Le direttive CER (2022/2557/UE) e NIS2 (2022/2555/UE) impongono obblighi di resilienza agli operatori di infrastrutture critiche, ma non contemplano esplicitamente minacce ibride come attacchi con droni o sabotaggio subacqueo. In Italia, il d.lgs. 134/2024 recepisce la CER e individua le autorità competenti per settore, ma lascia agli operatori la responsabilità di valutare autonomamente scenari di rischio non convenzionali. Un avvocato che assiste questi soggetti deve già oggi verificare se i piani di resilienza approvati coprono minacce ibride, pena l’esposizione del cliente a sanzioni e responsabilità civile.
Punti chiave
- Punto 1 — Il d.lgs. 134/2024 recepisce la CER ma non elenca esplicitamente le minacce ibride tra i rischi da coprire.
- Punto 2 — Gli operatori critici hanno 21 mesi dall’individuazione per adottare misure di resilienza adeguate.
- Punto 3 — NIS2 e CER si sovrappongono per energia e trasporti: il cliente potrebbe rispondere a due regimi sanzionatori distinti.
Se assisti operatori di reti energetiche, gasdotti, cavi sottomarini o infrastrutture di trasporto, devi sapere che i piani di resilienza oggi in vigore potrebbero non reggere a un controllo amministrativo successivo a un incidente di natura ibrida. Il caso Neptun Deep nel Mar Nero — dove mine e droni hanno messo sotto pressione impianti offshore — non è uno scenario fantascientifico: è già materiale di valutazione del rischio che le autorità nazionali possono richiamare in sede ispettiva.
L’incidente ha riacceso il dibattito europeo sull’adeguatezza della Direttiva CER (Critical Entities Resilience, 2022/2557/UE) e della Direttiva NIS2 (2022/2555/UE) di fronte a minacce ibride che combinano azioni militari non dichiarate, sabotaggi fisici e attacchi cyber. L’analisi completa è pubblicata da Agenda Digitale.
Il contesto normativo
In Italia, la Direttiva CER è stata recepita con il d.lgs. 4 settembre 2024, n. 134, in vigore dal 16 ottobre 2024. L’art. 6 del decreto impone agli operatori individuati dalle autorità competenti di effettuare una valutazione del rischio entro 9 mesi dalla notifica e di adottare misure di resilienza entro ulteriori 12 mesi. Il testo richiama «tutti i rischi rilevanti», formula volutamente ampia che include — almeno in teoria — eventi geopolitici e minacce non convenzionali.
La NIS2, recepita con il d.lgs. 4 settembre 2024, n. 138, si sovrappone alla CER per i settori energia e trasporti: gli stessi soggetti possono ricadere sotto entrambi i regimi. L’art. 23 del d.lgs. 138/2024 fissa obblighi di notifica degli incidenti significativi entro 24 ore (preallarme) e 72 ore (notifica completa) all’ACN. Le sanzioni arrivano fino al 2% del fatturato mondiale annuo per i soggetti essenziali.
Sul piano della responsabilità civile, la mancata adozione di misure adeguate può integrare una condotta colposa rilevante ai sensi dell’art. 2043 c.c., con esposizione verso terzi danneggiati da un incidente che un piano di resilienza adeguato avrebbe potuto prevenire o mitigare.
Cosa cambia per lo studio
- Revisione dei piani di resilienza esistenti. Verifica che il piano del cliente menzioni esplicitamente minacce fisiche non convenzionali (droni, sabotaggio subacqueo, attacchi combinati). Un piano che copre solo cyber o calamità naturali non è più difendibile come «adeguato» dopo gli episodi del Mar Baltico e del Mar Nero.
- Doppio regime CER-NIS2. Per i clienti nei settori energia, gas e trasporti marittimi, mappa subito quale autorità competente li sovraintende per ciascuna direttiva e quali obblighi si cumulano. Evita che il cliente risponda a due procedimenti paralleli per lo stesso fatto.
- Scadenze da calendario. Gli operatori individuati dal 16 ottobre 2024 hanno 9 mesi per la valutazione del rischio e 21 mesi complessivi per le misure: rispettivamente luglio 2025 e luglio 2026. Se il cliente è già in ritardo, l’esposizione sanzionatoria è attiva ora.
- Clausole contrattuali nei contratti di fornitura. Chi gestisce infrastrutture critiche in appalto o concessione deve verificare che i contratti in corso allochino chiaramente responsabilità e obblighi di notifica in caso di incidente ibrido. Le clausole di forza maggiore standard non coprono automaticamente questi eventi.
- Coordinamento con le autorità di settore. ACN, MIMIT e MIT hanno ruoli distinti sotto CER e NIS2. Un errore di interlocuzione — notificare all’autorità sbagliata — non sospende i termini né esonera dalla sanzione.
Attenzione a
Non confondere resilienza fisica e sicurezza cyber. Molti clienti hanno già adottato misure NIS2-compliant sul perimetro IT, ma trascurano la resilienza fisica richiesta dalla CER. Le due cose non si sostituiscono: un audit cyber non certifica la protezione contro un attacco fisico. Le autorità competenti le valuteranno separatamente.
La formula «tutti i rischi rilevanti» è una trappola aperta. L’art. 6 d.lgs. 134/2024 lascia all’operatore la discrezionalità nella valutazione, ma questa stessa discrezionalità diventa un elemento di colpa se il rischio era prevedibile e non è stato considerato. Dopo gli incidenti noti agli oleodotti e ai cavi nel Mar Baltico, un’autorità giudiziaria o amministrativa troverà difficile accettare che il sabotaggio fisico non fosse un rischio «rilevante».
Domande frequenti
Quali sono le scadenze del d.lgs. 134/2024 per gli operatori di infrastrutture critiche?
Gli operatori individuati dalle autorità competenti hanno 9 mesi dalla notifica per completare la valutazione del rischio e 21 mesi complessivi per adottare le misure di resilienza. Per chi è stato notificato a partire dal 16 ottobre 2024, le scadenze cadono rispettivamente a luglio 2025 e luglio 2026. Il mancato rispetto espone già oggi a procedimenti sanzionatori.
Un operatore già conforme a NIS2 è automaticamente conforme anche alla direttiva CER?
No. NIS2 e CER hanno oggetti distinti: NIS2 riguarda la sicurezza delle reti e dei sistemi informativi, CER la resilienza fisica dell’entità critica nel suo complesso. Per i settori energia e trasporti entrambe si applicano in parallelo. La conformità a una non sostituisce gli obblighi dell’altra, e le autorità competenti possono condurre verifiche separate.
Un operatore di infrastrutture critiche risponde civilmente verso terzi per danni da incidente ibrido?
Sì, se si dimostra che l’operatore non aveva adottato misure di resilienza adeguate pur essendo il rischio prevedibile. La responsabilità può fondarsi sull’art. 2043 c.c. per fatto illecito colposo. Dopo gli incidenti noti nel Mar Baltico e nel Mar Nero, la prevedibilità di attacchi fisici non convenzionali a infrastrutture offshore è difficilmente contestabile.
Fonte di riferimento: AgendaDigitale