In un precedente contributo ho sostenuto che la pubblicazione delle sanzioni data protection prevista dall’art. 166 del Codice Data protection, in un contesto di guerra ibrida, rischia di trasformarsi da strumento di trasparenza in involontario amplificatore dell’attacco, e ho proposto alcune direzioni di riforma.
Quella riflessione resterebbe monca se si fermasse alla segnalazione del vuoto normativo.
Il legislatore potrebbe intervenire tra anni, o non intervenire mai. La domanda che conta, per chi opera dentro un soggetto critico, è un’altra: de iure condito: con le norme che abbiamo oggi, cosa dobbiamo fare?
Per come la vedo io, la risposta esiste già ed è scritta nell’articolo 13 del D.Lgs. 134/2024, il decreto che ha recepito la Direttiva CER.
È lì che il paradosso descritto nel primo articolo diventa un adempimento e il momento per occuparsene è esattamente adesso.
Un obbligo con una scadenza precisa
L’art. 13 del D.Lgs. 134/2024 (c.d. decreto CER) impone ai soggetti critici di effettuare una valutazione di tutti i rischi rilevanti che potrebbero perturbare la fornitura dei loro servizi essenziali.
Non è un adempimento generico: va completata entro nove mesi dal ricevimento della notifica con cui l’autorità settoriale competente comunica al soggetto la sua designazione, e poi aggiornata quando necessario e comunque almeno ogni quattro anni, basandosi sulla valutazione del rischio dello Stato e su altre fonti di informazioni rilevanti.
Poiché l’individuazione dei soggetti critici è avvenuta dal 17 luglio 2026, quella finestra di nove mesi è, per molte organizzazioni, in pieno svolgimento.
Il perimetro dei rischi da considerare è definito dal comma 3.
Qui il legislatore è stato esplicito: la valutazione deve tenere conto – testualmente – delle “minacce ibride e altre minacce antagoniste”.
Non è quindi un’interpretazione estensiva né una mia forzatura: le minacce ibride sono nominate dalla legge tra i rischi che il soggetto critico deve valutare.
Il punto che rischia di sfuggire: il rischio “da trasparenza”
Se però la minaccia ibrida viene letta solo come rischio tecnico – l’attacco informatico, il sabotaggio, l’intrusione fisica – la valutazione si ferma a metà strada.
Come ho argomentato nel precedente articolo, l’obiettivo profondo di queste minacce non è il sistema informativo ma la fiducia pubblica e la fiducia si colpisce anche attraverso una catena che un attacco ben costruito è in grado di innescare:
- l’attacco provoca un data breach e attiva gli obblighi del GDPR, dalla notifica al Garante fino all’eventuale sanzione;
- la sanzione può essere accompagnata dalla pubblicazione dell’ordinanza-ingiunzione ai sensi dell’art. 166 del Codice Data protection;
- la pubblicazione offre all’aggressore, materiale ufficiale, autorevole e verificabile da amplificare con campagne di disinformazione;
- l’amplificazione erode la fiducia di cittadini, partner e mercati e produce effetti concreti sulla fornitura: comportamenti di massa degli utenti, tensioni con i fornitori, pressioni regolatorie emergenziali, ripercussioni finanziarie che comprimono la capacità di investire in resilienza.
Quando la catena si chiude, il danno reputazionale non è più un tema di comunicazione; è diventato un fattore di perturbazione del servizio essenziale.
È questo passaggio che porta lo scenario – la “cascata sanzionatoria da attacco ibrido” – dentro il perimetro dell’art. 13, comma 3, lettera a) del decreto CER.
Non valutarlo significa consegnare alle autorità di vigilanza una fotografia incompleta del proprio profilo di rischio.
De iure condito: le tre leve che il soggetto critico controlla già
Ecco il punto decisivo. Il soggetto critico non decide se il Garante pubblica la sanzione: quella leva resta nelle mani dell’Autorità e – per l’eventuale riforma – del legislatore.
Tuttavia, sarebbe sbagliato dedurne che l’azienda sia spettatrice.
A ben vedere, il quadro normativo vigente le consegna già tre leve, e tutte e tre passano per il diritto della protezione dei dati.
La prima leva è prevenire la cascata.
La probabilità che un data breach si trasformi in sanzione – e la severità della sanzione stessa – dipendono in larga misura dall’accountability dimostrabile del titolare: misure di sicurezza adeguate ai sensi dell’art. 32 del GDPR, documentazione delle scelte, capacità di provare di aver fatto ciò che era esigibile.
È la prima misura di resilienza contro la cascata, anche se nei piani di resilienza tradizionali nessuno la chiamerebbe così.
La seconda leva è governare il procedimento sanzionatorio.
L’art. 83, paragrafo 2, del GDPR impone al Garante di calibrare la sanzione su circostanze concrete: le misure adottate per attenuare il danno, il grado di cooperazione con l’Autorità, le modalità con cui la violazione è stata resa nota.
Lo stesso art. 166 rimette al Garante la scelta se pubblicare l’ordinanza “per intero o per estratto”.
Qui si apre uno spazio difensivo che oggi quasi nessuno utilizza: nel procedimento sanzionatorio, il soggetto critico può e deve rappresentare all’Autorità il contesto dell’attacco – la sua matrice ibrida, la sua finalità destabilizzante – come circostanza rilevante, e può motivatamente chiedere che l’eventuale pubblicazione avvenga in forma tecnica, per estratto, focalizzata sulle misure correttive.
Non si chiede opacità: si chiede una proporzionalità che la norma vigente già consente di esercitare.
La terza leva è occupare lo spazio informativo prima dell’aggressore.
La comunicazione agli interessati ex art. 34 del GDPR non è solo un obbligo: è il primo atto narrativo dopo l’incidente, quello che fissa la versione dei fatti.
Una strategia di comunicazione di crisi predisposta ex ante – coordinata con le notifiche alle autorità e, per gli incidenti rilevanti, con i canali istituzionali previsti dal decreto CER – toglie all’aggressore il vantaggio del vuoto informativo che le campagne di disinformazione riempiono.
Nessuna di queste tre leve richiede una riforma.
Tutte e tre, però, funzionano solo se sono state pianificate prima dell’incidente e il luogo giuridico dove questa pianificazione dovrebbe avvenire è esattamente la valutazione del rischio ex art. 13: è lì che lo scenario va descritto, che probabilità e impatto vanno stimati e che le tre leve vanno tradotte in misure documentate.
Perché Privacy Lead e DPO dovrebbero sedere al tavolo: tre ragioni
Se le cose stanno così, il coinvolgimento della funzione data protection nella valutazione ex art. 13 del decreto CER non è una raccomandazione organizzativa ma una conseguenza logica.
Le ragioni, a mio giudizio, sono tre.
Primo: il rischio nasce e si sviluppa dentro il diritto alla protezione dei dati personali.
Il grilletto della cascata non è tecnologico ma giuridico – la notifica, il procedimento, la sanzione, la pubblicazione.
Chi governa la resilienza fisica e cyber non ha gli strumenti per stimare la probabilità di una sanzione, la prassi del Garante sull’art. 166, il peso delle circostanze ex art. 83.
Senza la funzione data protection, quella riga della valutazione del rischio resta vuota o, peggio, viene riempita a caso.
Secondo: le misure di mitigazione sono, in larga parte, misure data protection.
Accountability dimostrabile, qualità della gestione del data breach, gestione del procedimento, comunicazione agli interessati: chi controlla queste leve dovrebbe sedere al tavolo dove le si trasforma in misure di resilienza, altrimenti la valutazione elencherà contromisure che nessuno dei presenti ha il potere di attuare.
Terzo: il canale con l’Autorità passa da lì.
Il DPO è, per espressa previsione dell’art. 39 del GDPR, il punto di contatto con il Garante.
Nel momento più delicato della cascata – il procedimento in cui si gioca la proporzionalità della sanzione e della sua pubblicazione – il dialogo istituzionale transita per una figura che la valutazione CER non può ignorare.
Una precisazione, però, è d’obbligo: coinvolgere non significa confondere i ruoli.
Il Privacy Lead e le funzioni operative del titolare del trattamento portano al tavolo la mappa dell’esposizione sanzionatoria e le procedure di gestione dei data breach mentre il DPO – che è figura di sorveglianza e consulenza – contribuisce in funzione consultiva, perché affidargli la definizione operativa delle misure lo esporrebbe a un conflitto di interessi che la disciplina europea vieta.
C’è infine un argomento che rende questa integrazione fisiologica e non solo opportuna: il comma 4 dell’art. 13 del decreto CER consente di adempiere utilizzando documenti già predisposti ai sensi di altre disposizioni giuridiche – valutazioni d’impatto, registri, procedure di gestione dei data breach nate in ambito GDPR – e il comma 5 affida alle autorità settoriali competenti il compito di dichiarare, in sede di vigilanza, se quei documenti adempiono agli obblighi.
L’integrazione tra documentazione data protection e valutazione CER non è un vezzo ma è materia di vigilanza.
A questo ponte normativo dedicherò un prossimo approfondimento.
Conclusioni. La resilienza come autotutela
Il primo articolo si chiudeva chiedendo al legislatore una trasparenza più consapevole del contesto strategico.
Questo si chiude con la conseguenza che ne discende per le imprese: finché quella riforma non arriva – e potrebbe non arrivare mai – la protezione dalla cascata sanzionatoria è un esercizio di autotutela, e l’ordinamento ha già indicato il luogo dove organizzarla.
La valutazione del rischio ex art. 13 del decreto CER è, nella mia prospettiva, il punto in cui il soggetto critico comincia a governarlo: nominando lo scenario, attivando le tre leve che già controlla e facendo sedere allo stesso tavolo le funzioni – Resilienza, Privacy Lead e DPO – che finora hanno guardato lo stesso rischio da finestre diverse.
La fiducia dei cittadini resta il campo di battaglia ma la prima linea, oggi, non è nel palazzo del legislatore: è nei tavoli di lavoro dove, in questi mesi, si stanno scrivendo le valutazioni del rischio dei soggetti critici italiani.
