Lo scorso 17 luglio 2026 ha segnato un passaggio fondamentale nell’attuazione della Direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici (“CER”). Entro tale data, gli Stati membri erano tenuti a identificare i soggetti critici destinatari della disciplina, segnando il passaggio dalla fase di recepimento a quella di piena applicazione del nuovo quadro normativo europeo.
Per le imprese italiane, tuttavia, il 17 luglio non rappresenta un punto di arrivo, bensì l’inizio di un percorso di compliance che presenta alcune peculiarità rispetto a quanto emerge dalla sola lettura della Direttiva europea.
Il D.Lgs. 4 settembre 2024, n. 134, che ha recepito la CER in Italia, delinea infatti un sistema che attribuisce particolare rilievo alla governance, alla gestione integrata dei rischi e al coordinamento con altre discipline, prima fra tutte la NIS2.
L’elenco dei soggetti critici
Come già evidenziato in questo articolo, il recepimento della Direttiva CER ha imposto agli Stati Membri delle tempistiche rigorose. Alle Autorità Settoriali Competenti spettava, entro lo scorso 17 gennaio, il compito di individuare i soggetti ritenuti critici. L’elenco definitivo di tali soggetti è stato quindi adottato entro lo scorso 17 luglio, fermo restando che, per evidenti ragioni di sicurezza nazionale, lo stesso non è reso noto al pubblico.
Le società individuate quali soggetti critici riceveranno, nei 30 giorni successivi, una formale notifica di designazione a partire dalla quale inizierà a decorrere un periodo di 10 mesi per conformarsi agli obblighi previsti dalla normativa.
Cosa fare qualora la società sia qualificata come soggetto critico?
Qualora quindi la propria società abbia ricevuto o riceva nei prossimi giorni, una notifica di designazione sarà necessario capire come muoversi concretamente.
Il punto di partenza è certamente la valutazione del rischio, che dovrà tener conto di tutti gli eventi in grado di compromettere la continuità del servizio essenziale per il quale il soggetto è stato identificato come critico. Entro 9 mesi dalla designazione le rilevanti società saranno quindi tenute ad effettuare una valutazione del rischio che parta, ad esempio, dagli eventi naturali e fenomeni climatici estremi alle azioni di sabotaggio, dall’errore umano alle dipendenze da fornitori critici. La valutazione del rischio deve peraltro essere aggiornata almeno ogni 4 anni e ogni volta che si verifichino modifiche sostanziali del profilo di rischio.
Tale valutazione costituisce il presupposto dell’intero sistema di resilienza previsto dal decreto e rappresenta quindi il fondamento sul quale costruire tutte le successive misure di resilienza.
Una volta completata la valutazione dei rischi, il soggetto critico è infatti tenuto ad adottare misure tecniche, organizzative e procedurali idonee a garantire la continuità del servizio. Il decreto non impone un elenco rigido di controlli, ma individua alcuni ambiti che dovranno necessariamente essere presidiati, tra cui la prevenzione e la gestione degli incidenti, la continuità operativa, la gestione delle crisi, il disaster recovery, la sicurezza fisica delle infrastrutture, la gestione della supply chain e la formazione del personale.
Il ruolo della Strategia Nazionale per la resilienza dei soggetti critici
Nell’attuazione delle misure di resilienza le imprese dovrebbero inoltre tenere conto della Strategia Nazionale per la Resilienza dei Soggetti Critici, adottata con DPCM il 30 aprile 2026. Pur non introducendo obblighi ulteriori rispetto a quelli previsti dal D.Lgs. n. 134/2024, la Strategia rappresenta il principale documento di indirizzo del sistema italiano e fornisce importanti indicazioni sull’approccio che le autorità si attendono dai soggetti critici. In particolare, essa sottolinea che la resilienza deve essere affrontata secondo una logica di “all hazards”, considerando congiuntamente rischi naturali, tecnologici, antropici, ibridi e cyber, e promuovendo una gestione della resilienza basata sul miglioramento continuo piuttosto che sul mero adempimento formale. La Strategia richiama inoltre la necessità di sviluppare una maggiore conoscenza delle interdipendenze tra servizi essenziali e delle vulnerabilità della catena di approvvigionamento, evidenziando come eventi che colpiscono un singolo operatore possano produrre effetti a cascata su altri settori critici. È quindi prevedibile che tali principi rappresentino un importante parametro di riferimento anche nell’attività di vigilanza delle autorità competenti. L’approccio delineato dalla Strategia conferma, inoltre, come la resilienza non possa essere affidata esclusivamente a misure tecniche, ma richieda un adeguato modello di governance interno, capace di integrare la gestione dei rischi nei processi decisionali dell’organizzazione.
La governance interna quale strumento di difesa
Ben si comprende quindi che, così come già accaduto per la NIS2, uno degli elementi più caratterizzanti della Direttiva CER e della sua implementazione italiana è l’attenzione dedicata alla governance interna.
La resilienza non viene più considerata esclusivamente una materia tecnica demandata alle funzioni operative, ma un tema che coinvolge direttamente il management aziendale e gli organi di amministrazione. La capacità di un’organizzazione di garantire la continuità dei servizi essenziali dipende infatti, secondo il legislatore, non solo dall’adozione di adeguate misure tecniche, ma anche dalla presenza di un sistema decisionale consapevole, in grado di supervisionare, indirizzare e monitorare nel tempo le strategie di resilienza.
In tale prospettiva, le imprese dovrebbero definire una chiara allocazione di ruoli e responsabilità, assicurare un adeguato coinvolgimento del vertice aziendale nell’approvazione e nel monitoraggio delle misure di resilienza e promuovere una cultura organizzativa orientata alla prevenzione, alla preparazione e alla gestione degli incidenti.
Si tratta di un approccio coerente con quello già adottato dal legislatore italiano in sede di recepimento della Direttiva NIS2, che attribuisce agli organi di amministrazione specifiche responsabilità nella supervisione della gestione dei rischi di cybersicurezza. Per molte organizzazioni, pertanto, la vera sfida non sarà tanto quella di gestire due distinti adempimenti normativi, quanto quella di sviluppare un unico modello integrato di governance della resilienza, in grado di coordinare gli obblighi derivanti dalla CER e dalla NIS2 (e potenzialmente altre normative) attraverso un unico framework integrato di gestione dei rischi, continuità operativa e risposta agli incidenti.
La notifica degli incidenti
Un ulteriore profilo che richiederà un’attenta pianificazione riguarda la gestione degli obblighi di notifica degli incidenti.
I soggetti critici sono infatti tenuti a notificare senza indebito ritardo all’Autorità Settoriale Competente (ASC) e al Punto di Contatto Unico (PCU) gli incidenti che perturbano o possono perturbare in modo significativo la fornitura del servizio essenziale. Salvo che ciò sia operativamente impossibile, la notifica iniziale deve essere trasmessa entro 24 ore dal momento in cui il soggetto viene a conoscenza dell’incidente e deve contenere le prime informazioni disponibili, comprese, ove possibile, le cause dell’evento e le sue possibili conseguenze. Entro un mese dalla notifica iniziale il soggetto critico è inoltre tenuto a trasmettere una relazione dettagliata, contenente una descrizione dell’incidente, il suo impatto, le misure adottate per mitigarne gli effetti e le azioni poste in essere per prevenirne il ripetersi.
Il sistema di notifica previsto dalla disciplina CER si aggiunge agli eventuali obblighi derivanti da altre normative, quali il D.Lgs. n. 138/2024 di recepimento della Direttiva NIS2 o il GDPR, rendendo quindi necessario predisporre procedure interne coordinate che consentano di gestire un medesimo evento sotto tutti i profili regolatori applicabili.
Più che predisporre procedure distinte per ciascun obbligo normativo, le organizzazioni dovrebbero quindi sviluppare un sistema di gestione degli incidenti unitario, capace di individuare tempestivamente gli eventi rilevanti, valutarne gli impatti e attivare, in modo coordinato, i diversi flussi di comunicazione verso le autorità competenti.
Conclusioni
Con il completamento dell’identificazione dei soggetti critici, la Direttiva CER entra nella sua fase pienamente operativa. Per le imprese interessate, la compliance non dovrà limitarsi all’adempimento dei singoli obblighi previsti dal D.Lgs. n. 134/2024, ma richiederà un approccio strutturato e integrato alla gestione della resilienza. In questo contesto, la capacità di coordinare governance, gestione dei rischi, continuità operativa e obblighi di notifica rappresenterà il principale fattore per garantire non solo la conformità normativa, ma anche una maggiore resilienza dell’organizzazione nel lungo periodo.
About the Author: Giulia Zappaterra
