Assicurazione cyber per contributo REN, Higeco: difficile da trovare, broker non pronti

La copertura assicurativa obbligatoria per gli impianti in reddito energetico nazionale (REN) è sancita all’art. 7, comma 1 dal DM MASE 8 agosto 2023, decreto che ne rinvia al Regolamento del Fondo la definizione dei contenuti di dettaglio. Il Regolamento del Fondo approvato con decreto direttoriale MASE n.242 del 27/05/2024 (paragrafo 2.4.1), prevede che detta copertura assicurativa comprenda anche la copertura contro il “Cyber risk”.

“La stipula della polizza è condizione di ammissibilità al contributo REN e, pertanto, la stessa dovrà essere stipulata entro il termine utile per la presentazione al GSE da parte del soggetto realizzatore della richiesta di erogazione del contributo in conto capitale REN”, fanno sapere fonti, aggiungendo che i costi ammissibili al REN comprendono anche i servizi di cui all’art. 7 del dd. 242 del 27/05/2024 (vds. l’art. 9, comma 2, del DM MASE 8 agosto 2023) e che gli stessi costi ammissibili “sono riconosciuti direttamente al soggetto realizzatore da parte del GSE” (vds. l’art. 9, comma 2, del DM MASE 8 agosto 2023)”.

La polizza multi-rischi dovrà assicurare l’impianto per almeno 10 anni dalla data di entrata in esercizio, fermo restando che, come previsto da Regolamento del Fondo, la stessa potrà avere durata anche inferiore a 10 anni purché rinnovabile per scadenze successive, fino ad assicurare la copertura assicurativa decennale. L’attività assicurativa è soggetta alla regolamentazione e controllo da parte dell’IVASS.

Come spiega sul sito il GSE, il Reddito Energetico Nazionale è un finanziamento in conto capitale finalizzato alla realizzazione di impianti fotovoltaici a uso domestico, di potenza non inferiore a 2 kW e non superiore a 6 kW, a servizio di unità immobiliari di tipo residenziale nella titolarità di nuclei familiari in condizione di disagio economico

pv magazine Italia ne ha parlato con Fulvio Ferrari, founding partner di Higeco More e consigliere di Italia Solare.

Il GSE richiede una specifica assicurazione per la protezione cybersecurity al fine di installare impianti in reddito energetico, corretto? Da quando?

Corretto, è uno dei requisiti richiesti dal regolamento per il cosiddetto Reddito Energetico Nazionale, pubblicato lo scorso anno.

Il GSE ha anche un registro dei soggetti che possono fornire tale assicurazione? Come possono i richiedenti capire le modalità di sottoscrizione e i costi di tale assicurazione? Se non sbaglio le assicurazioni sul PV che comprano anche la cybersecurity sono poche… Sbaglio?

Corretto. è molto difficile trovare assicurazioni che coprano questo rischio, ce lo hanno riferito diversi operatori, e anche i broker assicurativi del settore che abbiamo contattato.

Quali sono i soggetti chiamati a sottoscrivere l’assicurazione? Gli installatori o i beneficiari?

Chi presenta la richiesta, quindi i produttori, cioè i proprietari degli impianti. Trattandosi però di una misura relativa a impianti residenziali, è difficile che si occupi il produttore di stipulare l’assicurazione, quindi ci aspettiamo che sia un tema che dovranno affrontare gli installatori per conto dei loro clienti.

Quali sono le conseguenze per i soggetti coinvolti (installatori o beneficiari)?

Un costo maggiore dell’assicurazione. Ma il vero problema non è tanto l’aumento del costo, quanto il fatto che queste assicurazioni sono difficili da stipulare. Sono un tema relativamente nuovo, per cui non esistono profili di rischio consolidati. Abbiamo sentito due diversi broker assicurativi che operano nel settore delle rinnovabili, ed entrambi ci hanno risposto che ad oggi non è un’assicurazione che offrono nel loro portfolio, e che avrebbero approfondito la richiesta direttamente con le assicurazioni. Ci aspettiamo anche una grande variabilità nei prezzi, proprio perché il profilo di rischio non è consolidato, e quindi le assicurazioni vorranno tutelarsi.

Un piccolo installatore può permettersi una tale assicurazione? Ci sono rischi che alcuni non lo facciano? Quali le eventuali conseguenze?

La difficoltà di stipulare questa assicurazione può sicuramente portare al fatto che alcuni cercheranno di non farla. Le conseguenze dipendono molto da come il GSE deciderà di comportarsi, se deciderà di essere rigoroso su questo requisito, nonostante le difficoltà oggettive, o se invece concederà deroghe.

Quali sono le tempistiche e le modalità per la sottoscrizione dell’assicurazione per la protezione informatica? Bisogna sottoscriverla prima dei lavori o a lavori conclusi?

Prima della presentazione della richiesta del contributo al GSE.

In generale cosa pensa della misura e del principio che ha portato il GSE ad includere l’assicurazione in questione?

Sì. Il principio del GSE crediamo sia corretto: il rischio di attacchi informatici non può essere ignorato, neanche negli impianti residenziali. In questi impianti quasi sempre gli inverter sono collegati tramite connessioni non sicure ai portali dei costruttori. Di questi portali si sa poco, non si sa se utilizzano misure di contrasto agli attacchi informatici, e nel caso quali. Quindi rappresentano sicuramente una “superficie di rischio” che può essere attaccata, esponendo tantissimi impianti di produzione e consumo di energia, quindi potenzialmente critici.

A nostro modo di vedere, invece che un’assicurazione, il GSE, magari di concerto con il CEI, avrebbe dovuto imporre dei requisiti tecnici relativi alla cyber security agli impianti che volevano accedere al Reddito Energetico Nazionale, oppure richiedere che i dispositivi usati, ed i portali a cui si collegano, possedessero una delle varie certificazioni del settore (per esempio IEC 62443).

I presenti contenuti sono tutelati da diritti d’autore e non possono essere riutilizzati. Se desideri collaborare con noi e riutilizzare alcuni dei nostri contenuti, contatta: editors@nullpv-magazine.com.