La funzione di questo articolo nell’eptalogia
Questo è il terzo articolo dell’eptalogia dedicata alla Direttiva CER e al d.lgs. 134/2024.
Dopo aver definito il quadro generale (nel primo articolo) e la governance nazionale (nel secondo articolo), questo capitolo affronta il passaggio più delicato e strategico dell’intera normativa: Come lo Stato decide quali operatori diventano “soggetti critici”.
È il baricentro del sistema CER. Perché tutto – obblighi, vigilanza, notifiche, misure di resilienza – si applica solo ai soggetti designati.
In questo articolo spieghiamo:
- come lo Stato identifica i servizi essenziali e come valuta minacce, vulnerabilità e impatti;
- cosa significa “effetti negativi rilevanti”;
- come funziona la procedura di individuazione dei soggetti critici;
- quali settori e sottosettori rientrano nell’Allegato A del Decreto CER;
- quali criteri quantitativi e qualitativi guidano la selezione;
- cosa devono aspettarsi gli operatori nei prossimi mesi.
È un articolo fondamentale per chi vuole capire se e quando sarà designato.
La domanda che tutti si pongono: “Diventeremo soggetti critici?”
Da quando il d.lgs. 134/2024 è entrato in vigore, questa è la domanda che attraversa aziende, enti pubblici, utility, gestori di infrastrutture, ospedali, operatori digitali, banche e trasporti.
È una domanda semplice nella forma ma complessa nella sostanza.
La risposta, infatti, non dipende da autocandidature, autocertificazioni o valutazioni soggettive ma dipende esclusivamente dalla valutazione del rischio che lo Stato sta conducendo.
La Direttiva CER è inequivocabile: non esiste discrezionalità da parte degli operatori e non esiste un “bollino” da richiedere nè percorso volontario.
È lo Stato che designa, sulla base di criteri oggettivi e dell’impatto sistemico dei servizi erogati.
In altre parole: non si diventa soggetti critici perché lo si vuole ma perché lo si è per funzione, per ruolo e per rilevanza strategica nel funzionamento del Paese.
Il punto di partenza: i servizi essenziali
Prima ancora di individuare chi siano i soggetti critici, lo Stato deve rispondere a una domanda preliminare e decisiva: quali sono i servizi essenziali da cui dipende la vita del Paese? Il decreto li definisce come «servizi fondamentali per il mantenimento di funzioni vitali della società, di attività economiche, della salute e della sicurezza pubbliche o dell’ambiente». Una definizione ampia ma tutt’altro che generica: è una lente che obbliga lo Stato a interrogarsi su quali attività, se interrotte anche solo per poche ore, produrrebbero un danno grave e immediato alla collettività.
Questo postula la necessità di chiedersi quali settori sostengono la vita quotidiana del Paese, quali infrastrutture non possono fermarsi senza mettere a rischio sicurezza, economia, salute, ambiente, e quali interdipendenze rendono vulnerabile l’intero sistema.
Questa analisi converge nell’Allegato A del decreto CER, che individua dodici settori che rappresentano i pilastri della società moderna: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, salute, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio, produzione e distribuzione alimentare, acque irrigue.
Sono i domini senza i quali il Paese semplicemente non funziona: la spina dorsale invisibile che sostiene ogni attività civile, economica e istituzionale.
La valutazione del rischio dello Stato: il “cervello” del sistema CER
Al centro dell’architettura CER c’è un meccanismo fondamentale: la valutazione nazionale del rischio. L’articolo 7 affida allo Stato un compito complesso, quasi chirurgico, che richiede di:
- analizzare minacce naturali, accidentali e intenzionali;
- individuare vulnerabilità fisiche, organizzative e territoriali;
- comprendere le interdipendenze tra settori;
- stimare gli impatti potenziali di un’interruzione.
È un processo che costruisce una mappa dinamica di ciò che può mettere in crisi la continuità dei servizi essenziali. Il decreto lo definisce come «l’intero processo per la determinazione della natura e della portata di un rischio», un lavoro che permette allo Stato di capire non solo cosa può accadere ma cosa significherebbe per il Paese.
In questo modo la resilienza diventa la capacità concreta di continuare a funzionare anche quando qualcosa non funziona come dovrebbe.
Per individuare chi è davvero critico, lo Stato deve prima capire dove si annidano le fragilità del sistema.
Il criterio chiave: gli “effetti negativi rilevanti”
La Direttiva CER introduce un principio che cambia la prospettiva: un soggetto è critico non “per ciò che è”, ma per “ciò che accadrebbe se si fermasse”. La soglia è quella degli “effetti negativi rilevanti”, un concetto che abbraccia impatti sulla vita e sulla salute delle persone, sull’economia, sulla sicurezza pubblica, sull’ambiente, sulle relazioni transfrontaliere e sulle interdipendenze tra settori.
È una logica di sistema. Così, ad esempio:
- un TSO (Transmission System Operator) elettrico – un gestore che trasporta l’energia dai produttori ai distributori locali – che si interrompe, può generare un blackout nazionale;
- un grande ospedale che si ferma, mette a rischio vite umane;
- un porto strategico bloccato paralizza la logistica;
- un data center nazionale compromesso interrompe la continuità istituzionale;
- un acquedotto metropolitano fuori uso crea un’emergenza sanitaria.
Quindi, non conta la dimensione dell’operatore ma l’impatto della sua interruzione.
Questo è il super-criterio CER.
Come lo Stato individua i soggetti critici: la procedura
L’Articolo 8 del decreto CER stabilisce un processo rigoroso e scandito nel tempo.
- Entro il 17 gennaio 2026, le Autorità Settoriali Competenti (ASC) devono aver individuato, per ciascun settore dell’Allegato A del decreto, gli operatori che soddisfano tutti i criteri di criticità: erogazione di uno o più servizi essenziali;
- presenza dell’infrastruttura sul territorio nazionale;
- effetti negativi rilevanti in caso di incidente.
Le ASC devono trasmettere le loro valutazioni al Punto di Contatto Unico (PCU), che coordina il processo, armonizza i criteri applicati e forma l’elenco nazionale dei soggetti critici.
Questo elenco sarà poi adottato con decreto del Presidente del Consiglio dei Ministri entro il 17 luglio 2026, non pubblicato e sottratto all’accesso.
Ai sensi dell’art. 8, comma 5 del decreto CER, nei trenta giorni successivi, il PCU notifica ai soggetti compresi nell’elenco che sono stati individuati come soggetti critici. Con la notifica, il PCU comunica ai soggetti designati gli obblighi previsti dal Decreto CER, specificando che essi diventeranno applicabili trascorsi dieci mesi dalla data della notifica stessa, salvo le eccezioni previste per la valutazione del rischio – che va eseguita entro nove mesi – e per le organizzazioni riconosciute “soggetti critici di particolare rilevanza europea”, alle quali si applica una specifica disciplina che sarà esaminata nel sesto articolo dell’eptalogia.
Nella medesima comunicazione, il PCU informa inoltre i soggetti critici appartenenti ai settori bancario, delle infrastrutture dei mercati finanziari e delle infrastrutture digitali che, ai sensi dell’articolo 10, non sono tenuti agli obblighi di cooperazione con gli Stati membri dell’Unione Europea né agli obblighi stabiliti ai capi III e IV del decreto (valutazione del rischio, misure di resilienza, notifica degli incidenti etc).
La notifica del PCU indica infine l’Autorità Settoriale Competente di riferimento.
Cosa devono aspettarsi gli operatori nei prossimi mesi
La macchina amministrativa è già in movimento.
Gli operatori devono attendersi richieste di informazioni dalle Autorità Settoriali Competenti, (ASC), richieste di dati tecnici e organizzativi, questionari sulla continuità operativa, incontri conoscitivi, analisi delle interdipendenze e valutazioni territoriali.
I primi settori a essere designati saranno probabilmente quelli più interdipendenti e più esposti: energia, acqua, trasporti, infrastrutture digitali, sanità, alimentare e finanza.
Sono i settori che, se colpiti, generano effetti a cascata.
Cosa devono fare gli operatori prima della designazione
Anche se non sono ancora soggetti critici, gli operatori lungimiranti si stanno già muovendo.
Stanno:
- mappando i propri servizi essenziali;
- analizzando rischi fisici e organizzativi;
- valutando la solidità della supply chain;
- aggiornando i piani di continuità, integrando i requisiti CER con quelli di NIS2 e DORA;
- predisponendo una governance interna adeguata.
Fanno questo perchè quando arriverà la designazione, il tempo per adeguarsi sarà limitato.
Chi si prepara ora avrà un vantaggio competitivo e istituzionale.
Perché questo processo è rivoluzionario
La normativa CER rappresenta una svolta per tre motivi fondamentali.
Primo motivo: lo Stato torna a fare strategia: non si limita a controllare ma decide, pianifica e coordina.
Secondo motivo: la resilienza diventa un bene pubblico; non più un costo privato ma un dovere verso la collettività.
Terzo motivo: la criticità non è un’etichetta, è una responsabilità. Essere soggetto critico significa essere essenziale, vulnerabile e responsabile della continuità di un servizio che sostiene la vita del Paese.
Conclusioni
Questo terzo articolo dell’eptalogia ha mostrato come lo Stato valuta il rischio e decide chi entra nel perimetro CER: è il passaggio più strategico dell’intera normativa, perché da esso dipende tutto ciò che accadrà dopo.
Nel prossimo articolo entreremo finalmente nel cuore operativo del sistema: gli obblighi dei soggetti critici: valutazione del rischio, misure di resilienza, personale, supply chain, notifiche.
