C'è un momento, lavorando nell'impiantistica elettrica, in cui smetti di sorridere: quando apri il capitolato tecnico del CCI — il Controllore Centrale di Impianto, obbligatorio per legge se hai un impianto di produzione connesso in media tensione — e trovi scritto:
"n. 3 interfacce Ethernet fisicamente segregate tra loro."
Prima reazione: tre prese di rete, ci metto uno switch da dodici euro e chiudo in un pomeriggio. Poi chiami un paio di fornitori, e arriva la seconda reazione: "segregate" cosa vuol dire, di preciso? E perché nessun dispositivo in giro lo fa come si deve?
Se sei a questo punto, la risposta non è banale, e non è un capriccio burocratico: è la direzione verso cui sta andando tutta l'elettronica per l'impiantistica critica, non solo il CCI.
Chi capisce questa storia adesso ha un vantaggio reale. Chi la ignora, tra un anno o due, rincorre un fornitore last minute pagandolo il triplo.
Cosa significa, concretamente, "segregate"
Partiamo dal concetto — più semplice di come suona.
Immagina un dispositivo che deve tenere aperte, nello stesso momento, tre conversazioni con interlocutori che non si fidano l'uno dell'altro. E con ottime ragioni.
C'è il mondo regolato: il DSO o Terna, a cui mandi misure e da cui ricevi comandi di distacco o modulazione. Se qualcuno entra dalla porta sbagliata qui, il rischio non è il wifi di casa: è la rete elettrica nazionale.
C'è il campo: inverter, protezioni, contatori, PLC, sensori — deve restare veloce e deterministico, e non fermarsi mai solo perché qualcuno, altrove, sta facendo un aggiornamento firmware.
E c'è la manutenzione: il tecnico col laptop che fa diagnostica, aggiorna un parametro, e se ne va.
Tre mondi, tre livelli di fiducia diversi. Perché non metterli tutti sulla stessa rete fisica, con tre VLAN diverse? Perché no — ed è qui che si entra nel tecnico.
Perché adesso — e perché non è burocrazia fine a se stessa
Quello che succede tra ARERA e CCI non è un episodio isolato: è un tassello di un mosaico normativo che si sta chiudendo in tutta Europa.
Con la Delibera ARERA 385/2025 (5 agosto 2025, prorogata dalla 564/2025), l'obbligo del CCI si è allargato notevolmente: con il principio della potenza aggregata, introdotto dalla Variante 5 della CEI 0-16, ci rientrano anche impianti più piccoli che condividono lo stesso punto di connessione. Se pensavi di essere troppo piccolo per essere un bersaglio, quella soglia si è appena abbassata — e continuerà a farlo.
La parte meno nota riguarda gli Allegati A.13, A.52 e A.69 al Codice di Rete di Terna, aggiornati nel 2026. L'Allegato A.52, specifica tecnica dell'UPDM — il "cugino" del CCI che dialoga direttamente con Terna — chiede: doppia interfaccia Ethernet verso Terna, indipendenti tra loro; segregazione della rete del bus di campo (verso IED, protezioni, sensori, tipicamente IEC 61850) sia dalla rete Terna che dalla rete dati d'impianto; secure boot, firma del firmware, log con retention di almeno sei mesi, autenticazione via RADIUS/RBAC, gestione strutturata delle vulnerabilità.
Che si tratti di due link ridondati più una rete di campo isolata, o di tre prese fisiche distinte — WAN, LAN impianto, console di manutenzione — il principio resta identico: reti diverse per funzioni diverse, che non si parlano senza un permesso esplicito, tracciato e limitato nel tempo.
Sopra ARERA e Terna c'è tutto un pacchetto normativo europeo: il NIS2 (D.Lgs. 138/2024), che rende la cybersicurezza un obbligo organizzativo verificabile per 18 settori critici; il Cyber Resilience Act, che sposta il vincolo sul prodotto fin dalla progettazione; e la serie IEC 62443, che formalizza il concetto di zone e conduits — asset raggruppati per requisiti di sicurezza omogenei, con canali di comunicazione controllati tra una zona e l'altra.
Il rischio informatico si è industrializzato: con crime-as-a-service, phishing generativo e attacchi alla supply chain, oggi conviene colpire anche il piccolo impianto fotovoltaico da due megawatt, non solo la grande centrale — perché, se collegato male, è una porta laterale verso qualcosa di più grande.
Il problema tecnico che nessun capitolato ti spiega
Fin qui la teoria. Ora la parte che conta se devi costruire — o comprare — uno di questi dispositivi: perché è così difficile trovarne uno che faccia quello che promette?
Parecchi System-on-Module industriali montano oggi SoC potenti come lo STM32MP257 di ST — lo stesso su cui è basato il nostro MINERVA. Apri il datasheet, leggi "tre porte Ethernet con switch integrato e supporto TSN", e pensi: fatto.
Sbagliato. Dentro quel chip c'è in realtà un solo controller MAC Ethernet nativo — il GMAC — collegato a un PHY esterno, che opzionalmente si aggancia a uno switch integrato che espone altre due interfacce PHY. Hai fisicamente tre connettori RJ45, ma due di quei tre condividono lo stesso switch di silicio e lo stesso percorso MAC/DMA verso la CPU.
Il problema è che "switch" vuol dire che, di fabbrica, quelle porte si parlano tra loro a livello 2, condividendo lo stesso hardware.
Hai fisicamente tre prese RJ45, ma funzionalmente hai ancora una sola rete con tre uscite.
Un po' come avere due porte diverse sullo stesso campo da calcio e stupirsi che i giocatori si scambino la maglia quando gli pare.
Per arrivare a una segregazione reale — quella che un audit IEC 62443 prende in considerazione — servono più livelli insieme.
Il primo è l'isolamento hardware effettivo: o sfrutti le funzioni di port isolation dello switch integrato, quando il silicio le offre in modo granulare, oppure aggiungi un secondo controller MAC/PHY indipendente (su SPI o bus RMII dedicato), con uno stack di rete completamente separato: driver diverso, namespace diverso, nessun bridge software in mezzo.
C'è poi il bridging software non intenzionale: su un embedded Linux capita che qualcuno abbia acceso l'IP forwarding "per un test veloce" e se lo sia scordato attivo in produzione. La segregazione seria si dimostra con l'output di sysctl, regole firewall verificabili, e test di intrusione che provano a far passare pacchetti tra interfacce — senza riuscirci.
Poi ci sono costo, spazio e consumo: un secondo MAC/PHY discreto significa un altro componente in BOM, un layout non banale (impedenze controllate, magnetics dedicati, protezione EMC porta per porta), altro consumo e spazio. Su un dispositivo compatto da quadro elettrico, è un vincolo progettuale tutt'altro che teorico.
E infine c'è la certificazione EMC e safety per ogni interfaccia esposta, secondo CEI EN 61010-1 e le norme EMC applicabili: ogni porta in più è un punto da certificare per immunità ed emissioni.
Ecco perché, sul mercato, un dispositivo con tre interfacce genuinamente segregate è raro: non è che i produttori non ci abbiano pensato, è che farlo bene costa, e fino a ieri mancava un motivo normativo abbastanza forte da giustificarlo. Oggi ce l'ha.
VLAN non è segregazione (e chi te la vende così ti sta un po' prendendo in giro)
Vale la pena chiarire un punto che genera parecchie discussioni tra ingegneri e integratori un po' troppo disinvolti.
Le VLAN sono comode: costano poco, si configurano in software, separano il traffico logicamente su uno switch condiviso. In tantissimi contesti IT sono lo strumento giusto.
Ma per un asset critico — dominio Terna, bus di campo IEC 61850, dispositivo che dovrà superare un audit IEC 62443 — la sola segmentazione via VLAN non regge: una VLAN vive comunque sullo stesso switch fisico, con lo stesso firmware e lo stesso piano di controllo. Se quello switch viene compromesso, tutte le VLAN che ci vivono sopra sono a rischio insieme. È la differenza tra due appartamenti nello stesso palazzo e due edifici fisicamente separati.
Non è un caso che l'Allegato A.52 di Terna, parlando di segregazione del bus di campo UPDM, non scriva mai "usa una VLAN": parla di reti isolate. Le linee guida ENISA e CISA sulla segmentazione OT distinguono con cura tra segmentazione — il partizionamento della rete — e segregazione, cioè regole e, dove serve, separazione fisica che decide cosa attraversa il confine tra zone.
Questo non significa buttare via le VLAN, che restano utili dentro ogni singola zona. Significa che il confine tra zone con requisiti diversi — Terna, campo, manutenzione — dovrebbe poggiare su qualcosa di più solido di un tag 802.1Q, specialmente quando quel confine è il perimetro che qualcuno dovrà certificare fino in fondo.
Come si certifica un dispositivo con reti segregate (e non solo sulla carta)
Arriviamo al punto che separa un dispositivo conforme sulla carta da uno che regge a un audit vero e proprio.
La certificazione si muove su più binari, da percorrere insieme: la conformità normativa di prodotto (CEI 0-16 per il CCI, CEI EN 61010-1 per la sicurezza elettrica, categoria CAT III, test EMC per ogni interfaccia esposta); la sicurezza del ciclo di sviluppo (IEC 62443-4-1), che non certifica il dispositivo ma il processo con cui lo sviluppi — gestione vulnerabilità, secure by design, patch management documentato; i requisiti tecnici del componente (IEC 62443-4-2), che scendono nei sette Foundational Requirements, tra cui il Restricted Data Flow (FR5) — proprio il requisito che formalizza reti segregate e flussi limitati e documentati, verificato da un laboratorio accreditato che prova ad attraversare i confini e a instradare traffico non autorizzato.
Per gli apparati che dialogano con la rete elettrica c'è poi il collaudo specifico verso Terna o il DSO: tempi di attuazione dei comandi (per l'UPDM, soglie certificate sotto i 10-20 millisecondi), whitelist degli IP autorizzati, resilienza a traffico anomalo tipo multicast storm.
E infine le evidenze documentali, che fregano chi arriva impreparato: diagramma di architettura con zone e conduits, matrice dei flussi, asset inventory, piano di gestione degli accessi remoti, piano di logging.
La certificazione non è un timbro che appiccichi alla fine del progetto: è la conseguenza di come hai disegnato l'architettura fin dal primo schema elettrico.
Se provi a "certificare dopo" un dispositivo pensato senza segregazione effettiva, la scoperta più comune è che devi rifare il PCB da capo — un altro giro completo di prototipazione, altri tre mesi, altri soldi non preventivati.
Come l'abbiamo affrontata noi: MINERVA, IRIDE, e la lezione del GMAC unico
Quando abbiamo disegnato MINERVA — il nostro SoM per edge AI, basato sullo STM32MP257 — il problema del GMAC unico più switch integrato non era teoria: era il primo bivio del progetto, da risolvere prima di disegnare il primo layer del PCB.
La scelta architetturale che guida MINERVA e la sua backplane modulare IRIDE è trattare le interfacce di rete come un problema di architettura di sistema, non una casella da spuntare sul datasheet: decidere, interfaccia per interfaccia, dove il traffico può restare sullo switch integrato — perché le porte servono la stessa zona di fiducia — e dove serve invece un percorso realmente indipendente, con controller e stack software separati.
Il vantaggio di un'architettura a SoM più backplane è che questa scelta non va presa una volta per sempre in fabbrica: si configura in base al capitolato specifico — CCI, UPDM, o un controllore custom — senza ridisegnare tutto da zero ogni volta che cambia il cliente.
Non te lo racconto per venderti MINERVA: te lo racconto perché è l'esempio più a portata di mano per farti capire una cosa.
Se il tuo fornitore non riesce a spiegarti dove passa fisicamente ogni pacchetto tra le tue tre reti, probabilmente non ha una segregazione autentica.
Ha tre prese RJ45 e una dichiarazione di conformità scritta con parecchio ottimismo.
E adesso?
Se sei arrivato fin qui è perché il problema è concreto: un capitolato da rispettare, una scadenza ARERA che si avvicina, o la sensazione — corretta — che tra un anno questi requisiti saranno lo standard e non più l'eccezione.
Non ti sto chiedendo di fidarti sulla parola. Ti offriamo una consulenza tecnica gratuita, senza impegno: ci racconti il tuo caso — CCI, UPDM, o un dispositivo custom per il tuo impianto — e ti diciamo onestamente se e come si può realizzare con una segregazione delle reti fatta come si deve, cosa serve per certificarlo, e quanto costa realisticamente in tempi e denaro. Se la risposta è che non ti serve tutta questa complessità, te lo diciamo lo stesso.
P.S. Se il tuo capitolato ha una scadenza legata alla Delibera ARERA 385/2025 — anche con la proroga della 564/2025 — il tempo per validare un'architettura, prototiparla e certificarla non è infinito. Meglio farsi la domanda giusta oggi, che scoprire tra quattro mesi di dover rifare il PCB da zero.
