La fine della Security “a silos”: un nuovo paradigma di Governance
Per anni, la sicurezza aziendale è stata gestita per compartimenti stagni: da un lato la sicurezza fisica (perimeter security, videosorveglianza, controllo accessi), dall’altro la cybersecurity e, in parallelo, la compliance legale e ambientale.
Oggi, l’evoluzione del quadro normativo europeo e italiano impone un cambio di paradigma radicale.
Il Security Manager moderno non può più limitarsi al ruolo di operatore tattico: deve trasformarsi in un Risk Strategist in grado di dialogare con i C-Level, integrando norma, tecnologia avanzata e responsabilità amministrativa d’impresa.
L’analisi incrociata delle recenti disposizioni evidenzia una convergenza strutturale tra tre pilastri normativi fondamentali:
- Direttiva CER (UE 2022/2557) / D.Lgs. 134/2024: Focalizzata sulla resilienza dei soggetti critici.
- AI Act (Regolamento UE 2024/1689): La prima regolamentazione organica sull’Intelligenza Artificiale.
- D.Lgs. 21 aprile 2026, n. 81: Recepimento ed evoluzione in materia di Tutela Penale Ambientale.
In questo scenario, la tecnologia dei droni (UAS) rappresenta l’anello di congiunzione pratico e l’esempio più concreto di questa tripla convergenza.
Il Triangolo della Compliance: CER, AI Act e Modello 231
A. Gestione del rischio e Infrastrutture Critiche (CER e AI Act) Il D.Lgs. 134/2024 (recepimento della Direttiva CER) impone ai gestori di servizi essenziali di garantire la resilienza fisica e antropica delle infrastrutture.
Tuttavia, l’uso di tecnologie avanzate per tutelare tali impianti porta il Security Manager direttamente nel perimetro del Regolamento UE 2024/1689 (AI Act).
L’AI Act stabilisce infatti che i sistemi di Intelligenza Artificiale impiegati come componenti di sicurezza nella gestione e nel funzionamento delle infrastrutture critiche (es. reti energetiche, idriche, dei trasporti e digitali) sono classificati ex lege come Sistemi di IA ad Alto Rischio (Allegato III).
Inoltre, la definizione di “incidente grave” nell’AI Act include esplicitamente i malfunzionamenti di sistemi AI che causino la perturbazione grave e irreversibile di un’infrastruttura critica.
Ciò significa che la continuità operativa non è più un tema puramente manutentivo, ma una priorità di conformità regolatoria.
B. La Responsabilità Penale d’Impresa (D.Lgs. 231/2001) e l’Ambiente La compliance alla Direttiva CER non può essere disgiunta dai Modelli Organizzativi ex D.Lgs. 231/2001.
La vera novità d’impatto risiede nell’integrazione del D.Lgs. 21 aprile 2026, n. 81 (Tutela Penale Ambientale), che inasprisce l’Articolo 25-undecies del D.Lgs. 231/2001.
Il provvedimento amplia i reati presupposto legati ai danni ambientali, agli ecosistemi e agli habitat protetti, prevedendo sanzioni pecuniarie ed interdittive gravissime per gli enti. La prevenzione dei rischi fisici o tecnologici legati a un sito industriale deve quindi integrare a pieno titolo la variabile ambientale.
I Droni (UAS) come banco di prova: Tecnologia, Minaccia e Monitoraggio
L’uso dei droni (UAS) nell’ambito della Corporate Security incrocia simultaneamente tutte e tre le normative in esame:
A. Come Tecnologia Regolata (AI Act)
L’AI Act (Allegato I) modifica direttamente il Regolamento (UE) 2018/1139 sull’aviazione civile.
Se un drone impiega algoritmi di IA per la navigazione autonoma, l’evitamento degli ostacoli o il tracciamento dei target, esso rientra nelle stringenti prescrizioni per i sistemi ad alto rischio: tracciabilità dei log, cybersicurezza della catena di comando, documentazione tecnica rigorosa e, soprattutto, mantenimento della sorveglianza umana (human-in-the-loop).
B. Come Minaccia per le Infrastrutture (CER)
I resoconti del Critical Entities Resilience Group (CERG) della Commissione Europea confermano che i droni ostili costituiscono una delle principali minacce fisiche asimmetriche per gli impianti strategici. Implementare soluzioni C-UAS (Counter-Unmanned Aircraft Systems) è ormai un requisito imprescindibile per i piani di resilienza CER.
C. Come Strumento di Sorveglianza e Rischio Ambientale (D.Lgs. 81/2026 e 231)
I droni rappresentano lo strumento ideale per la perimetrazione e il pattugliamento di ampie infrastrutture o per il monitoraggio ecologico di territori a rischio.
Tuttavia, sussiste un “rovescio della medaglia”: se un drone autonomo dotato di IA subisce un malfunzionamento critico o un flyaway, precipitando all’interno di un’area naturale protetta o su un impianto chimico e causando uno sversamento o un incendio, l’azienda ne risponde direttamente sul piano amministrativo e penale ex D.Lgs. 231/2001 (Art. 25-undecies).
Il Bagaglio Competenze del Security Manager 4.0
Alla luce di questa intelaiatura normativa, il bagaglio professionale del Security Manager deve evolversi. Non è più sufficiente conoscere le tecniche di pattugliamento o il funzionamento di una telecamera termica.
Oggi, il professionista della sicurezza deve possedere:
- Competenza integrata di Legal & Regulatory Compliance: Capacità di mappare le intersezioni tra D.Lgs. 134/2024 (CER), AI Act e D.Lgs. 231/2001.
- Risk Assessment Olistico: Saper valutare il rischio tecnologico (AI/UAS) non solo per le sue falle funzionali, ma per le sue ricadute penali, ambientali e reputazionali.
- Governance dei Fornitori e della Technology Supply Chain: Capacità di pretendere dai fornitori di tecnologie di sicurezza (droni, software di videosorveglianza analitica con AI) la certificazione di conformità ai requisiti dell’AI Act.
- Visione Orientata alla Resilienza: Superare il concetto statico di “protezione” per abbracciare quello dinamico di “continuità operativa e sostenibilità ecologica”.
Conclusione
La convergenza tra Direttiva CER, AI Act e Tutela Penale Ambientale segna il definitivo passaggio della sicurezza da “centro di costo operativo” a “leva di Governance e continuità strategica”.
Il Security Manager che saprà padroneggiare questo triplo binario sarà l’interlocutore naturale del Board e dei C-Level nella gestione della resilienza aziendale del futuro.
