Resilienza, non è solo una parola: cosa cambia con la Direttiva CER

Negli ultimi anni abbiamo toccato con mano quanto possano essere fragili le infrastrutture che sostengono la nostra vita quotidiana: energia, trasporti, acqua, sanità, comunicazioni.

Un blackout, un attacco informatico o un evento estremo possono avere ripercussioni su ampia scala, ben oltre il perimetro dell’azienda direttamente coinvolta.

Da questa consapevolezza nasce la Direttiva CER, recepita in Italia con il D.Lgs. 134/2024, che mira a rendere più forti e pronti i cosiddetti “soggetti critici”: quelle realtà che, per il tipo di servizi che offrono, risultano essenziali per tutti noi.

Ambito di applicazione della Direttiva CER

Si applica a settori e sotto settori critici come:

Settore critico	Autorità di Settore (ASC)
Energia	Ministero dell’ambiente e della sicurezza energetica
Trasporti	Ministero delle infrastrutture e dei trasporti
Bancario	Ministero dell’economia e delle finanze
Infrastrutture dei mercati finanziari	Ministero dell’economia e delle finanze
Salute	Ministero della salute
Acqua potabile	Ministero dell’ambiente e della sicurezza energetica
Acque reflue	Ministero dell’ambiente e della sicurezza energetica
Acque irrigue	Ministero delle infrastrutture e dei trasporti
Infrastrutture digitali	Agenzia per cybersicurezza nazionale in collaborazione con il Ministero delle imprese de le made in Italy.
Produzione, trasformazione e distribuzione degli alimenti	Ministero dell’agricoltura, della sovranità alimentare e delle foreste.
Enti della pubblica amministrazione	Le amministrazioni designare come ASC sono designate come tali rispettivamente ai settori di competenza.
Spazio	Presidenza del Consiglio dei ministri

Ogni settore ha una propria Autorità di Settore (ASC) che identifica i soggetti critici.
Alcuni settori (bancario, mercati finanziari, infrastrutture digitali) sono esclusi perché già regolati da normative dedicate.

Qual è lo scopo della Direttiva CER?

Rafforzare la capacità dei soggetti critici di garantire la continuità dei servizi essenziali, anche in caso di gravi emergenze o minacce.

Obblighi principali per i soggetti critici

Se fai parte di un’organizzazione che rientra tra quelle individuate, ecco cosa ti aspetta:

Valutare i rischi reali per la tua attività
Mettere in campo misure di sicurezza tecniche, fisiche e organizzative
Scrivere un Piano di resilienza aggiornato ogni 3 anni
Notificare gli incidenti gravi alle autorità competenti

Non è solo burocrazia: è uno sforzo concreto per migliorare la capacità di affrontare eventi imprevisti e tutelare il bene pubblico.

Scadenze chiave

Entro luglio 2025: pubblicazione della Strategia nazionale per la resilienza e della valutazione del rischio da parte dello Stato.
Gennaio 2026: le autorità settoriali comunicano al governo i soggetti critici.
Luglio 2026: pubblicazione dell’elenco ufficiale e notifica ai soggetti coinvolti.
10 mesi dopo la notifica: i soggetti critici dovranno essere pienamente conformi.

Se non mi adeguo?

Le sanzioni non sono simboliche e vanno da 25.000 a 125.000€ a seconda della gravità della violazione, ad esempio:

Mancata valutazione del rischio
Mancata adozione delle misure di sicurezza
Mancata notifica di incidenti
Inadempimento a una diffida

In sintesi

Questa direttiva ci ricorda una cosa semplice ma fondamentale: resistere alle crisi non è più un’opzione, è un dovere. Per le aziende coinvolte significa fare un salto di qualità in termini di preparazione, consapevolezza e responsabilità verso la collettività.

Se operi in uno dei settori interessati, inizia subito a chiederti:

Abbiamo già una mappa dei nostri rischi?
I nostri piani di emergenza sono aggiornati?
Il nostro personale è formato e consapevole?

Se hai bisogno di un supporto, contattaci: https://www.intuity.it/cybersecurity-padova-azienda-cyber-security/