Per anni, la protezione delle infrastrutture critiche è stata affrontata principalmente come una questione di sicurezza fisica: identificare le risorse strategiche, proteggerle da incidenti ostili e ridurne la vulnerabilità. Il nuovo quadro europeo adotta una prospettiva più ampia. Non si concentra solo sull’integrità dell’infrastruttura, ma sulla capacità di continuare a garantire i servizi essenziali anche quando un incidente ne colpisce una parte. È il cambiamento introdotto dalla Direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici, la cosiddetta Direttiva CER. La direttiva definisce la resilienza come la capacità di prevenire un incidente, proteggersi da esso, rispondere, resistere, mitigarne le conseguenze, assorbirlo, adattarsi e riprendersi. In Italia la direttiva è stata recepita dal Decreto Legislativo 4 settembre 2024, n. 134, le cui disposizioni si applicano dal 18 ottobre 2024. Il decreto parla di “soggetti critici” e collega la resilienza ai servizi essenziali per la società, l’economia, la sanità, la sicurezza pubblica e l’ambiente. Per chi si occupa di resilienza è l’aspetto più interessante: l’attenzione passa dalla protezione delle risorse alla capacità dell’organizzazione di mantenere le proprie funzioni critiche.

Un vero e proprio approccio “all hazards”

La valutazione del rischio deve tenere conto dell’intero spettro di eventi che possono compromettere un servizio essenziale: catastrofi naturali, eventi provocati dall’uomo, emergenze sanitarie, minacce ibride, eventi transfrontalieri e altre minacce ostili. L’approccio è quindi esplicitamente “all hazards” e va oltre un piano costruito per un unico scenario. Per un Resilience Manager, ciò significa spostare l’attenzione dalla causa dell’incidente alle sue conseguenze operative. Non serve un piano separato per ogni evento possibile. Serve capire quali funzioni vadano mantenute, quali risorse siano davvero indispensabili, quali dipendenze possano venire meno e quali capacità permettano di continuare a funzionare in condizioni avverse.

Le interdipendenze entrano nella valutazione del rischio

La modifica probabilmente più interessante riguarda le interdipendenze. Nella valutazione del rischio (art. 12 della direttiva) il soggetto critico non può limitarsi a ciò che accade dentro il proprio perimetro. Deve considerare in che misura altri settori dipendono dal servizio che fornisce e in che misura esso stesso dipende da servizi essenziali di altri settori, anche in Stati membri vicini. È un riconoscimento giuridico di una realtà evidente. Una rete elettrica dipende dalle telecomunicazioni e dai sistemi digitali. Le telecomunicazioni dipendono dall’energia. I trasporti dipendono da energia, comunicazioni e sistemi informativi. Gli ospedali dipendono, insieme, da elettricità, acqua, telecomunicazioni, approvvigionamenti e trasporti. Un guasto locale può propagarsi in fretta ad altri sistemi. Una precisazione di metodo. La norma non parla di dipendenze di “secondo e terzo livello”. Per rispondere seriamente a quella richiesta, però, fermarsi al primo livello raramente basta. È una conclusione di buona pratica, non un obbligo di legge.

Dal piano di emergenza al piano di resilienza

Il decreto impone ai soggetti critici di adottare misure tecniche, di sicurezza e organizzative adeguate e proporzionate. Le misure riguardano la prevenzione degli incidenti, la protezione fisica, la risposta e la mitigazione (compresa la gestione delle crisi), il ripristino, la continuità operativa e l’individuazione di catene di approvvigionamento alternative per riprendere il servizio essenziale. Il soggetto critico deve predisporre un piano di resilienza che descriva le misure adottate e aggiornarlo quando necessario e, in ogni caso, almeno ogni tre anni. Non è obbligatorio scrivere un nuovo documento separato: la direttiva parla di piano o “documento equivalente”, quindi si possono usare piani di crisi, di sicurezza, di ripristino o altri documenti, purché soddisfino i requisiti. È un approccio pragmatico. La resilienza non nasce da una proliferazione di piani, ma dalla capacità di integrare quelli esistenti e di valutarne l’efficacia nel loro insieme.

La resilienza riguarda anche le persone

Le misure devono considerare il personale, le funzioni critiche, i soggetti esterni che svolgono attività rilevanti, i criteri di accesso, i controlli sui precedenti personali per i ruoli sensibili, la formazione e la sensibilizzazione. È un segnale ulteriore: la resilienza è ormai una capacità organizzativa a tutto tondo. Un’infrastruttura può essere tecnicamente intatta e non riuscire a fornire il servizio se manca il personale, se i ruoli in crisi non sono chiari, se le competenze cruciali sono concentrate in poche persone o se chi deve intervenire non è formato. Persone, processi, tecnologia, sedi e fornitori sono componenti di un unico sistema.

CER e NIS2: il confine tra fisico e digitale si assottiglia

La direttiva CER è stata sviluppata in parallelo alla NIS2, dedicata alla sicurezza informatica, e questa scelta riflette un’altra trasformazione: le infrastrutture critiche diventano sempre più cyber-fisiche. Una centrale elettrica, una rete idrica, un porto o una rete ferroviaria dipendono tanto da sistemi digitali quanto da componenti fisici. Un attacco informatico può avere conseguenze operative e fisiche, mentre un incendio, un’alluvione o un’interruzione di corrente possono compromettere i sistemi informatici e di telecomunicazione. In Italia la NIS2 è stata recepita dal D.Lgs. 138/2024 e la CER dal D.Lgs. 134/2024, adottati lo stesso giorno. Hanno obiettivi diversi, ma si integrano: i soggetti individuati come critici ai sensi della CER sono considerati soggetti essenziali anche ai fini della NIS2. Dal punto di vista operativo, la distinzione normativa non deve portare a una separazione organizzativa. In una crisi la causa può essere informatica o fisica, ma la domanda resta la stessa: quali servizi sono interessati, quali dipendenze sono coinvolte e quali capacità vanno mobilitate per mantenere le funzioni essenziali?

Banche e infrastrutture finanziarie: DORA al posto della CER

Per il settore bancario il quadro è diverso, e vale la pena dirlo con precisione. L’art. 8 della CER stabilisce che, per i soggetti critici dei settori bancario, delle infrastrutture dei mercati finanziari e delle infrastrutture digitali, non si applichino l’art. 11 e i capi III, IV e VI della direttiva. In pratica non valgono gli obblighi di resilienza del capo III (valutazione del rischio, misure, piano, notifica degli incidenti) né la vigilanza del capo VI. Il D.Lgs. 134/2024 recepisce questa esclusione. Una banca può quindi essere individuata come soggetto critico, ma gli obblighi operativi derivano dalla disciplina settoriale. Per banche e altre entità finanziarie è DORA, il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025. DORA stesso afferma che la resilienza fisica delle entità finanziarie è trattata in modo complessivo dagli obblighi di gestione e segnalazione del rischio ICT. Per le infrastrutture digitali vale invece la NIS2. DORA è inoltre un atto settoriale dell’Unione ai fini dell’art. 4 della NIS2, e prevale sulla NIS2 per gestione del rischio ICT, gestione e segnalazione degli incidenti, test di resilienza digitale, condivisione delle informazioni e rischio dei fornitori ICT. L’obiettivo è evitare duplicazioni. Per una banca il tema delle infrastrutture critiche va quindi letto attraverso DORA e la disciplina prudenziale sulla continuità operativa, con particolare attenzione alle dipendenze da telecomunicazioni, infrastrutture tecnologiche, cloud provider e altri fornitori ICT critici. L’analisi delle interdipendenze, che la CER richiede ai soggetti critici, resta comunque un buon metodo anche dove non è un obbligo CER.

La Strategia nazionale per la resilienza dei soggetti critici

La Presidenza del Consiglio ha adottato nell’aprile 2026 la Strategia nazionale per la resilienza dei soggetti critici, prevista dall’art. 6 del D.Lgs. 134/2024. Il documento è stato pubblicato l’11 giugno 2026, quasi undici mesi dopo il termine del 17 luglio 2025 fissato dalla norma. Secondo i commenti legali, la Strategia non introduce obblighi ulteriori rispetto al decreto, ma indica l’approccio che le autorità si aspettano. La resilienza va affrontata in logica “all hazards”, considerando insieme rischi naturali, tecnologici, antropici, ibridi e cyber, con un miglioramento continuo e non un semplice adempimento formale. Il documento richiama inoltre la necessità di conoscere meglio le interdipendenze tra servizi essenziali e le vulnerabilità della catena di approvvigionamento, e ricorda che un evento su un solo operatore può produrre effetti a cascata su altri settori. È prevedibile che questi principi diventino un riferimento anche per la vigilanza delle autorità competenti, ma è una previsione, non una regola.

A che punto siamo: il calendario

Il 17 luglio 2026 era la scadenza europea, e italiana, per arrivare all’elenco dei soggetti critici. Il percorso previsto dal D.Lgs. 134/2024 è il seguente.

• 17 gennaio 2026: le autorità settoriali competenti individuano i soggetti critici dei rispettivi settori.
• 17 luglio 2026: scade il termine per adottare l’elenco, con DPCM. Il decreto stabilisce che il DPCM non è soggetto a pubblicazione ed è escluso dall’accesso: i soggetti inclusi lo apprendono dalla notifica.
• Entro 30 giorni dall’adozione: notifica ai soggetti individuati.
• Notifica + 9 mesi: valutazione del rischio del soggetto critico.
• Notifica + 10 mesi: applicazione degli obblighi di resilienza. Per i soggetti notificati tra luglio e agosto 2026, significa la primavera 2027.

Tra gli obblighi c’è la notifica degli incidenti significativi: un avviso iniziale entro 24 ore da quando il soggetto ne ha conoscenza e una relazione dettagliata entro un mese. Il decreto prevede un sistema sanzionatorio per le violazioni.

Gli orientamenti della Commissione del luglio 2026

Il 10 luglio 2026 la Commissione europea ha adottato una Comunicazione con orientamenti non vincolanti sulle misure di resilienza (C/2026/3712, pubblicati in Gazzetta ufficiale UE il 13 luglio). Precisano le misure tecniche, di sicurezza e organizzative che i soggetti critici possono adottare ai sensi dell’art. 13, e invitano a tenere conto delle norme internazionali ed europee pertinenti. Vanno letti come riferimento di buona pratica, non come obblighi. Confermano l’impostazione “all hazards”, cioè rischi naturali e antropici, accidentali o intenzionali. Il messaggio coincide con quello dell’intero quadro: non un piano per ogni evento possibile, ma una resilienza abbastanza solida da funzionare anche quando lo scenario reale non corrisponde a quello previsto.

Dalla protezione delle infrastrutture alla resilienza del servizio

Il cambiamento introdotto dal quadro europeo va oltre una revisione normativa. Prima la domanda era come proteggere un’infrastruttura. Oggi l’attenzione si sposta sul servizio essenziale che da essa dipende, sulle interdipendenze con altre parti e sulla capacità dell’organizzazione di mantenere le proprie funzioni quando una parte del sistema è colpita. Il tema delle infrastrutture critiche non appartiene più solo alla sicurezza fisica: riguarda la gestione delle crisi, la resilienza della catena di approvvigionamento, quella informatica e quella operativa. Il principio che ne esce è diventato centrale nella gestione dei rischi: un’infrastruttura non è critica solo per ciò che è, ma soprattutto per le conseguenze che provoca quando cessa di essere disponibile.

Domande per i Resilience Manager

• La nostra organizzazione è, o potrebbe essere, un soggetto critico? E se non lo è, forniamo servizi a chi lo è?
• Il piano di crisi, di sicurezza e di ripristino che abbiamo copre le misure previste dalla direttiva (art. 13), o va integrato in un unico piano di resilienza?
• La nostra valutazione del rischio considera da quali servizi di altri settori dipendiamo, e quali settori dipendono da noi?
• Siamo in grado di notificare un incidente significativo entro 24 ore?
• Per le banche: i nostri scenari di dipendenza da energia, telecomunicazioni e cloud sono coperti dall’analisi dei rischi ICT e dai test DORA?