Direttiva CER: la resilienza diventa una funzione strategica dell’impresa

Dalla logica delle infrastrutture a quella dei “soggetti critici”: la direttiva europea CER (Critical Entities Resilience, Direttiva UE 2022/2557) impone assetti pubblici e aziendali più integrati, responsabilizza funzioni e board e amplia il perimetro dei rischi che devono essere valutati.

Dunque, la direttiva non è un nuovo capitolo normativo fine a sé stesso ma un cambio di paradigma per quanto riguarda la gestione del rischio nazionale e aziendale. Con l’introduzione del concetto di “soggetto critico” e l’imposizione di un modello di governance multilivello, la CER ribalta l’approccio tradizionale basato sull’infrastruttura fisica e obbliga autorità e imprese a cambiare la visione sul significato di resilienza verso un pensiero di funzione strategica e trasversale.

Questa evoluzione richiede, però, non solo gli ovvi adeguamenti procedurali, ma anche una ridefinizione dei ruoli, in particolar modo nelle responsabilità e nelle pratiche di gestione.

Dal bene infrastrutturale al soggetto erogatore

La novità più significativa introdotta dalla direttiva 2557/2022 è la ridistribuzione del livello di importanza delle parti coinvolte, ossia dall’infrastruttura critica al soggetto critico.

Non si considera più soltanto l’impianto “fisico”, ma anche colui che eroga un servizio e la relativa capacità di garantirne la continuità.

La CER va a riconoscere come infrastrutture critiche 12 settori; dall’energia ai servizi sanitari, dal settore bancario alle infrastrutture digitali e i trasporti. In questa fattispecie è richiesta una valutazione organica della resilienza che consideri l’interdipendenza di altri fattori come, ad esempio, le supply chain e le implicazioni tecnologiche.

Questo mutato approccio mira a valorizzare la prospettiva aziendale elevandola a unità analitica su cui poggia la politica di resilienza nazionale.

Nelle istituzioni livelli decisionali e coordinamento settoriale

Dal lato istituzionale la direttiva CER prevede una struttura di governance multi-layer, a partire dalla Presidenza del Consiglio, passando per il Comitato interministeriale per la resilienza fino alle autorità settoriali competenti a livello di ogni singolo Ministero.

L’intento è quello di rendere centrale la strategia nazionale ma al contempo distribuirla a livello operativo nei settori attraverso linee guida, valutazioni di rischio nazionale e notifiche a tutti soggetti individuati come critici.

Questo approccio riflette appieno la natura strategica della resilienza poiché imprescindibile per gli interessi di sicurezza nazionale e la cooperazione internazionale.

Soggetti critici: obblighi pratici, valutazioni dei rischi e piani di resilienza

I soggetti critici individuati sono chiamati a concretizzare la valutazione di rischio nazionale all’interno della propria realtà aziendale attraverso la mappatura di rischi e implicazioni, predisposizione dei piani di resilienza, delle misure di protezione del perimetro fisico e tecnologico e così via.

Tra gli aspetti pratici a più elevato impatto vi è la disciplina del background check del personale impiegato all’interno delle aree sensibili, pratica che richiama molto altri modelli consolidati come quelli adottati da settori come l’aviazione.

Allo stesso tempo, la CER impone attenzione anche alle figure esterne coinvolte, ossia i fornitori che per qualsiasi motivo accedono ad aree sensibili. Essi diventano soggetti di fatto coinvolti nelle stesse regole imposte dalla direttiva per le figure critiche.

Per quanto riguarda la valutazione dei rischi, a differenza dai modelli di risk management tradizionali, la CER richiede agli Stati membri la realizzazione di ampie e pluri-dimensionali valutazioni del rischio, che includano rischi naturali, industriali, ma anche geopolitici, ibridi nonché di sabotaggio interno.

Per questo tipo di valutazioni l’accesso a fonti di intelligence civile e militare introduce vincoli sensibili sia dal punto di vista della riservatezza e che di governance delle informazioni.

Per le aziende questo significa l’obbligo di dover armonizzare le analisi di rischio interne con input informativi pubblici e scenari a livello nazionale, che potranno essere caratterizzati da elementi classificati o sensibili.

Corporate governance: responsabilità, ruoli e il ruolo del board

La CER ha un impatto sistemico sulla governance aziendale poiché non auspica soltanto empatia verso la security, ma induce un vero e proprio spostamento di responsabilità verso i vertici delle figure coinvolte.

Pur senza replicare copiosamente gli obblighi della NIS2, i quali già prevedono, in materia di cyber, specifiche responsabilità per il board , la direttiva CER istituzionalizza funzioni di security integrate nei processi decisionali.

Alla luce di questo cambio si rendono necessarie azioni come:

• integrare la resilienza nei flussi decisionali dei board e negli assetti di controllo interno;
• riconoscere e responsabilizzare la figura del security manager come trait d’union con le autorità settoriali;
• aggiornare i modelli organizzativi e di controllo allo scopo di includere scenari di rischio antropici, ibridi e geopolitici;
• rafforzare la funzione compliance e il ruolo dell’audit interno nel monitoraggio riguardo alla corretta implementazione dei piani di resilienza.

Integrazione normativa: CER, NIS2, DORA

La CER non è una normativa stand alone poiché va a collocarsi all’interno di un quadro sovrapposto che comprende sia NIS2 per la sicurezza reti e sistemi informativi che DORA nella resilienza operativa del settore finanziario.

Questa sovrapposizione si rivela un fattore critico dovuto al fatto che molte entità saranno soggette a obblighi paralleli e potenzialmente convergenti.

Ciò potrà significare una necessità di armonizzazione degli adempimenti unito a un riscontro verso autorità che però risultano diverse.

Questa criticità per le aziende richiede una governance integrata del rischio che analizzi le normative laddove esistano parametri e indicazioni eliminando ridondanze al fine di rendere coerenti e fattibili misure fisiche, organizzative e cyber.

Tuttavia, le criticità della CER non si limitano alla sovrapposizione di normative perché l’attuazione mette in evidenza anche:

1. Un recepimento variabile da nazione a nazione. Guideline e parametri per l’individuazione dei soggetti critici potrebbero differire tra Paesi, il che renderebbe più complesso l’approccio per le realtà cross‑border o comunque applicazioni o adempimenti differenti.
2. Onere amministrativo e complessità per le PMI. Molte aziende in particolare quelle nella supply chain, potrebbero non avere risorse o competenze sufficienti a rispettare la deadline della CER.
3. Il livello di riservatezza. La convergenza tra valutazioni di rischio statali (anche sensibili) e le analisi aziendali mette in luce il problema della condivisione di informazioni e protezione dei dati.
4. La necessità di competenze nuove. La valutazione dei rischi ibridi e geopolitici richiede un’esperienza non sempre presente nelle aziende. Non solo perché aspetti come le relazioni più strette con funzioni come intelligence, legal e risk management diventano requisiti necessari.
5. Implementazione dei controlli sul personale. Processi come il background check e il principio del silenzio diniego possono rendere complesso l’onboarding e impattare sull’operatività del capitale umano.

Un’opportunità per riorganizzarsi e innovare

Nonostante le complessità fin qui analizzate, la direttiva CER rappresenta a tutti gli effetti un acceleratore transizionale perché spinge a normalizzare e istituzionalizzare il concetto di security.

La resilienza viene posta così al centro della strategia aziendale e viene promosso l’investimento nei processi, nella formazione e nelle tecnologie di ultima generazione.

Per molte realtà, e per l’intero ecosistema di fornitori, l’adeguamento alla CER significherà agire per il rafforzamento della continuità del business, l’efficientamento nella protezione del valore aziendale e l’innalzamento della fiducia da parte degli stakeholder.

Alla luce di ciò saranno molteplici le azioni che dovranno essere predisposte dalle figure di riferimento e in particolare:

• L’avviamento in prima battuta di un’analisi del gap esistente tra i dati emersi a seguito della valutazione del rischio nazionale e la situazione aziendale.
• Individuare la figura di riferimento aziendale per la normativa CER a cui vengano conferiti chiari mandati e collegamenti efficaci al board.
• Ridefinizione dei processi HR per l’accesso e la verifica del personale nelle aree sensibili.
• Mappatura della supply chain critica e introduzione dei requisiti contrattuali per i fornitori.
• Integrazione dei piani di resilienza con misure cyber e piani di business continuity testati e aggiornati.

La scadenza si sta avvicinando: 9 mesi all’alba.

L’effettiva tenuta del nuovo quadro CER non si deciderà esclusivamente” sulla carta”, ma nella pratica del confronto tecnico e istituzionale.

A questo proposito, linee guida, casi d’uso e scambio di informazioni tra imprese e autorità sono necessari per tradurre i principi contenuto nella normativa in misure efficaci e sostenibili.

Uno degli elementi più rilevanti è senza dubbio la finestra temporale concessa ai soggetti critici per adeguarsi: sono soltanto nove i mesi di tempo per tutti coloro che non hanno ancora iniziato a operare per arrivare alla conformità.

Questo è un termine transitorio che la norma prevede espressamente e che rende l’orizzonte di adeguamento chiaro, ma tutt’altro che comodo, soprattutto per le realtà che dovranno riorganizzare in tempi rapidi processi, ruoli, controlli e supply chain.

La fase di implementazione è già entrata nel suo tratto decisivo e per molte aziende la vera sfida è trasformare il tempo residuo in una roadmap operativa credibile.

AIIC, l’Associazione italiana degli esperti in infrastrutture critiche, porterà contributi concreti attraverso una serie di interventi in occasione di Secsolutionforum 2026, evento che si svolgerà presso BolognaFiere il 6–7 ottobre all’interno di Urban Tech 2026 – The Urban Technology Show, l’ecosistema dedicato a e-mobility, traffic, commuting, tlc & data ed environment. Il 7 e 8 ottobre, gli esperti, i regulator e gli operatori del settore coglieranno l’occasione per discutere e confrontarsi su tematiche come gli scenari d’implementazione, sulle criticità operative e le best practice per una governance della resilienza.

Il confronto a Secsolutionforum 2026 acquista ulteriore valore poiché le tematiche della normativa CER saranno affrontate a ridosso dei termini di scadenza, in un momento in cui per imprese e professionisti non sarà più possibile rinviare le decisioni di governance e di adeguamento.

Per saperne di più consultate la pagina dell’evento.