Forum di Bruxelles: AI e dispositivi connessi allargano il divario cyber

Il 12 ottobre 2026 si è tenuta a Bruxelles la nona edizione del Cybersecurity Forum, organizzata da E.DSO, EE-ISAC, ENCS ed ENISA. Il messaggio centrale: la regolamentazione, da sola, non può colmare la distanza tra minacce che evolvono rapidamente e la capacità concreta del settore energetico di rispondere. I fattori indicati sono gli attacchi di matrice geopolitica, l'intelligenza artificiale e la rapida crescita delle tecnologie energetiche connesse.

Il contesto: il quadro di minaccia ENISA

Il forum arriva dopo l'ENISA Threat Landscape 2026, che ha analizzato 8.257 incidenti subiti nel 2025 da Stati membri dell'UE e organizzazioni con sede nell'Unione. Il rapporto rileva che gli sviluppi geopolitici continuano a orientare l'attività malevola, che gli attaccanti usano sempre più l'AI e che aumentano le rivendicazioni di intrusioni legate all'OT.

Le lezioni dalla Polonia

Tra gli interventi ci sono testimonianze dirette sugli attacchi coordinati del dicembre 2025 contro il settore energetico polacco. Sono stati colpiti numerosi parchi eolici e fotovoltaici e una centrale di cogenerazione che fornisce calore a quasi 500.000 clienti. La produzione elettrica non è stata interrotta, ma si sono perse le comunicazioni tra gli impianti coinvolti e i gestori dei sistemi di distribuzione. Gli attaccanti avevano ottenuto un accesso che avrebbe potuto consentire interruzioni più gravi.

L'articolo che riporta la notizia collega l'attacco a una campagna basata sul malware DynoWiper, che ESET attribuisce al gruppo Sandworm, allineato alla Russia. Si tratta di un'attribuzione di terzi, che qui non è verificata in modo indipendente.

Ucraina: AI a supporto, decisioni alle persone

L'operatore di trasmissione ucraino NPC Ukrenergo racconta come rafforza la resilienza cyber gestendo una rete sotto attacco continuo. Usa l'AI per aiutare i team di sicurezza a reagire più in fretta, individuare lacune, supportare il personale e assistere nella reportistica, mentre le decisioni critiche restano agli esseri umani. Resta però una difficoltà: i team cyber qualificati non si ricostruiscono facilmente con le assunzioni.

Dispositivi connessi: il rischio aggregato

I ricercatori di ENCS hanno mostrato come un attaccante che abbia già compromesso un router o una telecamera domestica possa raggiungere un inverter fotovoltaico o una batteria residenziale sulla stessa rete. Alcuni di questi dispositivi usano protocolli di controllo che non autenticano chi invia un comando: l'attaccante potrebbe quindi non dover violare l'inverter o la batteria stessi.

Compromettere una singola abitazione difficilmente inciderebbe sulla rete. Manipolare migliaia di dispositivi contemporaneamente, invece, potrebbe causare bruschi sbalzi di generazione o di domanda e contribuire a disturbi più estesi.

Le raccomandazioni

Gli spunti emersi dal forum:

• Harm van den Brink (ENCS) chiede test di sicurezza indipendenti, con priorità basata sulla potenza potenzialmente coinvolta, e una gestione delle vulnerabilità da parte dei produttori.
• Dimitra Liveri (ENISA) invita il settore a passare dalla protezione dei singoli sistemi all'ottimizzazione dell'intero ecosistema per la resilienza cyber.
• NIS2 e il Network Code on Cybersecurity restano importanti, ma non possono anticipare ogni rischio emergente.
• Informazione condivisa e cooperazione intersettoriale servono a indirizzare le scarse risorse specialistiche verso i rischi a maggiore impatto.

Cosa significa per chi gestisce sistemi OT

Il caso polacco ricorda che la perdita di comunicazione tra siti e operatori è già un impatto operativo, anche se la produzione continua. Conviene quindi includere nell'analisi del rischio la visibilità e il controllo remoto, non solo la disponibilità dell'impianto.

Protocolli privi di autenticazione, moltiplicati per grandi flotte di dispositivi, generano un rischio che non si vede guardando il singolo asset. Segmentare le reti, isolare i dispositivi di consumo da quelli di controllo e pretendere dai fornitori test e gestione delle vulnerabilità sono misure concrete.

Infine, con personale di sicurezza scarso, la priorità va data in base all'impatto potenziale. L'AI può accelerare analisi e reportistica, ma, come mostra l'esperienza ucraina, le decisioni critiche devono restare sotto controllo umano. Nota: questo articolo riassume il forum e non descrive un nuovo incidente.