Direttiva CER: l'Italia ha l'elenco dei soggetti critici, adesso parte l'orologio

La direttiva di cui non parla nessuno

Se negli ultimi due anni avete seguito la conformità europea, avete sentito parlare di NIS2 fino alla nausea. Molto meno della direttiva CER, Critical Entities Resilience, la direttiva (UE) 2022/2557. Eppure le due sono nate insieme, lo stesso giorno, come due metà dello stesso ragionamento: la NIS2 si occupa della sicurezza informatica dei soggetti importanti ed essenziali, la CER della loro resilienza complessiva — cioè della capacità di continuare a erogare un servizio essenziale qualunque cosa accada, che sia un attacco informatico, un sabotaggio, un'alluvione, un incidente o un'emergenza sanitaria.

È una differenza di prospettiva che ha conseguenze pratiche precise. In un piano NIS2 si parla di gestione delle vulnerabilità, di controllo degli accessi, di continuità operativa dei sistemi. In un piano CER si parla anche di recinzioni, controlli sul personale, ridondanza dei siti, dipendenza da fornitori fisici. Il rischio cyber non sparisce: entra in un documento più grande, insieme a tutto il resto.

Cosa dice, in tre righe

La direttiva stabilisce norme armonizzate per garantire la fornitura di servizi essenziali nel mercato interno, accrescere la resilienza dei soggetti critici e migliorare la cooperazione transfrontaliera fra le autorità competenti. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 134, pubblicato in Gazzetta Ufficiale il 23 settembre 2024.

1. 01
   Lo Stato

   valuta i rischi, adotta una strategia nazionale, individua i soggetti critici
2. 02
   La notifica

   il soggetto individuato viene informato del proprio status e degli obblighi
3. 03
   Il soggetto

   valuta i propri rischi, adotta un piano di resilienza, notifica gli incidenti

I settori coperti sono quelli in cui l'interruzione si sente subito: energia (elettricità, gas, petrolio, teleriscaldamento, idrogeno), trasporti (stradale, ferroviario, aereo, per vie d'acqua), sanità, acqua potabile e acque reflue, infrastrutture digitali, banche e mercati finanziari, spazio, produzione, trasformazione e distribuzione di alimenti, oltre alla pubblica amministrazione.

Il conto alla rovescia

Qui sta la ragione per cui la CER torna d'attualità proprio adesso. Il percorso è a due tempi: prima lo Stato fa il suo lavoro, poi comincia quello delle aziende.

1. 17 gennaio 2026
   Individuazione dei soggetti critici

   Le autorità settoriali competenti li identificano per i rispettivi settori.

2. 17 luglio 2026
   Adozione dell'elenco nazionale

   Termine fissato dalla direttiva per l'individuazione da parte degli Stati membri.

3. Entro un mese dall'individuazione
   Notifica ai soggetti

   Il soggetto scopre ufficialmente di essere critico.

4. Dalla notifica
   Parte l'orologio

   Valutazione dei rischi e piano di resilienza entro i termini di legge.

Il punto operativo da tenere a mente è che il conto alla rovescia non parte dalla pubblicazione del decreto, ma dalla notifica individuale. Un'azienda che non ha ricevuto nulla non è in ritardo; un'azienda che ha ricevuto la notifica ha davanti un numero di mesi contato — nell'ordine dei nove-dieci a seconda dell'adempimento — per arrivare a una valutazione dei rischi documentata e a un piano di resilienza operativo. Sono termini che sembrano generosi finché non si prova a fare per davvero una mappatura delle dipendenze critiche di un impianto.

Un'avvertenza sulle date. Le scadenze sopra combinano il calendario della direttiva europea con quello attuativo italiano; l'esatta tempistica delle notifiche individuali dipende dalle autorità settoriali competenti e può variare da settore a settore. Chi deve pianificare faccia riferimento alla propria autorità di settore e al testo del D.lgs. 134/2024, non a una tabella di sintesi — inclusa questa.

Gli obblighi, in concreto

Il nucleo degli adempimenti per il soggetto critico si riassume in quattro voci.

La valutazione dei rischi deve considerare tutte le minacce rilevanti — naturali, accidentali, intenzionali — e non solo quelle informatiche: è il punto in cui la CER si distingue di più dalla NIS2. Il piano di resilienza è il documento che traduce quella valutazione in misure concrete: prevenire, proteggere, reagire, ripristinare. La notifica degli incidenti riguarda gli eventi che perturbano in modo significativo la fornitura del servizio essenziale. I controlli sul personale sono la novità meno digeribile per molte organizzazioni, e vanno applicati nei limiti e con le garanzie che la normativa nazionale prevede.

Perché è una buona notizia, se la si prende bene

C'è una lettura pigra di ogni nuovo adempimento: un altro documento da produrre. C'è però una lettura più utile, ed è che la CER costringe a fare una cosa che quasi nessuno fa spontaneamente — mettere nello stesso tavolo chi si occupa di sicurezza fisica e chi si occupa di sicurezza informatica. Nella maggior parte delle organizzazioni sono due funzioni che non si parlano, con due bilanci separati e due mappe del rischio che non si sovrappongono mai. Un piano di resilienza credibile non si può scrivere senza farle sedere insieme.

Ed è esattamente il punto in cui questo approfondimento incontra le cronache di ogni giorno: un guasto a un impianto e una console di gestione esposta su internet possono produrre la stessa cosa — un servizio essenziale che si ferma. La CER è la norma che chiede di guardarli come un problema solo. È un approfondimento normativo, non l'attacco del giorno; ma è la cornice dentro cui, per molti soggetti italiani, i prossimi mesi saranno di lavoro vero.