Il 22 agosto un quotidiano britannico ha rivelato che hacker legati all'Iran hanno spento una centrale elettrica nel Regno Unito, tenendola ferma per quattro giorni. Secondo quella ricostruzione è il primo caso in cui un gruppo affiliato al regime iraniano riesce a bloccare un impianto del genere in Gran Bretagna. L'attacco però risale a luglio. È diventato pubblico solo un mese dopo, e dalle fonti ufficiali, a partire dall'agenzia nazionale per la cybersicurezza britannica, non è trapelato quasi nulla. I giornali non hanno fatto altro che riportare la notizia della fonte originale. Un'intera vicenda di sicurezza nazionale poggia, ancora oggi, su una sola fonte giornalistica
La versione del governo è tranquillizzante: si trattava di un generatore di piccola taglia, la rete nazionale non è mai stata a rischio. Ed è vero. Ma c'è una conseguenza di cui nessuno ha tenuto conto, quell'impianto non aveva alcun obbligo legale di segnalare l'incidente.
Nel Regno Unito un produttore di energia elettrica rientra tra gli operatori di servizi essenziali solo sopra i 2.000 megawatt, sommando la capacità di tutte le società collegate ed escludendo nucleare e impianti non connessi alla rete di trasmissione. Una fonte governativa ha detto al quotidiano che il sito era lontanissimo da quella soglia, questo significa che il silenzio durato un mese non è stato un insabbiamento, era previsto dalle norme.
Qui c'è il punto che quasi nessuno ha messo in fila. Il Regno Unito sta riscrivendo proprio adesso quelle regole. Il Cyber Security and Resilience Bill è arrivato ai Comuni il 12 novembre 2025 ed è la revisione più profonda della normativa britannica dal 2018. Ha superato la fase di commissione tra gennaio e febbraio 2026, dovrebbe ricevere l'approvazione definitiva entro l'anno, ma l'attuazione è scaglionata e potrebbe completarsi solo nel 2028. Il testo abbassa le soglie in un punto preciso - entrano i grandi gestori di carico elettrico sopra i 300 megawatt - impone la notifica entro 24 ore e il rapporto completo entro 72, e alza le sanzioni fino a 10 milioni di sterline o il 2% del fatturato mondiale, con multe giornaliere fino a 100.000 sterline per le violazioni che continuano.
Impressionante sulla carta. Solo che nessuna di queste novità avrebbe coperto la centrale attaccata a luglio. La riforma allarga il perimetro verso i gestori di carico e i fornitori critici, non verso i piccoli produttori. L'impianto che è stato spento per quattro giorni resterebbe fuori anche dopo il 2028.
Il quadro italiano ha la stessa architettura. La NIS2 è stata recepita con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024, e l'autorità competente è l'Agenzia per la Cybersicurezza Nazionale. Anche qui l'energia elettrica è un settore essenziale, ma gli obblighi scattano sopra criteri dimensionali: almeno 50 dipendenti e più di 10 milioni di euro di fatturato o di bilancio. Esistono eccezioni per chi svolge un ruolo critico anche sotto soglia, ma vanno riconosciute caso per caso.
Ora i numeri italiani, che rendono la questione concreta. Al 30 giugno 2026 risultano collegati alla rete 2.255.654 impianti fotovoltaici, per 46.606 megawatt complessivi, ai quali si aggiungono 943.797 sistemi di accumulo. Oltre tre milioni di apparati che immettono o gestiscono energia, quasi tutti governati da inverter e centraline raggiungibili da remoto, quasi tutti in mano a soggetti troppo piccoli per rientrare negli obblighi. È esattamente il profilo dell'impianto britannico, moltiplicato per un milione.
Un dirigente del settore intervistato dopo l'attacco ha detto la cosa più sensata: il problema non è la dimensione del generatore colpito, ma quanti altri ce ne sono là fuori nelle stesse condizioni. Singolarmente irrilevanti, nel complesso decisivi. Un analista di una società specializzata in sicurezza industriale ha aggiunto che attacchi di questo tipo sono facilmente ripetibili su larga scala. E secondo la stessa società, le operazioni iraniane degli ultimi mesi hanno colpito prevalentemente bersagli facili: piccole utility con password predefinite mai cambiate e controllori esposti direttamente su internet.
Resta la domanda che nessun comunicato ha affrontato. Perché il ripristino ha richiesto quattro giorni, e i piccoli operatori sono davvero attrezzati per contenere e recuperare un incidente del genere? L'intrusione è la parte facile da raccontare. Il vero fallimento è stato il ritorno in servizio: quattro giorni significano nessun piano di ripristino provato, nessun backup delle configurazioni, nessuna procedura scritta.
Vale la pena correggere anche un'affermazione circolata in questi giorni, secondo cui finora l'attività iraniana in Occidente sarebbe stata scarsa. Dall'inizio del conflitto i gruppi affiliati a Teheran hanno colpito sistemi idrici e infrastrutture critiche negli Stati Uniti, obiettivi militari, governativi, energetici e sanitari in Israele, bersagli nei Paesi del Golfo e in Europa: Cipro, Romania e ora la Gran Bretagna. L'attacco alla centrale, del resto, è avvenuto nello stesso periodo in cui negli Stati Uniti venivano colpiti oltre trenta sistemi idrici municipali. Non si tratta di un episodio isolato, ma di una vera e propria campagna, e la centrale britannica ne è la conferma lampante.
Quello che manca, a un mese dai fatti, non è l'intelligence. È il registro pubblico. Nessuna attribuzione formale, nessun indicatore tecnico condiviso, nessun avviso operativo diffuso agli operatori piccoli. Chi gestisce un impianto da qualche megawatt in Lombardia o in Sicilia, oggi, non ha ricevuto nessuna lezione utile da questa storia.
Le contromisure di base, però, non aspettano una legge. Sapere quali dispositivi del proprio impianto sono raggiungibili da internet. Cambiare le credenziali di fabbrica di inverter, controllori e sistemi di telegestione. Separare la rete d'ufficio da quella d'impianto. Conservare copie delle configurazioni e provare almeno una volta la procedura di ripristino, cronometrandola. Nessuno di questi punti richiede un decreto, un consulente o un budget. Richiede solo di decidere di non essere il prossimo errore di arrotondamento.