La funzione di questo articolo nell’eptalogia
Questo quinto capitolo affronta il tema più complesso per chi opera in settori regolati: la coesistenza di normative diverse che parlano tutte di resilienza ma da prospettive differenti. Dopo aver compreso che cosa sia il sistema CER, chi lo governa, come si diventa soggetti critici e quali obblighi ne derivano, ora entriamo nel cuore del problema: come si intrecciano CER, NIS 2, DORA, la regolazione bancaria e finanziaria, le norme sulle telecomunicazioni, il perimetro cyber e le discipline settoriali.
È un capitolo pensato per chi deve decidere: CISO, CRO, DPO, responsabili compliance, dirigenti di banche, infrastrutture finanziarie, telecomunicazioni, energia, sanità, trasporti, grandi utility, enti pubblici.
L’obiettivo è capire “chi” deve fare “cosa”, “quando”, “con quali autorità” – e come evitare di costruire cinque sistemi di gestione diversi.
Il problema di fondo: la normativa CER non arriva in un deserto normativo
Quando la Direttiva CER è stata approvata, alcuni operatori hanno reagito con un misto di stupore e stanchezza: “Un’altra normativa? Non bastavano NIS 2, DORA, GDPR, il perimetro cyber, le regole bancarie, quelle finanziarie, quelle sulle telecomunicazioni?”. Il legislatore conosce perfettamente questa stratificazione.
Per questo motivo il d.lgs. 134/2024 contiene una clausola decisiva: se un settore è già regolato da un atto europeo che impone obblighi equivalenti, CER “si ritira”. Non si somma, non si sovrappone e non crea duplicazioni.
È un principio di igiene regolatoria, pensato per evitare che gli operatori debbano costruire sistemi paralleli, incoerenti e costosi.
La normativa CER entra solo dove serve, e si fa da parte dove altri regimi coprono già gli stessi effetti.
CER e NIS 2: due normative sorelle ma non gemelle
Alcuni hanno pensato che la CER fosse semplicemente la “NIS2 per il mondo fisico”.
È un errore concettuale perché le due normative sono sorelle ma non gemelle: condividono la logica della resilienza ma guardano a dimensioni diverse.
NIS2 si occupa di sicurezza delle reti e dei sistemi informativi, incidenti cyber, gestione del rischio ICT, misure tecniche e organizzative digitali.
CER, invece, guarda alla resilienza fisica, alla continuità dei servizi essenziali, ai rischi naturali, accidentali, intenzionali e ibridi, alla supply chain materiale, alle infrastrutture fisiche.
I due mondi si incontrano nella protezione fisica delle infrastrutture digitali – data center, cavi, sale server – e nella gestione delle interdipendenze.
Si incrociano anche nella logica della notifica degli incidenti, che distingue tra eventi fisici e cyber. Ma si separano nettamente nelle autorità: NIS 2 si relaziona con l’ACN, CER con ASC e PCU.
Per gli operatori soggetti a entrambe, la soluzione non è duplicare ma costruire un solo sistema di gestione del rischio, con due flussi di compliance.
CER e DORA: il caso più delicato
Nel settore finanziario il decreto è inequivocabile: banche e infrastrutture dei mercati finanziari possono essere individuate come soggetti critici ma non sono soggette agli obblighi operativi del CER.
L’articolo 8, comma 5, stabilisce infatti che per questi soggetti non si applicano l’articolo 12 e i Capi III e IV, cioè l’intero blocco degli obblighi su valutazione del rischio, misure di resilienza, controlli sui precedenti e notifica degli incidenti.
La loro resilienza regolatoria resta integralmente disciplinata da DORA e dalla vigilanza di Banca d’Italia, Consob e delle autorità europee.
Il CER mantiene solo funzioni di designazione, coordinamento istituzionale e integrazione nella strategia nazionale, senza imporre obblighi operativi aggiuntivi.
È l’applicazione più chiara del principio di non duplicazione: nel settore finanziario non esiste un doppio binario CER/DORA. Esiste un’unica architettura regolatoria, in cui CER riconosce la piena copertura offerta da DORA e si ritira dagli obblighi operativi.
CER e Perimetro di Sicurezza Nazionale Cibernetica
Il perimetro cyber italiano è un regime di sicurezza nazionale e non di resilienza dei servizi essenziali. Si applica a operatori strategici e infrastrutture critiche, con obblighi tecnici e controlli stringenti. CER e Perimetro vivono su piani diversi: il primo guarda alla continuità dei servizi essenziali, il secondo alla sicurezza nazionale.
Si incontrano nella protezione fisica delle infrastrutture digitali, nella gestione delle minacce ibride e nella cooperazione tra ACN e PCU.
Ma si separano nella finalità: il Perimetro protegge lo Stato, CER protegge la continuità dei servizi.
CER e regolazione delle telecomunicazioni
Gli operatori di telecomunicazioni si muovono già in un quadro fitto di regole: Codice delle comunicazioni elettroniche, obblighi di sicurezza delle reti, continuità del servizio, vigilanza AGCOM e MIMIT, oltre agli obblighi di cibersicurezza derivanti dalla NIS 2.
In questo contesto, il d.lgs. 134/2024 non replica la disciplina cyber né quella sulla sicurezza delle reti: introduce, anche per il settore delle infrastrutture digitali di cui all’allegato A, gli obblighi generali CER in materia di resilienza dei soggetti critici.
Questo significa, in concreto, misure di resilienza fisica delle infrastrutture (ai sensi dell’art. 14), valutazione del rischio (art. 13) e obbligo di notifica degli incidenti fisici che perturbano in modo significativo la fornitura dei servizi essenziali (art. 16), con il relativo coinvolgimento di ASC e PCU (art. 5 e art. 16).
CER, quindi, non sostituisce né duplica la disciplina di settore: la completa sul versante della resilienza fisica e organizzativa dei servizi essenziali di comunicazione elettronica.
CER e regolazione dell’energia
Il settore energia è già tra i più regolati: disciplina di mercato e regolazione ARERA, normativa europea su gas, elettricità e idrogeno, perimetro di sicurezza nazionale cibernetica, obblighi NIS 2 per la componente digitale.
Su questo terreno, il decreto CER innesta un set di obblighi trasversali che valgono anche per i soggetti critici dell’energia:
- valutazione del rischio rispetto a minacce naturali, accidentali, intenzionali e ibride (art. 13);
- adozione di misure tecniche, di sicurezza e organizzative adeguate e proporzionate per garantire la resilienza delle infrastrutture critiche (art. 14);
- predisposizione di un piano di resilienza (art. 14, comma 4);
- notifica degli incidenti fisici rilevanti ad ASC e PCU (art. 16).
Non introduce nuovi obblighi di mercato né ridefinisce la disciplina cyber o di sicurezza nazionale ma si colloca accanto a queste, focalizzandosi sulla capacità del sistema energetico di prevenire, assorbire e superare incidenti fisici che possano compromettere la continuità dei servizi essenziali.
CER e sanità: un caso complesso
Anche la sanità vive già in un ecosistema normativo stratificato: NIS 2 per gli ospedali e talune strutture sanitarie, GDPR, normative regionali, regolazione AIFA, obblighi di continuità operativa e di qualità dell’assistenza.
In questo quadro, il d.lgs. 134/2024 aggiunge, per i soggetti critici del settore salute di cui all’allegato A, gli obblighi CER in materia di resilienza:
- valutazione del rischio che tenga conto di eventi naturali, accidentali, intenzionali e ibridi e delle interdipendenze con energia, acqua, digitale e trasporti (art. 13);
- misure di resilienza fisica e organizzativa delle strutture e delle infrastrutture critiche sanitarie (art. 14);
- piano di resilienza aggiornato, gestione della sicurezza del personale e informazione sui rischi (art. 14, commi 2 – 4);
- notifica degli incidenti fisici che perturbano la continuità dei servizi essenziali sanitari ad ASC e PCU (art. 16).
Anche qui, la normativa CER non riscrive la disciplina sanitaria né quella privacy o cyber: la attraversa, imponendo che pronto soccorso, terapia intensiva, diagnostica e gli altri servizi essenziali possano continuare a funzionare anche quando l’evento critico è fisico, sistemico, intersettoriale.
Conclusioni
Questo quinto capitolo ha mostrato come la normativa CER non viva in isolamento, ma si intrecci – talvolta in modo delicato, talvolta in modo complementare – con NIS 2, DORA, la regolazione bancaria e finanziaria, le norme sulle telecomunicazioni, l’energia, la sanità e l’intero mosaico regolatorio nazionale.
È il capitolo che serve a fare ordine nel caos apparente, a distinguere ciò che si somma da ciò che si esclude, ciò che si integra da ciò che si ritira. È la guida che permette agli operatori di evitare duplicazioni, sprechi, sovrapposizioni inutili e conflitti tra obblighi che, se letti senza chiare indicazioni, sembrano incompatibili.
Con questo passaggio abbiamo costruito la mappa: ora sappiamo dove si colloca CER, dove si fermano gli altri regimi, dove iniziano le interdipendenze e dove si apre lo spazio per un unico sistema di gestione della resilienza.
Nel prossimo articolo entreremo nella dimensione che dà senso a tutto questo: la dimensione europea. Parleremo dei soggetti critici di particolare rilevanza europea, delle missioni di consulenza della Commissione, della cooperazione transfrontaliera e del ruolo del CERG. Vedremo come la resilienza è diventata un progetto comune dell’Unione.
