Rete elettrica USA, l'ordine esecutivo 14420 dichiara emergenza nazionale per le forniture estere

Il presidente degli Stati Uniti ha firmato il 26 agosto 2026 l'ordine esecutivo 14420, che dichiara un'emergenza nazionale per la minaccia "insolita e straordinaria" rappresentata dalle apparecchiature elettriche di fornitura estera destinate al bulk power system. La decisione segna un cambio di passo nella protezione della rete elettrica statunitense: non più solo ricerca di vulnerabilità software, ma controllo della provenienza, della progettazione e della catena di fornitura di trasformatori, relè, sistemi di controllo industriale e componenti critici.

Cosa stabilisce l'ordine: ambito e definizioni

L'ordine esecutivo 14420 si applica al bulk-power system, definito come l'insieme delle infrastrutture di trasmissione interconnesse e delle risorse di generazione necessarie all'affidabilità della rete. Sono incluse le linee di trasmissione con tensione pari o superiore a 69 kV. Restano escluse le infrastrutture di distribuzione elettrica locale, che servono direttamente utenti residenziali e piccole imprese.

Il testo copre un elenco ampio di apparecchiature e tecnologie. Vi rientrano trasformatori, generatori, inverter, sistemi di accumulo di energia o batterie, relè di protezione, contatori, interruttori automatici ad alta tensione. L'ordine include anche i sistemi di controllo industriale: remote terminal unit (RTU), programmable logic controller (PLC), dispositivi elettronici intelligenti (IED), sistemi di controllo distribuito (DCS) e sistemi strumentati di sicurezza. Non si ferma all'hardware: software, firmware, servizi digitali, servizi di manutenzione e capacità di accesso remoto associati alle apparecchiature coperte rientrano nell'ambito di applicazione.

Nessun vendor specifico è indicato. Si tratta di categorie di prodotto, non di aziende identificate. L'ordine non nomina alcun paese, anche se la struttura richiama da vicino un provvedimento del 2020 che portò a un divieto contro entità associate alla Cina, poi revocato dopo una revisione dell'amministrazione Biden.

Non un divieto generalizzato: il meccanismo di valutazione

L'ordine non vieta in blocco tutte le apparecchiature prodotte all'estero. Crea invece un quadro che consente al Segretario all'Energia di determinare se specifiche entità, fornitori, paesi o apparecchiature estere presentino un rischio inaccettabile per la sicurezza nazionale, la politica estera o l'economia. Le transazioni di acquisizione, importazione, trasferimento o installazione di apparecchiature bulk-power prodotte all'estero avviate dopo il 26 agosto 2026 sono vietate solo se coinvolgono una "Covered Foreign Entity" e se l'hardware o il software è ritenuto a rischio di sabotaggio, sovversione, accesso non autorizzato, azione remota malevola o interruzione del sistema elettrico e della sua catena di fornitura.

La definizione di "Covered Foreign Entity" è volutamente ampia. Include governi soggetti a determinati embarghi o regimi sanzionatori statunitensi ed entità che le autorità competenti ritengono impegnate in condotte dannose per la sicurezza nazionale o la politica estera. Il Segretario all'Energia può anche concedere licenze per transazioni altrimenti vietate, introducendo flessibilità per casi specifici.

Il meccanismo non riguarda solo singoli componenti. L'ordine consente di valutare e restringere intere classi di transazioni, con l'obiettivo di intervenire prima che un componente potenzialmente compromesso entri nella rete.

Impatto sulle apparecchiature già installate

L'ordine non si limita alle nuove acquisizioni. Per le apparecchiature di produzione o gestione estera già installate prima dell'entrata in vigore, il Segretario all'Energia può imporre condizioni e, in base al rischio, obbligare gli operatori a identificare, isolare, monitorare, mettere in sicurezza, disconnettere, sostituire o rimuovere determinate componenti.

Prima di imporre isolamento o sostituzione, i funzionari devono considerare affidabilità, sicurezza, disponibilità di sostituti sicuri e continuità dei servizi essenziali. Rimuovere un componente senza un sostituto adeguato può creare di per sé un problema operativo. Per questo sono previste conformità progressiva e misure negoziate invece di rimozioni immediate.

Il quadro di pre-qualificazione mira a evitare colli di bottiglia negli approvvigionamenti. Il Segretario all'Energia può stabilire criteri per apparecchiature e fornitori pre-qualificati esenti dalle restrizioni di base. La pre-qualificazione, però, non impedisce al governo di esaminare o limitare successivamente una transazione se le circostanze lo richiedono.

Tempistiche e prossimi passi

L'ordine fissa scadenze precise per l'attuazione. Entro 120 giorni dalla firma, il Segretario all'Energia dovrà emanare regole o regolamenti attuativi, incluse procedure per identificare entità, apparecchiature e paesi coperti e per concedere licenze per transazioni altrimenti vietate.

Entro 180 giorni, il Dipartimento dell'Energia dovrà sviluppare raccomandazioni per modifiche al Federal Acquisition Regulation (FAR) che diano maggiore peso ai rischi di sicurezza nazionale e favoriscano le infrastrutture energetiche fabbricate negli Stati Uniti. Il FAR Council avrà poi 90 giorni per valutare se proporre emendamenti per commento pubblico.

Le autorità energetiche possono inoltre negoziare accordi di mitigazione o pubblicare un elenco ufficiale di apparecchiature e fornitori pre-qualificati esenti dai divieti di base. Il Dipartimento dell'Energia aveva dichiarato nell'agosto 2026 di voler aumentare la produzione nazionale di componenti critici della rete, in risposta alla rapida crescita della domanda di elettricità e alla necessità di rafforzare la supply chain.

Uno spostamento strategico: dalla caccia alle vulnerabilità alla supply chain

L'ordine esecutivo 14420 non è legato a una singola vulnerabilità tecnica. Non ci sono CVE né punteggi di gravità. La valutazione è strategica: la sicurezza della rete elettrica viene affrontata come problema di approvvigionamento, produzione e controllo della catena di fornitura.

La motivazione ufficiale citata dalla Casa Bianca è la rapida crescita di data center, intelligenza artificiale, manifattura avanzata e produzione per la difesa. Questa crescita ha aumentato la dipendenza degli Stati Uniti dall'affidabilità della rete elettrica. Un'interruzione che un tempo poteva essere trattata soprattutto come problema energetico può ora colpire operazioni di difesa, infrastrutture critiche, servizi di emergenza e ampie parti dell'economia.

L'ordine segna uno spostamento verso la mitigazione dei rischi upstream della supply chain e delle backdoor hardware incorporate. Mentre l'attenzione è spesso sugli attacchi attivi condotti da attori sponsorizzati da stati contro le reti elettriche statunitensi, il nuovo provvedimento interviene a monte, prima che un dispositivo potenzialmente compromesso venga installato. Non basta sapere se un dispositivo ha una vulnerabilità oggi: occorre anche sapere chi lo ha prodotto, chi controlla il fornitore, da dove provengono software e firmware, chi può accedere da remoto e cosa accade se la catena di fornitura diventa indisponibile.

Cosa devono fare gli operatori

Per gli operatori del bulk power system statunitense, l'ordine comporta nuovi obblighi potenziali. Il Dipartimento dell'Energia può imporre controlli di sicurezza e misure di identificazione, isolamento, monitoraggio, messa in sicurezza, disconnessione o sostituzione delle apparecchiature coperte, garantendo al contempo continuità e sicurezza del servizio.

Le aziende che acquistano o installano apparecchiature bulk-power prodotte all'estero devono verificare se il fornitore rientra tra le entità designate o coperte e se l'hardware o il software presenta i fattori di rischio indicati nell'ordine. La pre-qualificazione può offrire una via per proseguire gli approvvigionamenti senza incorrere nei divieti, ma non elimina la possibilità di controlli successivi.

L'assenza di un elenco iniziale di paesi o fornitori vietati lascia spazio a interpretazioni. Le regole attuative attese entro 120 giorni chiariranno le procedure concrete. Fino ad allora, gli operatori devono prepararsi a un regime in cui la provenienza e il controllo della supply chain diventano parte integrante della valutazione del rischio, accanto alle tradizionali misure di cybersecurity.

L'ordine esecutivo 14420 non introduce nuove patch da installare. Introduce un nuovo modo di pensare la sicurezza della rete elettrica, spostando la linea di difesa dalla periferia informatica alla catena di fornitura. La sua efficacia dipenderà dalle regole attuative e dalla capacità del Dipartimento dell'Energia di bilanciare sicurezza e affidabilità operativa.