La Strategia Nazionale per la Resilienza dei soggetti critici, adottata in attuazione del d.lgs. 134/2024 (recepimento della Direttiva CER 2022/2557/UE), fissa obiettivi, misure e scadenze per gli operatori nei settori essenziali. Gli studi che assistono imprese in energia, trasporti, acqua, infrastrutture digitali e settori bancari devono mappare subito quali clienti rientrano nel perimetro e quali adempimenti scattano nei prossimi mesi. Il coordinamento obbligatorio con il regime NIS2 — disciplinato dal d.lgs. 138/2024 — rende la compliance un lavoro trasversale che tocca sia la sicurezza fisica sia quella cibernetica.
Punti chiave
- Punto 1 — Il d.lgs. 134/2024 recepisce la Direttiva CER e attiva obblighi per i soggetti critici nei settori essenziali.
- Punto 2 — La Strategia Nazionale coordina CER e NIS2, obbligando molti operatori a gestire due regimi in parallelo.
- Punto 3 — L’elenco ufficiale dei soggetti critici non è ancora pubblicato: le imprese devono autovalutarsi fin d’ora.
Gli studi che assistono operatori nei settori energia, trasporti, acqua potabile, infrastrutture digitali, bancario e sanitario hanno ora una roadmap normativa concreta da seguire. La Strategia Nazionale per la Resilienza dei soggetti critici — adottata in esecuzione del d.lgs. 134/2024 — non è un documento programmatico generico: fissa obblighi, misure di sicurezza fisica e scadenze di attuazione che producono responsabilità dirette in capo agli operatori e, di riflesso, spazi di consulenza immediati per chi li assiste.
La notizia arriva da Agenda Digitale, che ha analizzato i contenuti della Strategia Nazionale CER evidenziando il coordinamento con NIS2, le interdipendenze settoriali, la questione delle infrastrutture subacquee, l’attenzione alle PMI e la prossima pubblicazione dell’elenco ufficiale dei soggetti critici.
Il contesto normativo
Il quadro normativo si regge su tre pilastri. La Direttiva UE 2022/2557 (CER — Critical Entities Resilience) ha imposto agli Stati membri di adottare una strategia nazionale entro il 17 gennaio 2024 e di identificare i soggetti critici entro il 17 luglio 2026. L’Italia ha recepito la direttiva con il d.lgs. 134/2024, che all’art. 6 disciplina gli obblighi di resilienza degli operatori e all’art. 12 il procedimento di identificazione dei soggetti critici. Il d.lgs. 138/2024, che recepisce la Direttiva NIS2 (2022/2555/UE), si sovrappone parzialmente al perimetro CER: l’art. 3 del d.lgs. 138/2024 definisce i soggetti essenziali e importanti, e molti operatori ricadono in entrambi i regimi con obblighi distinti ma coordinati.
La Strategia Nazionale funge da atto di indirizzo vincolante per le autorità settoriali competenti — MIMIT, MIT, Ministero della Salute, Banca d’Italia — che devono tradurla in prescrizioni operative. Le imprese non possono aspettare la pubblicazione dell’elenco ufficiale per avviare la propria analisi del rischio.
Cosa cambia per lo studio
- Autovalutazione del perimetro CER. Fino alla pubblicazione dell’elenco ufficiale ex art. 12 d.lgs. 134/2024, ogni operatore nei settori elencati nell’Allegato I deve autovalutarsi. Il consiglio pratico: avviare subito una gap analysis rispetto agli obblighi di resilienza dell’art. 6, senza attendere la notifica ufficiale.
- Doppia compliance CER + NIS2. Chi rientra in entrambi i regimi deve gestire due set di obblighi con autorità di vigilanza diverse. La Strategia Nazionale prevede meccanismi di coordinamento, ma le responsabilità giuridiche restano distinte: un inadempimento NIS2 non è sanato dalla compliance CER e viceversa.
- Infrastrutture subacquee e PMI nel mirino. La Strategia introduce attenzione specifica ai cavi e gasdotti sottomarini — settore finora poco normato — e alle PMI che operano nella supply chain di soggetti critici. Gli studi che assistono fornitori di operatori energetici o di telecomunicazioni devono verificare l’estensione degli obblighi per via contrattuale.
- Interdipendenze settoriali e responsabilità a cascata. La Strategia riconosce esplicitamente le interdipendenze tra settori: un’interruzione nel comparto energetico può qualificarsi come incidente rilevante anche per un operatore del settore idrico. Questo amplia il perimetro di rischio legale e la necessità di clausole contrattuali ad hoc.
- Scadenze da presidiare. L’identificazione ufficiale dei soggetti critici deve completarsi entro il 17 luglio 2026. Da quella data decorrono gli obblighi di notifica degli incidenti e di adozione delle misure di sicurezza fisica previste dall’art. 6 d.lgs. 134/2024. Segnare la data in agenda e strutturare per tempo i contratti di consulenza continuativa.
Attenzione a
Non confondere CER e NIS2 come regimi alternativi. Un errore ricorrente è trattare i due decreti come se si escludessero a vicenda. In realtà, l’art. 3 d.lgs. 138/2024 e l’art. 12 d.lgs. 134/2024 possono identificare lo stesso operatore con obblighi cumulativi. Consigliare al cliente di scegliere uno solo dei due percorsi di adeguamento espone lo studio a responsabilità professionali concrete.
Non sottovalutare le PMI nella catena di fornitura. La Strategia Nazionale nomina esplicitamente le piccole e medie imprese fornitrici di soggetti critici. Un contratto di fornitura che non contenga clausole di resilienza e continuità operativa può diventare fonte di inadempimento contrattuale o di responsabilità extracontrattuale nel momento in cui un incidente del fornitore impatta sul soggetto critico committente.
Domande frequenti
Quali settori rientrano nel perimetro del d.lgs. 134/2024 sulla resilienza dei soggetti critici?
L’Allegato I del d.lgs. 134/2024 elenca undici settori: energia, trasporti, bancario, infrastrutture dei mercati finanziari, salute, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, spazio e pubblica amministrazione. Ogni operatore che svolge un servizio essenziale in uno di questi settori deve verificare se rientra nel perimetro, anche prima della pubblicazione dell’elenco ufficiale prevista entro il 17 luglio 2026.
Un’impresa soggetta a NIS2 deve adeguarsi anche alla normativa CER?
Sì, i due regimi sono cumulativi e non alternativi. Il d.lgs. 138/2024 (NIS2) disciplina la sicurezza informatica, mentre il d.lgs. 134/2024 (CER) si occupa della resilienza fisica. Un operatore può ricadere in entrambi i perimetri con obblighi distinti verso autorità di vigilanza diverse. La Strategia Nazionale prevede meccanismi di coordinamento, ma le sanzioni restano separate.
Cosa rischia un’impresa che non si adegua agli obblighi CER entro le scadenze previste?
Il d.lgs. 134/2024 prevede sanzioni amministrative per il mancato rispetto degli obblighi di resilienza e di notifica degli incidenti. Le autorità settoriali competenti — MIMIT, MIT, Ministero della Salute — possono irrogare misure correttive, diffide e sanzioni pecuniarie. Il ritardo nell’adeguamento espone inoltre l’operatore a responsabilità contrattuale verso i soggetti che dipendono dalla continuità del servizio.
Fonte di riferimento: AgendaDigitale