Il cambio di paradigma: oltre il perimetro fisico
Per decenni la sicurezza delle infrastrutture aziendali è stata intesa come una funzione prevalentemente perimetrale e difensiva. L’obiettivo primario era il presidio fisico dei siti, il controllo degli accessi e l’applicazione rigida delle procedure.
L’entrata in vigore della Direttiva CER (UE 2022/2557 / D.Lgs. 134/2024) segna un passaggio epocale: il focus si sposta dalla semplice protezione alla resilienza globale dell’organizzazione.
Un’azienda strutturata o un soggetto critico non deve più solo resistere alle intrusioni, ma garantire la continuità operativa dei propri servizi essenziali di fronte a qualsiasi minaccia, sia essa fisica o cibernetica.
In questo scenario, la conformità normativa richiede la formalizzazione del Security Manager come Punto di Contatto Interno per la Resilienza.
Questa figura ha il compito di raccordare il piano di resilienza (CER) con i contesti di cybersecurity (NIS2) e Business Continuity, assicurando che l’organizzazione sia in grado di prevenire, rispondere e ripristinare le proprie funzioni vitali in caso di crisi.
L’evoluzione dello SLO e il nodo critico delle 24 ore
Nel modello tracciato dalla precedente Direttiva 2008/114/CE, la figura del Security Liaison Officer (SLO) operava principalmente come interfaccia per la protezione fisica e la stesura del Piano di Sicurezza dell’Operatore (PSO).
Con il nuovo quadro legislativo, questa funzione viene elevata.
Il Security Manager diventa il perno strategico tra l’organizzazione e le Istituzioni (il Punto di Contatto Unico nazionale e le Autorità di settore), facendosi carico di un passaggio procedurale decisivo: la gestione e qualificazione degli incidenti gravi.
Se un evento critico non viene notificato entro 24 ore dalla conoscenza, l’azienda non affronta solo un blocco operativo, ma espone i propri vertici (C-Level e CdA) a dirette responsabilità penali, civili e amministrative per omessa adozione di misure idonee. La tempestività di questa notifica non si improvvisa: dipende interamente dalla qualità dell’architettura organizzativa costruita prima del verificarsi dell’emergenza.
Convergenza tecnologica, Lgs. 81/08 e fattore umano
Il rischio fisico e il rischio cibernetico non sono più scindibili: un’intrusione logica può compromettere un sistema di controllo accessi, così come una breccia fisica può spalancare le porte all’infrastruttura IT.
Per questo motivo, la Direttiva CER deve procedere in parallelo con la NIS2.
Per passare dalla teoria della norma — inclusa la tutela del personale ex D.Lgs. 81/08 — alla pratica operativa senza interrompere la produzione, il Security Manager deve guidare la convergenza tecnologica attraverso l’uso di droni, sensoristica avanzata e Video Analytics.
Tuttavia, la tecnologia rimane uno strumento: la vera resilienza si ottiene quando la sicurezza smette di essere percepita come un ostacolo alla routine e diventa un fattore di protezione del business, sostenuta da addestramento reale sul campo e leadership presente.
Conclusioni
Il Security Manager si trasforma così da gestore di servizi di custodia a regista della resilienza aziendale.
Una figura trasversale capace di parlare il linguaggio dei vertici societari, di interfacciarsi con le Istituzioni e di dimostrare che la compliance normativa non è un costo, ma la garanzia di continuità e reputazione dell’intera organizzazione.
