Cosa stabilisce il comma 4 dell’art. 13 del decreto CER
La disposizione dell’art. 13, comma 4 del D.Lgs. 134/2024 (decreto CER) è chiara e semplice: i soggetti critici possono adempiere agli obblighi di valutazione del rischio “utilizzando documenti già predisposti ai sensi di disposizioni giuridiche pertinenti, diverse da quelle di cui al presente decreto”.
La condizione è una sola, ma decisiva: quei documenti devono tenere conto:
- dei rischi naturali e antropici potenzialmente causa di incidenti, incluse minacce intersettoriali o transfrontaliere, catastrofi, emergenze sanitarie, minacce ibride e altre minacce antagoniste, compresi i reati di terrorismo;
- delle reciproche dipendenze tra settori essenziali e servizi forniti o ricevuti, anche in altri Stati membri o Paesi terzi.
La ratio è evidente e condivisibile: evitare che i soggetti critici, già gravati da una stratificazione di obblighi normativi, producano l’ennesimo documento fotocopia.
Tuttavia, per come la vedo io, la portata della norma va oltre la semplificazione amministrativa: il legislatore ha riconosciuto che la resilienza si costruisce sul patrimonio documentale che l’organizzazione ha già prodotto in forza di altre discipline e il patrimonio più ricco, per la maggior parte dei soggetti critici, è proprio quello data protection.
L’inventario: cosa può essere riusato
Proviamo a fare l’inventario dei documenti predisposti in ambito GDPR che possono candidarsi al riuso ex comma 4, art. 13 del decreto CER:
- le valutazioni d’impatto ex art. 35 del GDPR: mappano trattamenti, minacce, vulnerabilità e misure, spesso proprio sui sistemi che sorreggono il servizio essenziale;
- il registro dei trattamenti ex art. 30: è, di fatto, una mappa dei flussi di dati, dei fornitori e dei responsabili esterni – ossia una radiografia delle dipendenze da terzi che la lettera b) del comma 3 impone di analizzare;
- le valutazioni sui trasferimenti extra-UE (le transfer impact assessment nate dalla giurisprudenza Schrems II): documentano le dipendenze da fornitori situati in Paesi terzi, che il comma 3, lettera b), richiama espressamente;
- le procedure di gestione dei data breach ex artt. 33 e 34: descrivono la capacità dell’organizzazione di rilevare, classificare e gestire un incidente;
- le analisi dei rischi ex art. 32 sulla sicurezza dei trattamenti, con le relative misure tecniche e organizzative.
Messi in fila, questi documenti coprono una porzione sorprendentemente ampia di ciò che l’art. 13 del decreto CER richiede.
Il registro dei trattamenti, in particolare, è certamente documento aziendale che censisce sistematicamente le dipendenze da soggetti terzi, inclusi quelli stabiliti all’estero: esattamente l’analisi che molti soggetti critici, partendo da zero, faticherebbero mesi a ricostruire.
Accanto al registro vanno considerati i contratti ex art. 28 del GDPR con i responsabili del trattamento.
Laddove impongono obblighi di sicurezza, audit e notifica tempestiva degli incidenti, quei contratti documentano non solo la dipendenza dal fornitore, ma anche il grado di controllo che l’organizzazione esercita su di essa – un’informazione che la lettera b) del comma 3, letta con attenzione, presuppone.
Il limite: riuso non è riciclo
Sarebbe però un errore – e temo che sarà l’errore più diffuso – interpretare il comma 4 dell’art. 13 del decreto CER come un permesso di allegare la documentazione privacy alla valutazione CER e considerare chiuso l’adempimento.
La condizione posta dalla norma lo impedisce, e la ragione è concettuale prima che giuridica: le due discipline guardano lo stesso oggetto da prospettive diverse.
Il GDPR protegge i diritti e le libertà delle persone fisiche mentre il decreto CER è volto a rafforzare la resilienza e a garantire la continuità del servizio essenziale.
Una DPIA eccellente può dire tanto sul rischio per gli interessati e nulla sul rischio di perturbazione della fornitura.
Quasi nessuna DPIA, oggi, nomina le minacce ibride.
Il riuso richiede quindi un lavoro di rilettura e integrazione che consiste nel:
- prendere il documento data protection;
- chiedersi che cosa dice – e che cosa non dice – rispetto ai rischi del comma 3, lettera a), e alle dipendenze della lettera b);
- colmare esplicitamente gli scarti.
È in questa rilettura che lo scenario della cascata sanzionatoria, di cui ho scritto nel secondo articolo, trova la sua collocazione naturale: le procedure di gestione del data breach, rilette in chiave CER, non descrivono solo un adempimento GDPR ma una misura di contenimento di un rischio che può perturbare il servizio.
Il comma 5 dell’art. 13 del decreto CER: chi decide se il ponte regge
Il legislatore ha previsto anche il collaudo del ponte.
Il comma 5 dell’art. 13 del decreto CER stabilisce che, nell’esercizio delle funzioni di vigilanza di cui all’art. 20, le autorità settoriali competenti (ASC) “dichiarano se con i documenti già adottati” i soggetti critici hanno adempiuto, in tutto o in parte, agli obblighi di valutazione.
La parola “dichiarano” merita attenzione: non è un silenzio-assenso né una autocertificazione del soggetto critico.
È un vaglio esterno, condotto da un’autorità pubblica, sul quale si gioca la validità dell’intero impianto documentale.
La conseguenza operativa, a mio giudizio, è una sola: il riuso va preparato pensando al vaglio delle ASC.
Lo strumento che suggerisco è una matrice di copertura: una tabella che, per ciascun requisito dell’art. 13 – ogni categoria di rischio della lettera a) e ogni dimensione di dipendenza della lettera b) – indichi quale documento la copre, in quali paragrafi, con quali integrazioni e con quali scoperture residue.
Un artefatto semplice, che trasforma un fascicolo eterogeneo in un dossier leggibile da un’autorità di vigilanza e che, in caso di ispezione, vale più di cento pagine di premesse.
Chi costruisce il ponte: ruoli e metodo
Il lavoro di rilettura che ho descritto dovrebbe essere condiviso, perché:
- la funzione resilienza conosce il servizio essenziale e i suoi punti di rottura;
- il Privacy Lead conosce i documenti, la loro storia e i loro limiti;
- il DPO – in funzione consultiva, per le ragioni che ho approfondito altrove in questa serie – può esprimere un parere sulla coerenza dell’operazione, con un beneficio ulteriore: il suo coinvolgimento documentato rafforza, anche agli occhi delle autorità, la serietà del processo.
Un’avvertenza di metodo: il riuso ex comma 4 crea un vincolo di manutenzione.
Se la valutazione CER poggia sul registro dei trattamenti e sulle DPIA, ogni aggiornamento sostanziale di quei documenti deve propagarsi alla valutazione, e viceversa.
Il ponte, una volta costruito, va tenuto in esercizio: un documento data protection invecchiato diventa silenziosamente un difetto di compliance CER.
Conclusioni. Una norma che premia chi ha fatto i compiti
Nella mia prospettiva, il comma 4 dell’art. 13 del decreto CER è una norma che premia la maturità: chi in questi anni ha investito in una compliance al GDPR sostanziale si trova oggi con un patrimonio documentale spendibile su un secondo tavolo, quello della resilienza nazionale.
Chi, invece, ha trattato il GDPR come un adempimento formale scoprirà che i suoi documenti non superano la rilettura, né tantomeno il vaglio delle autorità settoriali competenti.
C’è, in questo, una lezione che va oltre la tecnica normativa: la resilienza di un soggetto critico non si misura solo dalla robustezza dei suoi sistemi, ma anche dalla qualità e dalla coerenza della sua documentazione.
In un contesto di minacce ibride, dove – come ho sostenuto fin dal primo articolo di questa serie – il campo di battaglia è la fiducia, un dossier documentale solido è sia uno scudo verso le autorità sia un argine verso l’aggressore.
