La funzione di questo articolo nell’eptalogia
Questo quarto capitolo segna il passaggio decisivo dell’intera eptalogia.
Dopo aver chiarito che cosa sia la normativa (nel primo articolo), chi la governa (secondo articolo) e come lo Stato individui i soggetti critici (terzo articolo), entriamo finalmente nel cuore operativo del sistema CER: gli obblighi concreti che scattano nel momento in cui un’organizzazione viene designata come soggetto critico.
È il capitolo più atteso da aziende, enti pubblici, utility, gestori di infrastrutture, ospedali, operatori digitali, trasporti e finanza.
Qui spieghiamo cosa devono fare, come devono farlo e quali errori devono evitare.
Il momento della verità: cosa accade quando si diventa “soggetto critico”
La designazione come soggetto critico non è un riconoscimento né un’etichetta da esibire ma è l’inizio di un percorso impegnativo che richiede governance, processi, investimenti, cultura organizzativa e capacità di coordinamento con lo Stato.
Il decreto è inequivocabile: una volta designati, i soggetti critici devono raggiungere un livello elevato di resilienza. Non un livello “adeguato” né un livello “ragionevole” ma elevato.
È il momento in cui l’organizzazione deve dimostrare di essere all’altezza del ruolo che ricopre nel funzionamento del Paese.
Il primo obbligo: la valutazione del rischio (art. 13)
La valutazione del rischio rappresenta il fulcro dell’intero impianto CER perchè è il primo obbligo che scatta dopo la designazione ed è il fondamento su cui poggeranno tutte le misure di resilienza successive.
Il decreto è chiarissimo: entro nove mesi dalla notifica di designazione – e poi almeno ogni quattro anni – il soggetto critico deve condurre una valutazione completa di tutti i rischi che potrebbero perturbare la fornitura dei suoi servizi essenziali.
Non si tratta di un esercizio formale né di un documento da produrre per adempiere a un obbligo ma è un processo strutturato, continuo e strategico che deve guidare le decisioni operative e di governance.
La valutazione deve partire dall’identificazione delle infrastrutture critiche dell’organizzazione, così come definite dall’art. 2, e deve basarsi sulla valutazione nazionale del rischio elaborata dallo Stato, integrandola con tutte le altre informazioni rilevanti disponibili.
Da qui discende l’obbligo di analizzare l’intero spettro dei rischi: quelli naturali e quelli di origine umana, includendo esplicitamente rischi intersettoriali e transfrontalieri, incidenti, catastrofi naturali, emergenze di sanità pubblica, minacce ibride e altre minacce antagoniste, fino ai reati con finalità di terrorismo, anche internazionale.
La valutazione deve inoltre considerare le interdipendenze: da un lato, quanto altri settori dipendano dal servizio essenziale fornito dal soggetto critico; dall’altro, quanto il soggetto critico dipenda a sua volta da servizi essenziali erogati da terzi, anche in altri Stati membri o Paesi terzi vicini.
È un’analisi che richiede una visione sistemica, capace di cogliere vulnerabilità dirette e indirette.
Il decreto consente ai soggetti critici di utilizzare, ove pertinenti, documenti già predisposti per altri regimi normativi (come NIS2, DORA, safety, business continuity), a condizione che tali documenti includano tutti i rischi e le dipendenze richieste dall’art. 13.
Saranno poi le ASC, nell’esercizio della vigilanza, a verificare se tali documenti soddisfano in tutto o in parte gli obblighi previsti.
L’errore da evitare è uno solo: considerare la valutazione del rischio come un adempimento.
L’art. 13 del decreto CER richiede un sistema e una capacità. Questo è il passaggio che distingue la compliance dalla resilienza.
Il secondo obbligo: le misure di resilienza (art. 14)
L’articolo 14 del Decreto CER è il punto in cui la resilienza diventa un dovere operativo.
Una volta valutato il rischio ai sensi dell’art. 13, i soggetti critici devono adottare e applicare misure tecniche, organizzative e di sicurezza adeguate e proporzionate, costruite sulla base della valutazione nazionale del rischio fornita dal PCU e dei risultati della propria valutazione interna.
È certamente un obbligo ampio, che postula la necessità di:
- prevenire gli incidenti;
- proteggere fisicamente i siti;
- resistere e mitigare gli impatti;
- ripristinare rapidamente la continuità del servizio;
- garantire la sicurezza del personale.
Le misure richieste dal decreto si articolano in aree precise e complementari.
La sicurezza fisica impone la protezione dei siti e delle infrastrutture critiche attraverso recinzioni, barriere, controlli perimetrali, sistemi di rilevamento, controllo degli accessi e ogni altra misura necessaria a prevenire intrusioni e atti ostili.
La sicurezza del personale richiede l’individuazione delle categorie che svolgono funzioni critiche, la gestione delle autorizzazioni di accesso, le procedure per i controlli dei precedenti personali previsti dall’art. 15 e l’adozione di requisiti di formazione e qualificazione adeguati.
La sicurezza organizzativa riguarda la costruzione di una governance interna della resilienza, con ruoli, responsabilità, procedure e meccanismi di coordinamento chiari, inclusa la designazione del referente CER da comunicare a PCU e ASC.
La continuità operativa impone misure per garantire il ripristino delle capacità operative in caso di incidente: piani di continuità, misure di disaster recovery, individuazione di catene di approvvigionamento alternative, protocolli di gestione delle crisi.
La gestione della supply chain richiede di valutare i fornitori critici, assicurare la continuità dei servizi essenziali esternalizzati e prevedere soluzioni alternative in caso di interruzione.
La comunicazione in emergenza impone la capacità di informare tempestivamente il personale sui rischi e sulle misure adottate, attraverso formazione, materiale informativo, esercitazioni e canali di comunicazione ridondanti.
Infine, la protezione delle infrastrutture digitali fisiche riguarda la sicurezza materiale di data center, sale server, reti fisiche, cavi e infrastrutture di telecomunicazione. Attenzione, non si tratta della sicurezza cyber (disciplinata da NIS2) ma della loro protezione fisica.
Tutte queste misure devono confluire in un Piano di Resilienza, da aggiornare quando necessario e comunque almeno ogni tre anni.
Le ASC, nell’esercizio della vigilanza, dovranno valutare se le misure adottate e i documenti prodotti soddisfano gli obblighi dell’articolo 14.
Il decreto consente inoltre di riutilizzare misure e documenti già predisposti per altri regimi normativi, purché pienamente coerenti con i requisiti CER.
Il terzo obbligo: i controlli sui precedenti personali (art. 15)
L’articolo 15 introduce uno dei meccanismi più sensibili dell’intero impianto CER: il controllo dei precedenti personali per il personale che ricopre ruoli critici.
Non si tratta di un controllo generalizzato né di un potere discrezionale del datore di lavoro ma di uno strumento mirato, proporzionato e strettamente regolato, pensato per prevenire minacce interne che potrebbero compromettere la fornitura dei servizi essenziali.
Il decreto stabilisce che il soggetto critico possa richiedere il certificato del casellario giudiziale europeo per le seguenti tre categorie di persone:
- chi svolge ruoli sensibili, in particolare quelli con responsabilità o competenze in materia di resilienza;
- chi è autorizzato ad accedere, in presenza o da remoto, ai siti, ai sistemi informatici o ai sistemi di controllo dell’organizzazione;
- i candidati destinati a ricoprire tali ruoli.
L’attivazione del controllo non è automatica: il soggetto critico deve presentare all’Autorità Settoriale Competente una richiesta motivata, indicando il ruolo, le ragioni del controllo e i reati ritenuti rilevanti. L’ASC verifica che il controllo sia necessario, proporzionato e limitato allo stretto indispensabile e che sia effettuato esclusivamente per valutare un potenziale rischio per la sicurezza del soggetto critico. Se l’ASC non risponde entro dieci giorni, l’autorizzazione si intende negata.
Una volta autorizzata, la richiesta viene trasmessa all’Ufficio Centrale del Casellario, che deve rispondere entro dieci giorni lavorativi, nel pieno rispetto della normativa nazionale ed europea sulla protezione dei dati personali.
Le modalità e i tempi di conservazione dei certificati dovranno essere definiti con decreto del Presidente del Consiglio dei Ministri, sentito il Garante Privacy.
L’articolo 15 non introduce una forma di sorveglianza ma una misura di protezione: serve a garantire che chi opera in ruoli critici lo faccia con un livello di affidabilità coerente con la responsabilità che il servizio essenziale richiede.
Il quarto obbligo: la notifica degli incidenti fisici (art. 16)
L’articolo 16 del decreto CER introduce un obbligo nuovo e strategico: i soggetti critici devono notificare senza indebito ritardo all’Autorità Settoriale Competente (ASC) e al PCU ogni incidente che perturbi, o possa perturbare in modo significativo, la fornitura dei servizi essenziali.
La notifica deve avvenire, salvo impossibilità operativa, entro 24 ore dal momento in cui l’organizzazione viene a conoscenza dell’evento, con una relazione dettagliata da trasmettere entro i successivi trenta giorni quando opportuno.
Rientrano in questo obbligo tutti gli incidenti fisici che possono compromettere la continuità del servizio: alluvioni, incendi, guasti gravi, interruzioni della supply chain, atti intenzionali e qualsiasi evento che abbia un impatto rilevante sulla capacità operativa.
Non rientrano invece nell’obbligo gli incidenti cyber, disciplinati dalla NIS 2, né gli eventi privi di effetti sulla fornitura del servizio.
La rilevanza dell’incidente viene valutata sulla base di tre parametri:
- il numero e la percentuale di utenti coinvolti;
- la durata della perturbazione;
- l’area geografica interessata, tenendo conto anche di eventuali condizioni di isolamento territoriale.
Le soglie quantitative per ciascun settore saranno definite con decreto del Presidente del Consiglio dei Ministri.
Come integrare CER con NIS 2, DORA e gli altri regimi
Per molti soggetti critici, la CER non sarà un’isola normativa: si sovrapporrà a NIS 2, DORA, al Perimetro di sicurezza nazionale cibernetica (PSNC) e ai regimi di vigilanza settoriale (Banca d’Italia, Consob, IVASS, MIT, MASE).
È un mosaico evidentemente complesso che però è governabile se viene affrontato con la logica giusta.
La regola d’oro è semplice e imprescindibile: un solo sistema di gestione del rischio, più compliance.
Non serve – e sarebbe controproducente – costruire un risk assessment per CER, uno per NIS 2, uno per DORA e così via.
La resilienza non si frammenta ma si orchestra. Pertanto, serve un’unica architettura che integri tutto:
- un’unica governance, con ruoli e responsabilità chiari;
- un’unica mappa dei rischi, che includa minacce fisiche, cyber, operative, finanziarie e di supply chain;
- un’unica analisi delle interdipendenze, perché i servizi essenziali non si fermano mai per un solo motivo;
- un’unica strategia di continuità, capace di rispondere a incidenti fisici, digitali, organizzativi e di terze parti.
La normativa CER non richiede di duplicare ciò che già esiste, richiede di armonizzare.
Ovviamente, chi saprà farlo, non solo sarà conforme ma avrà costruito un vero vantaggio competitivo: una resilienza unica, coerente e misurabile, capace di soddisfare contemporaneamente tutte le autorità di vigilanza.
Le priorità operative per i soggetti critici
Una volta designati, i soggetti critici devono muoversi con rapidità e metodo.
La resilienza non deriva da un adempimento ma da una sequenza di scelte strategiche.
Le organizzazioni che vogliono essere davvero pronte dovrebbero concentrarsi su cinque priorità essenziali:
- la prima è costruire una governance interna della resilienza, definendo ruoli, responsabilità, un comitato dedicato e un referente CER capace di dialogare con ASC e PCU. Senza una regia chiara, nessuna misura sarà efficace;
- la seconda è mappare i servizi essenziali e gli asset che li sostengono: capire cosa è davvero critico, quali processi lo abilitano e quali infrastrutture lo rendono possibile;
- la terza è condurre una valutazione del rischio completa e realistica, che includa minacce naturali, accidentali, intenzionali, interdipendenze e impatti sistemici;
- la quarta è definire e implementare le misure di resilienza previste dall’art. 14, trasformando l’analisi in azione concreta: protezione fisica, continuità operativa, sicurezza del personale, gestione della supply chain;
- la quinta è preparare la capacità di notificare gli incidenti, con procedure, ruoli, canali e modelli già pronti: quando accade un evento rilevante, non c’è tempo per improvvisare.
Queste cinque priorità non sono un elenco: sono la spina dorsale del sistema CER.
Gli errori da evitare
Accanto alle priorità, ci sono errori che possono compromettere l’intero impianto.
Il più grave è trattare il CER come un adempimento, riducendolo a un fascicolo da compilare.
Un altro possibile errore consiste nel delegare tutto alla funzione “sicurezza fisica”, dimenticando che la resilienza è un ecosistema che coinvolge governance, personale, processi, supply chain e comunicazione.
Alcuni operatori sottovalutano la dipendenza dai fornitori, ignorando che una supply chain fragile può interrompere un servizio essenziale più rapidamente di un attacco diretto.
Grave è anche non integrare CER con NIS2, DORA e gli altri regimi, creando silos che si contraddicono invece di rafforzarsi.
Infine, due errori che rivelano immaturità organizzativa sono: non coinvolgere il vertice organizzativo e non fare esercitazioni. Senza leadership e senza prove, la resilienza resta mera teoria.
Un ultimo rilevante errore è non documentare i processi. Gli antichi padri dicevano quod non est in actis non est in mundo: ciò che non è documentato non esiste.
Conclusioni
Questo quarto articolo ha mostrato cosa significa, in concreto, essere un soggetto critico:
- valutare i rischi;
- adottare misure di resilienza;
- controllare l’affidabilità del personale;
- notificare gli incidenti.
È il capitolo che trasforma la normativa in azione e che porta la normativa CER fuori dai testi legislativi e dentro le organizzazioni.
Nel prossimo articolo entreremo nel cuore del labirinto regolatorio: CER, NIS 2, DORA, bancario, digitale.
Capiremo come orientarsi tra regimi che si sovrappongono, come evitare duplicazioni e come costruire un unico sistema di resilienza, coerente, integrato e sostenibile.
