La Direttiva CER (Critical Entities Resilience, recepita con d.lgs. 134/2024) impone agli operatori di servizi essenziali obblighi di valutazione del rischio, misure di resilienza fisica e notifica degli incidenti alle autorità competenti. Gli studi legali che assistono clienti nei settori energia, trasporti, sanità, acqua e infrastrutture digitali devono verificare subito se tali clienti rientrano nel perimetro soggettivo e quali adempimenti sono già esigibili. Il coordinamento obbligatorio con la Direttiva NIS2 aggiunge un ulteriore livello di compliance da presidiare in parallelo.
Punti chiave
- Punto 1 — Il d.lgs. 134/2024 recepisce la Direttiva CER e individua gli operatori di servizi essenziali soggetti agli obblighi.
- Punto 2 — Gli operatori critici devono adottare piani di resilienza e notificare gli incidenti entro termini perentori alle autorità.
- Punto 3 — La Direttiva CER e la NIS2 si sovrappongono: un cliente può essere soggetto a entrambi i regimi contemporaneamente.
Se assisti imprese nei settori energia, trasporti, sanità, acqua potabile, acque reflue, infrastrutture digitali o spazio, devi verificare ora se rientrano nel perimetro della Direttiva CER. Con l’avvio della Strategia nazionale per la resilienza dei soggetti critici, la fase attuativa in Italia è operativa e i clienti che risultano «operatori di servizi essenziali» hanno obblighi concreti ed esigibili: valutazione del rischio, misure di resilienza fisica e logistica, notifica degli incidenti.
La spinta arriva dall’adozione della Strategia nazionale prevista dal quadro attuativo della Direttiva CER analizzato da Agenda Digitale. Il recepimento italiano è avvenuto con il d.lgs. 134/2024, che ha dato attuazione alla Direttiva UE 2022/2557 del Parlamento europeo e del Consiglio relativa alla resilienza dei soggetti critici.
Il contesto normativo
Il riferimento centrale è il d.lgs. 4 settembre 2024, n. 134, pubblicato in G.U. n. 220 del 19 settembre 2024, che recepisce la Direttiva UE 2022/2557. L’art. 6 del decreto individua i criteri per la designazione degli operatori di servizi essenziali, mentre gli artt. 13-17 disciplinano le misure di resilienza obbligatorie, la valutazione del rischio e le procedure di notifica degli incidenti all’autorità nazionale competente (individuata nella Presidenza del Consiglio dei Ministri tramite il CISR). Il coordinamento con il d.lgs. 138/2024, che recepisce la Direttiva NIS2, è espressamente richiamato: un soggetto può essere contemporaneamente «operatore critico» ai sensi della CER e «soggetto essenziale» ai sensi della NIS2, con duplicazione degli obblighi.
Cosa cambia per lo studio
- Mappatura del perimetro soggettivo: verifica se il cliente rientra tra i settori elencati nell’allegato al d.lgs. 134/2024 (energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio). La designazione formale spetta allo Stato, ma l’operatore deve attivarsi preventivamente.
- Piano di resilienza: gli operatori designati devono adottare misure tecniche e organizzative documentate entro i termini fissati dall’autorità. Assenza di documentazione equivale a inadempimento sanzionabile.
- Obbligo di notifica degli incidenti: l’art. 15 d.lgs. 134/2024 impone la notifica «senza indebito ritardo» degli incidenti con impatto significativo sulla fornitura del servizio essenziale. Definisci con il cliente una procedura interna prima che si verifichi l’incidente, non dopo.
- Doppio binario CER-NIS2: se il cliente opera anche su reti e sistemi informativi, scatta parallelamente il d.lgs. 138/2024. Coordina le due compliance per evitare notifiche duplicate o incoerenti alle diverse autorità competenti.
- Responsabilità degli organi di amministrazione: la Direttiva CER, recepita nell’art. 18 d.lgs. 134/2024, responsabilizza esplicitamente i vertici aziendali. Aggiorna le clausole di indemnity e le deleghe di funzione nei contratti di governance che stai redigendo.
Attenzione a
Non confondere la designazione con l’auto-esclusione. Alcuni clienti ritengono di non rientrare nel perimetro CER perché non hanno ancora ricevuto notifica formale di designazione. L’art. 6 d.lgs. 134/2024 prevede però che nelle more della designazione l’operatore debba già predisporsi all’adempimento: aspettare la lettera ufficiale espone il cliente a un ritardo sanzionabile.
Non trattare CER e NIS2 come compartimenti stagni. I due decreti condividono la platea dei destinatari in larga misura, ma hanno autorità di riferimento, termini di notifica e sanzioni distinte. Un’assistenza legale che presidia solo uno dei due regimi lascia scoperta metà dell’esposizione del cliente.
Domande frequenti
Chi sono i soggetti critici obbligati dalla Direttiva CER recepita in Italia?
Il d.lgs. 134/2024 designa come soggetti critici gli operatori di servizi essenziali nei settori energia, trasporti, banche, mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio. La designazione formale spetta all’autorità nazionale, ma gli operatori che potenzialmente rientrano nell’allegato devono attivarsi preventivamente per prepararsi agli obblighi.
Quali sono le sanzioni per mancata notifica degli incidenti previste dal d.lgs. 134/2024?
Il d.lgs. 134/2024 rinvia al sistema sanzionatorio definito dall’autorità competente in sede di attuazione. La Direttiva UE 2022/2557 impone sanzioni effettive, proporzionate e dissuasive. La mancata notifica «senza indebito ritardo» di un incidente significativo costituisce inadempimento diretto, con possibile responsabilità anche degli organi di amministrazione ai sensi dell’art. 18 del decreto.
Come si coordinano gli obblighi della Direttiva CER con quelli della Direttiva NIS2 per lo stesso cliente?
Un operatore può essere contemporaneamente soggetto alla CER (d.lgs. 134/2024) per la resilienza fisica e alla NIS2 (d.lgs. 138/2024) per la sicurezza delle reti e dei sistemi informativi. Le autorità competenti sono diverse, i termini di notifica degli incidenti divergono e le sanzioni sono autonome. Serve una mappatura integrata degli obblighi per evitare notifiche incoerenti o omissioni su uno dei due fronti.
Fonte di riferimento: AgendaDigitale