Digitalizzazione e IA, la sfida della nuova rete idrica reggina si gioca anche sulla cybersicurezza
Con la svolta digitale annunciata da Sorical la rete idrica reggina si apre il tema delle minacce informatiche: mentre l'evoluzione dell'IoT e dell'IA espone i sistemi di controllo al rischio di cyberattacchi, il presidente Demetrio Naccari Carlizzi fa il punto su cybersicurezza aziendale, regolamentazione dell'IA e adempimenti normativi per blindare l'infrastruttura
Se è vero che il 3 novembre 2026 ha rappresentato l’avvio di un nuovo – e si spera definitivo - corso per il malandato servizio idrico reggino, si tratta di una partenza ispirata a quella che lo stesso Presidente di Sorical, Demterio Naccari Carlizzi, ha definito «gestione industriale e manageriale dell’acqua, assente dal 1994», anno in cui la legge Galli attua una riforma organica del comparto in Italia. Nel piano di investimenti da 25 milioni di euro, oltre all’avvio di un programma strategico di modernizzazione della rete idrica, anche un ambizioso programma di digitalizzazione.
La gestione smart per combattere le perdite
Naccari, che non ha nascosto la complessità del quadro con cui interfacciarsi a livello orografico e tecnico, ha rimarcato quanto il passaggio a una gestione digitale possa rappresentare una rivoluzione in termini di efficientamento del servizio di erogazione e distribuzione, di efficacia nel monitoraggio e nella capacità di manutenzione della rete e di tempestività per quanto concerne la reattività a situazioni di crisi legate a perdite o malfunzionamenti. Ribadendo che «la digitalizzazione non è un pezzo tecnologico, ma uno strumento smart di governo», ha tenuto a sottolineare come tramite la distrettualizzazione e il processamento di dati raccolti da una rete digitale sempre più diffusa, il servizio migliorerà accrescendo la propria resilienza. Sicuramente una buona notizia per tutti.
Il rovescio della medaglia: l'esposizione alle minacce cyber
C’è però un altro tema, particolarmente attuale, che andrà affrontato con la stessa attenzione: la protezione dell’infrastruttura digitale della rinnovata rete idrica. Questo perché la cybersicurezza legata alle cosiddette utilities con le loro reti dedicate all’erogazione di servizi essenziali, sono diventate una delle massime priorità per la sicurezza nazionale e globale. Storicamente considerate "isolate" (Air-gapped) e quindi immuni, le reti idriche moderne sfruttano sempre più spesso l'IoT, il cloud e sistemi di supervisione da remoto (SCADA/ICS), esponendole a minacce informatiche molto rilevanti.
Il precedente di Alto Calore Servizi e l'attacco ransomware
Un esempio tra tanti: proprio tre mesi fa, lo scorso 3 agosto 2026, la Alto Calore Servizi SpA, responsabile della captazione e della distribuzione di acqua potabile per quasi mezzo milione di cittadini di 125 comuni compresi tra le province di Avellino e Benevento, ha subito un grave attacco ransomware che ha reso inutilizzabili i database aziendali, bloccando ogni operazione amministrativa e impedendo l'erogazione di qualsiasi servizio informativo all'utenza. Sebbene la continuità operativa della rete idrica - 58 milioni di metri cubi d'acqua all'anno - non sia stata compromessa, l'impatto sul piano gestionale e della protezione dei dati è stato devastante. L'attacco è stato successivamente rivendicato dal gruppo criminale Medusa, che ha tentato un'estorsione chiedendo il pagamento di un riscatto da 100.000 dollari per la cancellazione dei dati sottratti e diffondendo contestualmente campioni di documenti interni trafugati, tra cui dettagli sulla rete di distribuzione, contratti, verbali del consiglio di amministrazione e archivi contenenti i dati personali dei clienti.
La strategia di Sorical: regolamento IA e D.Lgs. 191/2026
Su rischi legati alla sicurezza informatica e delle reti, Naccari ha chiarito che: «Abbiamo una divisione che lavora su questo. A breve, per la verità, approveremo anche un regolamento sull'utilizzo dell'intelligenza artificiale, perché pur non essendone obbligati come società a partecipazione pubblica, riteniamo che il problema sia di tale rilevanza da dover comportare una regolamentazione anche aziendale di questi processi dove si utilizza l'intelligenza artificiale e si è esposti chiaramente a problemi di cybersicurezza. Peraltro il decreto legislativo di ottobre 2026, approvato dal Governo (D.Lgs. 191/2026 che estende il quadro europeo di certificazione della cybersicurezza ai servizi di sicurezza gestiti, ndr.) ci obbliga a determinati passaggi rispetto ai quali noi siamo assolutamente in legge. Certo, noi abbiamo diverse linee del PNRR sullo smart metering (telegestione dei contatori, ndr.) e sulla digitalizzazione delle reti, però è evidente che avendo meno reti controllate in maniera digitale paradossalmente siamo meno esposti. Questo non vuol dire che noi non siamo attrezzati per rispondere anche a queste esigenze. Già da febbraio avremo un problema ulteriore rispetto a quello che gestiamo adesso, quando collegheremo tutti i serbatoi».
Il controllo remoto esposto ad attacchi ICS e IA generativa
Naccari si riferisce alla fase dicembre 2026 a marzo 2027 quando, da cronoprogramma tutti i serbatoi saranno collegati digitalmente alla nuova Control Room di Sorical e i tecnici potranno visualizzare i flussi, i livelli di riempimento e la pressione dell'acqua direttamente da remoto o tramite palmari in rete. Entro Dicembre 2026 dovrebbero essere attivati i primi sistemi digitali sui serbatoi e a marzo 2027 il sistema di controllo a distanza dovrebbe raggiungere la sua piena operatività. Con un’infrastruttura IoT che spalanca opportunità e minacce. Perché il trend che registrano i report internazionali e i bollettini di settore, vedi il Rapporto Clusit, è un vero e proprio switch da forme di attacco legate alla richiesta di un riscatto economico, come quella occorsa a Alto Calore Servizi, ad attacchi mirati ai sistemi ICS (Industrial Control Systems) che gestiscono la distribuzione e l’erogazione delle utilities. Con un ulteriore elemento in costante evoluzione: lo sfruttamento di modelli di IA generativa per automatizzare la ricerca di vulnerabilità nei software del sistema.
La Direttiva NIS2 e l'anello debole della supply chain
C’è quindi da sperare che la nuova Control Room reggina annunciata dal sindaco Cannizzaro abbia alla base un software di ultima generazione capace di rispondere a queste sfide e ci sarà da applicare con rigore la nuova regolamentazione prevista dalla direttiva NIS2 per le società che, come Sorical, sono state classificate come "soggetti essenziali o importanti" con l’obbligo di investire massicciamente in resilienza, pena sanzioni severissime e la responsabilità diretta dei vertici aziendali in caso di falle nella catena di sicurezza. Resta infine da considerare un ultimo dato: molti dei oltre 3.200 sistemi potenzialmente compromessi o analizzati in Italia nei monitoraggi del 2026 illustrano che gli attacchi a certe reti avvengano attraverso i fornitori terzi, cioè chi, ad esempio, viene incaricato di manutenere i software gestionali. Elemento che consente di aggirare i perimetri di sicurezza tradizionali.
La vera sfida: tempestività e velocità di reazione
Perché in tempi come questi in cui l’evoluzione delle nuove tecnologie rappresenta un’opportunità per vecchie e nuove criminalità, non c’è più da chiedersi se un'utility verrà attaccata, ma quando e con quale velocità riuscirà a reagire.