Questo è il secondo articolo dell’eptalogia dedicata alla Direttiva CER e al d.lgs. 134/2024. Dopo aver costruito, nel primo capitolo, la cornice concettuale della normativa – servizi essenziali, soggetti critici, resilienza, ambito di applicazione – questo articolo analizza la governance. Questo articolo spiega chi fa cosa, perché, e come questa architettura cambierà il modo in cui l’Italia gestisce la resilienza dei suoi servizi vitali.
La resilienza diventa materia di governo: un cambio politico prima che tecnico
Il d.lgs. 134/2024 non è solo un testo normativo, è anche un atto politico.
Per la prima volta, la resilienza dei servizi essenziali viene collocata al centro dell’azione di governo e non come tema settoriale ma come funzione strategica dello Stato.
Il decreto lo afferma in modo chiaro: «Al Presidente del Consiglio dei ministri sono attribuite in via esclusiva l’alta direzione e la responsabilità generale delle politiche per la resilienza dei soggetti critici»
È un passaggio molto rilevante: la resilienza è diventata una politica pubblica di livello primario, al pari della sicurezza nazionale, della difesa e della protezione civile.
Il Presidente del Consiglio: il vertice della piramide
La Direttiva CER lascia agli Stati la libertà di organizzare la governance interna.
L’Italia ha scelto la via più forte: accentrare tutto a Palazzo Chigi.
Questo in concreto comporta che il Presidente del Consiglio:
- definisce la strategia nazionale per la resilienza;
- impartisce direttive alle amministrazioni;
- coordina le politiche interministeriali;
- può delegare l’attuazione, ma non la responsabilità;
- è il punto di riferimento politico per l’UE.
È un modello “presidenziale” della resilienza, pensato per garantire:
- rapidità decisionale;
- coerenza strategica;
- coordinamento tra settori interdipendenti.
In un mondo in cui un blackout elettrico può bloccare ospedali, trasporti, comunicazioni e finanza, la resilienza non può essere frammentata.
Il CIR: la cabina di regia interministeriale
Nel sistema delineato dal decreto CER, il Comitato interministeriale per la resilienza (CIR) è il luogo in cui la resilienza diventa una politica pubblica coordinata. Qui si compone la visione unitaria dello Stato: il decreto gli affida il compito di proporre gli indirizzi generali per le politiche di resilienza e di esercitare l’alta sorveglianza sull’attuazione della strategia nazionale.
La sua composizione riflette questa alta missione. Attorno al tavolo siedono i ministri che governano le leve fondamentali del Paese: dagli Affari esteri all’Interno, dalla Giustizia alla Difesa, dall’Economia alle Imprese e al Made in Italy, dall’Agricoltura all’Ambiente e all’Energia, dalle Infrastrutture e Trasporti alla Salute, fino alla Protezione civile.
A questi si affiancano l’Autorità delegata per la sicurezza nazionale e quella per lo spazio.
È, di fatto, un Consiglio dei ministri della resilienza, un luogo in cui le politiche settoriali vengono riallineate a una logica di interdipendenza.
Ed è proprio l’interdipendenza a rendere necessario un organismo di questo livello.
La resilienza non è mai un fatto isolato: l’energia dipende dal gas, il gas dai porti, i porti dai trasporti, i trasporti dal digitale, il digitale dall’energia.
Ogni settore è legato al successivo in una catena che non può essere governata da un singolo ministero.
Il CIR nasce per questo: per garantire che lo Stato guardi al sistema nel suo insieme, e non come a una somma di compartimenti stagni.
Le ASC: il braccio operativo nei settori
Se il CIR rappresenta la cabina di regia strategica, le Autorità Settoriali Competenti (ASC) sono il braccio operativo che porta la resilienza dentro i settori, nelle filiere, negli impianti, nei processi quotidiani degli operatori. Sono loro che traducono il decreto in azione concreta:
- applicano le disposizioni nei rispettivi ambiti;
- vigilano sui soggetti critici;
- conducono ispezioni;
- verificano le misure di resilienza;
- ricevono le notifiche degli incidenti;
- mantengono il raccordo costante con il Punto di Contatto Unico e con le istituzioni europee.
Ogni settore ha la sua ASC, perché ogni settore ha una propria grammatica del rischio. L’energia è affidata al Ministero dell’Ambiente e della Sicurezza Energetica; i trasporti al Ministero delle Infrastrutture e dei Trasporti; il mondo bancario e finanziario al Ministero dell’Economia insieme alla Banca d’Italia e alla Consob; la salute al Ministero della Salute e all’AIFA; l’acqua e le acque reflue ancora al MASE; le infrastrutture digitali all’Agenzia per la Cybersicurezza Nazionale in collaborazione con il MIMIT; lo spazio alla Presidenza del Consiglio; l’agroalimentare al MASAF; gli enti della pubblica amministrazione alla stessa Presidenza del Consiglio.
È una mappa complessa, ma necessaria: ogni settore ha un’autorità che ne conosce linguaggi, vulnerabilità, interdipendenze.
Ed è proprio qui che risiede la loro centralità.
La resilienza non è un concetto uniforme: un ospedale non affronta gli stessi rischi di un data center, un porto non ha le stesse vulnerabilità di una diga, una banca non dipende dalle stesse catene critiche di un operatore ferroviario.
Le ASC servono a prendere la strategia nazionale e a trasformarla in azioni settoriali concrete, calibrate, proporzionate, aderenti alla realtà operativa di ciascun ambito.
Sono il punto in cui la visione del Paese incontra la complessità dei sistemi che lo fanno funzionare.
Il PCU: il centro nevralgico della cooperazione europea
Nel cuore della nuova architettura CER c’è un attore che non esisteva prima: il Punto di Contatto Unico (PCU). È l’organo che più di ogni altro segna il salto di scala del sistema perché porta la resilienza fuori dai confini nazionali e la colloca dentro una rete europea di scambio, coordinamento e allerta. Il decreto CER gli attribuisce funzioni decisive: il PCU è il canale ufficiale attraverso cui l’Italia:
- dialoga con la Commissione europea;
- coordina le attività con gli altri Stati membri;
- riceve le notifiche degli incidenti fisici;
- supporta le Autorità Settoriali Competenti nell’attuazione degli obblighi.
Il suo lavoro è continuo e multilivello. Da un lato mantiene il raccordo con Bruxelles, elabora il rapporto biennale sullo stato della resilienza nazionale e partecipa ai flussi informativi europei; dall’altro coordina con ACN, Protezione Civile, Interno, Difesa e intelligence, perché un incidente fisico o ibrido non è mai confinato a un solo settore.
È un nodo di rete, un centro di gravità istituzionale che tiene insieme politica, tecnica e cooperazione internazionale.
La sua centralità nasce da un dato di realtà: la resilienza non è più un affare domestico: un incidente in un porto italiano può bloccare merci in Germania; un blackout in Francia può ripercuotersi sulla rete elettrica italiana; un sabotaggio a un cavo sottomarino può isolare più Stati contemporaneamente. Il PCU è, in questo senso, l’antenna italiana nel sistema europeo della resilienza, il punto in cui il Paese ascolta, comunica e reagisce insieme agli altri.
Questo ruolo è stato attribuito dal DPCM 2 aprile 2025 al Consigliere Militare del Presidente del Consiglio con il supporto dell’Ufficio infrastrutture critiche.
Gli attori “ombra”: ACN, Protezione Civile, Interno, Difesa
Accanto agli attori principali, il decreto riconosce un ruolo essenziale a una serie di istituzioni che non compaiono al centro della governance ma che ne costituiscono l’infrastruttura invisibile. Sono gli attori “ombra”, quelli che intervengono quando la resilienza diventa gestione della crisi.
L’Agenzia per la Cybersicurezza Nazionale è il presidio sulle minacce ibride: si coordina con PCU e ASC quando un incidente cyber ha effetti fisici, quando un’infrastruttura digitale diventa il punto di vulnerabilità di un’intera filiera e quando le interdipendenze tecnologiche amplificano un evento locale.
Il Dipartimento della Protezione Civile entra in campo quando la minaccia è naturale: alluvioni, terremoti, incendi, emergenze climatiche.
Il Ministero dell’Interno e il Ministero della Difesa presidiano l’ordine pubblico, la sicurezza fisica, le minacce ostili, i sabotaggi.
Il decreto non li mette al centro perché non sono organi di governance: sono organi di capacità che intervengono quando la resilienza deve diventare azione.
La loro presenza dimostra che la resilienza non è una filiera lineare ma un ecosistema complesso in cui ogni attore porta un pezzo di conoscenza, di potere, di risposta.
Una governance pensata per le crisi del XXI secolo
La nuova architettura CER nasce da un’esigenza precisa: governare crisi che sono
molto diverse da quelle del passato. Le minacce sono più veloci, più interconnesse, più difficili da contenere.
Per questo motivo, il sistema è costruito su tre pilastri.
Il primo è la velocità: le crisi moderne non aspettano, e la governance deve essere in grado di prendere decisioni rapide, coordinate, informate.
Il secondo è il coordinamento: nessun settore è isolato e la resilienza richiede una regia unica che tenga insieme energia, trasporti, digitale, finanza, salute, ambiente.
Il terzo è la visione strategica: la resilienza non è una politica pubblica che riguarda la sicurezza nazionale, la continuità economica, la stabilità sociale.
Il decreto CER costruisce, così, un sistema che non si limita a reagire ma anticipa, prevede e integra. È una governance pensata per le crisi del XXI secolo non per quelle del passato.
Cosa cambia per gli operatori
Per gli operatori – sia pubblici che privati – la normativa CER rappresenta un cambio di paradigma. Non basta più garantire la continuità del proprio servizio ma occorre inserirsi in un sistema istituzionale più ampio, comprendere i flussi informativi, dialogare con gli attori della governance.
Ogni operatore dovrà interfacciarsi con la propria ASC per gli obblighi settoriali, con il PCU per le notifiche e i flussi europei e, indirettamente, con il CIR che definisce gli indirizzi strategici.
Per la componente digitale entrerà in gioco l’ACN; per la gestione delle emergenze fisiche, la Protezione Civile.
La resilienza è un processo condiviso, multilivello, che richiede consapevolezza istituzionale.
In altre parole, non è più sufficiente “fare bene il proprio mestiere”: bisogna capire come funziona la macchina dello Stato e come il proprio ruolo si inserisce nella sicurezza complessiva del Paese.
Conclusioni
Questo secondo articolo dell’eptalogia ha mostrato la nuova architettura istituzionale della resilienza italiana: una governance accentrata, coordinata, multilivello, pensata per affrontare crisi complesse e interdipendenti.
Nel terzo articolo, analizzeremo il processo che decide chi entra nel perimetro CER: come lo Stato valuta il rischio, identifica i servizi essenziali e designa i soggetti critici.
