FROM ENERGY TRANSITION TO SECURITY CHALLENGES: CHINESE WIND TURBINES IN EUROPE
Le necessarie ambizioni europee in materia di transizione verde stanno trainando la crescita delle energie pulite. La domanda di installazioni eoliche è in aumento, eppure questo mercato è sempre più influenzato da un unico attore: la Cina, i cui sussidi statali alterano le dinamiche concorrenziali. I produttori cinesi di apparecchiature originali (OEM) possono contare su una scala industriale più ampia, una maggiore capacità produttiva e turbine a prezzi che i produttori europei, privi di livelli analoghi di intervento pubblico, faticano a eguagliare. Tuttavia, man mano che gli asset energetici – solari, nucleari ed eolici – diventano sempre più digitalizzati e integrati nelle reti elettriche, la sicurezza assume un ruolo cruciale. L’identità dei fornitori e la loro posizione tecnica diventano così fattori determinanti di una più ampia sfida per le infrastrutture energetiche.
La concorrenza cinese nell’ecosistema eolico europeo si manifesta, infatti, in diverse forme e genera differenti tipologie di dipendenza. I fornitori di componenti incidono sulla resilienza industriale e sulla concentrazione delle catene di approvvigionamento. Investitori e operatori sollevano questioni relative alla proprietà, alla gestione e all’accesso. Gli investimenti nelle reti, invece, hanno implicazioni sulla governance delle infrastrutture e sull’accesso a informazioni sensibili dei sistemi.
Gli OEM occupano tuttavia una posizione specifica e critica. Le moderne turbine eoliche non sono semplici dispositivi meccanici: sono asset cyber-fisici connessi, le cui funzionalità dipendono dall’interazione tra sistemi meccanici, conversione elettrica, logiche di controllo, reti di comunicazione e flussi di dati.
Data questa complessità, gli OEM mantengono una significativa influenza sull’intero ciclo di vita della turbina, considerata come asset integrato. La dipendenza da un OEM non si esaurisce con l’approvvigionamento e l’installazione, ma prosegue per tutta la vita utile della turbina attraverso manutenzione, diagnostica, aggiornamenti software e gestione ordinaria del sistema, nonché mediante software proprietari, firmware, controllori integrati, strumenti diagnostici, aggiornamenti, interfacce dati e canali di accesso remoto. L’OEM conserva così accesso, influenza e controllo.
In questo contesto, gli operatori europei che collaborano con OEM cinesi possono cercare di limitare l’accesso esterno, ridurre la dipendenza dall’ambiente proprietario dell’OEM o insistere sulla presenza di produzione locale, centri di monitoraggio o servizi di gestione e manutenzione (Operation and Maintenance, O&M). Tuttavia, tali misure creano soltanto un’illusione di controllo e supervisione, oltre a un falso senso di sicurezza. In realtà, la dipendenza dall’OEM persiste, consentendo in ultima analisi ai produttori cinesi di mantenere il controllo sulle turbine eoliche installate in Europa.
Per quanto riguarda il potenziale esercizio di tale influenza e controllo, il rapporto individua due vettori di minaccia interconnessi. Il primo riguarda la possibile weaponization tecnologica, ovvero l’uso strumentale della tecnologia a fini ostili, attraverso le vulnerabilità dei sistemi di controllo. I parchi eolici si affidano a sistemi SCADA (Supervisory Control and Data Acquisition), reti di tecnologia operativa (Operational Technology, OT) e funzionalità di accesso remoto. Eventuali interferenze potrebbero causare perdita di visibilità, manipolazione dei dati di monitoraggio e trasmissione, comandi non autorizzati, alterazione dei parametri o ritardi nelle risposte. I parchi eolici possono inoltre raccogliere informazioni sulle infrastrutture, individuare guasti e acquisire dati relativi alla rete elettrica, contribuendo a supportarne la resilienza.
Nell’attuale contesto politico e geostrategico, questi scenari sono plausibili: le aziende cinesi sono legalmente obbligate a sostenere, assistere e cooperare con le attività di intelligence dello Stato e, in alcuni casi, a fornire assistenza tecnica ai servizi di pubblica sicurezza e di sicurezza dello Stato. Gli OEM raccolgono necessariamente dati e controllano gli accessi; tuttavia, quando un OEM detiene questo potere, esso rappresenta anche un rischio chiaro e identificabile per le infrastrutture energetiche europee, aprendo la possibilità di compromissione, sabotaggio e weaponization dei singoli asset eolici, con potenziali ripercussioni sulla stabilità complessiva della rete elettrica.
Attraverso il Cyber Resilience Act (CRA), l’Europa ha introdotto requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali. La proposta di revisione del Cybersecurity Act (CSA2), tuttavia, offre uno strumento per adottare un approccio basato sul rischio nei confronti dei fornitori ad alto rischio e delle catene di approvvigionamento ICT, includendo anche fattori non tecnici. Nel settore eolico, ciò dovrebbe tradursi nell’individuazione e nella gestione degli attori che mantengono un’influenza significativa sugli asset connessi durante tutto il loro ciclo di vita operativo.
La nostra raccomandazione è di applicare il CSA2 ai fornitori diretti ad alto rischio di asset connessi alle infrastrutture critiche, comprese le turbine eoliche. In pratica, ciò significa includere i fornitori con cui il proprietario o l’operatore di un asset intrattiene un rapporto contrattuale diretto di fornitura e il cui profilo di rischio sia stato determinato attraverso il pertinente quadro di valutazione, basato sulla proprietà e sul controllo societario, anziché sul luogo di produzione o sulla sede centrale.
Considerata la persistente capacità degli OEM di esercitare il controllo – influenzando software, firmware, diagnostica, diritti di accesso, interfacce dati e funzioni operative – essi dovrebbero rientrare in questa definizione. Introdurre restrizioni limitate ai soli fornitori diretti consentirebbe di evitare alle imprese controlli burocratici e sproporzionati estesi in profondità lungo le catene di approvvigionamento, che rischierebbero di indebolire la competitività dell’industria eolica europea senza produrre benefici equivalenti in termini di cybersicurezza.
In questo quadro più ampio, un’attuazione specifica per settore è essenziale. Le infrastrutture eoliche presentano caratteristiche peculiari: lunghi cicli di vita degli asset, connettività remota, sistemi di controllo proprietari e una stretta integrazione con la rete elettrica. In sinergia con il CRA, misure mirate e soluzioni sperimentali in ambienti controllati (sandbox) nell’ambito del CSA2 possono tradursi in requisiti concretamente applicabili, capaci di rafforzare la sicurezza energetica, la resilienza economica e la capacità dell’Europa di mantenere un controllo effettivo sugli asset energetici critici, contribuendo così al raggiungimento delle ambizioni europee in materia di transizione verde.
Puoi scaricare qui il report in lingua inglese.