consapevole dei rischi legati alle terze parti sono elementi altrettanto decisivi, soprattutto in filiere complesse come quelle delle utilities. È in questo passaggio che la compliance può trasformarsi in reale resilienza industriale: quando smette di essere un adempimento e diventa uno strumento per governare la complessità, riducendo l’incertezza e rafforzando la capacità di risposta.
La resilienza cyber degli ambienti OT non nasce da un singolo progetto né da una soluzione definitiva. È il risultato di una governance matura, di investimenti mirati e di una visione che riconosce la sicurezza come condizione di continuità industriale, non come costo accessorio. Per le utilities italiane, la questione non è più se proteggere gli ambienti OT, ma come farlo in modo efficace, sostenibile e coerente con la responsabilità di gestire infrastrutture critiche al servizio di cittadini, imprese e territori.
