Il kill-switch è già sul tuo tetto: cosa ci dice il ban USA sugli inverter fotovoltaici

Il 28 luglio 2026 la Federal Communications Commission americana ha inserito nella sua Covered List — la lista nera dei dispositivi considerati una minaccia alla sicurezza nazionale, la stessa che ospita Huawei e ZTE — due categorie di prodotti che fino a ieri nessuno associava alla cybersecurity: i robot avanzati (umanoidi e quadrupedi) e i power inverter connessi, i dispositivi che convertono la corrente continua di pannelli solari e batterie in corrente alternata per la rete.

I titoli dei giornali sono andati tutti sui robot umanoidi, che fanno più notizia. Ma la parte dell'annuncio che riguarda da vicino le aziende europee — e italiane in particolare — è l'altra: quella sugli inverter.

Perché proprio gli inverter

La decisione della FCC non nasce dal nulla. A maggio 2025 Reuters aveva rivelato che esperti americani, smontando inverter fotovoltaici di fabbricazione cinese collegati alla rete elettrica USA, avevano trovato dispositivi di comunicazione non documentati — incluse radio cellulari — assenti dalle specifiche di prodotto. Componenti analoghi erano emersi anche in batterie di accumulo di diversi fornitori cinesi.

Un canale di comunicazione non dichiarato è, per definizione, un canale che bypassa i firewall: l'operatore di rete protegge le connessioni che conosce, non quelle che non sa di avere.

La FCC, nel motivare il provvedimento, cita esplicitamente tre rischi: la possibilità che un attore estero spenga da remoto i dispositivi, il furto di dati, e l'uso dei dispositivi come teste di ponte per accesso remoto e sorveglianza.

Qui serve una distinzione onesta, perché su questo tema circola molta approssimazione:

• È un fatto che dispositivi di comunicazione non documentati siano stati trovati in inverter e batterie cinesi (fonte Reuters, confermata da più testate di settore).
• È un fatto che gli inverter connessi abbiano canali di gestione remota verso il cloud del produttore: è una funzionalità dichiarata, serve per monitoraggio e aggiornamenti firmware.
• Non risulta documentato pubblicamente, a oggi, alcun attacco reale condotto attraverso questi dispositivi contro una rete elettrica occidentale.

Il rischio, in altre parole, non è un attacco in corso: è strutturale. Chi produce l'inverter mantiene un accesso privilegiato e legittimo al dispositivo per tutta la sua vita operativa. Se quel produttore opera in una giurisdizione che può obbligarlo a cooperare con le proprie agenzie di intelligence, quell'accesso diventa una questione di sicurezza nazionale — o, in scala ridotta, aziendale.

«È solo l'impianto elettrico»: il punto cieco delle PMI

Ed è qui che la notizia smette di essere geopolitica e diventa operativa.

Migliaia di PMI italiane hanno un impianto fotovoltaico sul capannone. Nella stragrande maggioranza dei casi l'inverter è connesso a internet — al cloud del produttore, per il monitoraggio della produzione — attraverso la rete aziendale o una SIM dedicata. E nella stragrande maggioranza dei casi quel dispositivo non compare in nessun inventario IT: non è un server, non è un PC, non è "roba informatica". È l'impianto elettrico, se ne occupa l'elettricista.

Il risultato è un dispositivo con queste caratteristiche:

• è connesso in permanenza a un cloud extra-UE,
• riceve aggiornamenti firmware decisi da terzi,
• ha capacità di attuazione fisica (può interrompere una fonte di alimentazione),
• e non è presidiato da nessuno in azienda.

In qualunque analisi dei rischi fatta seriamente, un oggetto del genere non può stare fuori perimetro. È operational technology connessa, e va trattata come tale.

L'approccio europeo: niente liste nere, ma obblighi per tutti

Gli Stati Uniti hanno scelto la via del bando per origine geografica. L'Unione Europea ha preso una strada diversa — e per certi versi più esigente: non vieta per bandiera, ma impone requisiti di sicurezza a chiunque venda prodotti connessi nel mercato unico.

Due strumenti, con tempi diversi.

NIS2 (direttiva 2022/2555, in Italia D.Lgs. 138/2024): per i soggetti in perimetro, l'articolo 21 richiede espressamente misure sulla sicurezza della catena di approvvigionamento, inclusa la valutazione delle vulnerabilità dei fornitori diretti. Un inverter connesso alla rete aziendale è, a tutti gli effetti, un fornitore nella tua supply chain tecnologica.

Cyber Resilience Act(regolamento 2024/2847): si applica ai prodotti con elementi digitali venduti nell'UE, inverter inclusi. Le date da segnare:

• dall'11 settembre 2026 — tra poche settimane — i produttori devono notificare a ENISA e ai CSIRT nazionali le vulnerabilità attivamente sfruttate e gli incidenti gravi, anche per i prodotti già sul mercato;
• dall'11 dicembre 2027 scattano gli obblighi pieni di sicurezza by-design per i nuovi prodotti immessi sul mercato.

Tradotto: da settembre, se il tuo inverter ha una vulnerabilità sfruttata attivamente, il produttore ha l'obbligo legale di dichiararlo. Un produttore che non risponde, non pubblica advisory o non ha un canale di disclosure è già oggi un segnale d'allarme — e da dicembre 2027 sarà fuori mercato.

Cinque cose da fare (prima che lo chieda un auditor)

1. Censisci — l'inverter (e le batterie, e le colonnine di ricarica) entra nell'inventario degli asset connessi, con marca, modello, versione firmware e tipo di connettività.
2. Segmenta — l'inverter non deve stare sulla stessa rete dei sistemi gestionali. Una VLAN dedicata o una SIM separata costano poco; un movimento laterale dalla rete OT a quella IT costa molto.
3. Chiedi al fornitore — dove vanno i dati di telemetria? Gli aggiornamenti firmware sono firmati? Esiste una funzione di spegnimento remoto e chi può invocarla? C'è una policy di vulnerability disclosure? Sono domande da capitolato, non da paranoici.
4. Verifica il contratto — se il monitoraggio passa dal cloud del produttore, il trattamento dei dati e le responsabilità in caso di incidente devono stare per iscritto.
5. Porta l'OT nell'analisi dei rischi — fotovoltaico, HVAC, controllo accessi, videosorveglianza: tutto ciò che è connesso e attua qualcosa nel mondo fisico appartiene al perimetro, anche se non lo ha installato l'IT.

La lezione

La FCC ha appena detto al mondo che un inverter è un'apparecchiatura di rete a tutti gli effetti. L'Europa lo dice da tempo, con meno clamore e più scadenze: NIS2 per chi compra, CRA per chi produce.

Non serve aspettare che il rischio geopolitico diventi cronaca. Il punto non è la bandiera del produttore: è sapere quali dispositivi connessi hai, cosa possono fare, e chi altro può farglielo fare. Se la risposta a una di queste tre domande è "non lo so", il posto giusto da cui cominciare non è il tetto — è l'analisi dei rischi.

Fonti

• FCC — FCC Adds Foreign-Produced Power Inverters and Robots to Covered List (28 luglio 2026)
• FCC — FAQs on Recent Updates to FCC Covered List
• BBC — Trump administration bans new Chinese humanoid robots
• pv magazine — Hidden devices found in Chinese-made inverters in the US, reports Reuters (maggio 2025)
• Utility Dive — 'Rogue' communication devices found on Chinese-made solar power inverters
• Regolamento (UE) 2024/2847 — Cyber Resilience Act (EUR-Lex)
• Direttiva (UE) 2022/2555 — NIS2, art. 21 (EUR-Lex)