Direttiva CER: Dalla Compliance alla Resilienza Operativa Prima e Dopo Luglio 2026

Le modifiche normative entrano spesso in vigore prima che le organizzazioni abbiano pienamente compreso le relative implicazioni operative. Sebbene requisiti, scadenze e terminologia risultino generalmente chiari, molte delle realtà potenzialmente interessate non hanno ancora approfondito in modo concreto l’impatto che tali disposizioni potranno avere sui processi interni e sulle attività quotidiane. È questo il caso con la Direttiva UE sulla Resilienza dei Soggetti Critici (Direttiva (UE) 2022/2557), nota come CER, che sarà recepita nel diritto nazionale e verrà applicata dai singoli Paesi UE tramite ciascuna legislazione.

Con l’avvicinarsi della scadenza del 17 luglio 2026, fissata per l’identificazione dei soggetti critici da parte degli Stati Membri dell’UE, questo articolo si propone di offrire una panoramica chiara e un quadro di riferimento utile per le organizzazioni potenzialmente interessate dalla Direttiva. Il contenuto è rivolto a dirigenti, responsabili del rischio, security manager, segretari societari e membri dei consigli di amministrazione, con l’obiettivo di supportare le valutazioni interne e le attività di pianificazione legate alle possibili implicazioni operative e organizzative introdotte dalla Direttiva CER.

Cos'è la Direttiva CER (UE) 2022/2557?

La Direttiva CER (UE) 2022/2557 è il quadro normativo europeo che mira a rafforzare la resilienza delle organizzazioni che forniscono servizi essenziali, spostando l’attenzione dalla sola protezione degli asset alla continuità operativa dei servizi anche in condizioni di crisi. La Direttiva sostituisce la precedente Direttiva sulle infrastrutture critiche del 2008 (2008/114/EC), che aveva un ambito più ristretto e si concentrava principalmente sulla protezione fisica nei settori energia e trasporti. Dal 2008 a oggi, il contesto di rischio è profondamente cambiato: pandemie, minacce ibride, sabotaggi sponsorizzati da Stati, eventi climatici estremi, interdipendenze cyber-fisiche e vulnerabilità delle catene di fornitura hanno reso il panorama delle minacce più complesso e interconnesso. Per questo motivo, il legislatore europeo ha ritenuto necessario un aggiornamento sostanziale del quadro normativo.

La CER amplia significativamente il perimetro di applicazione, estendendolo a undici settori: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio e produzione, trasformazione e distribuzione alimentare. La Direttiva adotta inoltre un approccio “all-hazards”, che considera un’ampia gamma di scenari di rischio, tra cui disastri naturali, terrorismo, minacce interne, sabotaggio, attacchi ibridi, pandemie e incidenti, invece di concentrarsi su singole tipologie di minaccia.

La CER si inserisce e si coordina con altri principali framework europei in materia di resilienza. La Direttiva NIS2 si concentra sulla sicurezza informatica e sulla resilienza delle reti e dei sistemi informativi, mentre il regolamento DORA riguarda specificamente la resilienza operativa digitale nel settore finanziario. In base al settore e al modello operativo, alcune organizzazioni possono rientrare nell’ambito di applicazione di più normative contemporaneamente, rendendo fondamentale un approccio coordinato per evitare sovrapposizioni e duplicazioni nei processi di conformità.

Qual è la tempistica di implementazione della Direttiva CER?

Entro il 17 luglio 2026, gli Stati Membri dell’UE dovranno aver identificato le organizzazioni presenti sul proprio territorio che rientrano nella definizione di “soggetti critici” ai sensi della Direttiva CER. A partire dalla notifica ufficiale, le organizzazioni interessate avranno dieci mesi di tempo per raggiungere la conformità ai requisiti previsti dalla Direttiva. Per molte realtà, ciò comporterà l’adeguamento di processi, strutture e modelli di governance legati alla gestione del rischio, alla continuità operativa e alla gestione delle crisi. Si tratta di una finestra temporale relativamente limitata, soprattutto considerando la complessità e l’impatto organizzativo che programmi di questo tipo possono comportare.

Di seguito sono riportate le principali tappe previste per l’attuazione della Direttiva. È importante sottolineare che tempistiche, modalità di supervisione e approcci di enforcement potranno variare tra i diversi Stati Membri, in funzione delle rispettive normative nazionali di recepimento:

• 14 dicembre 2022: Adozione della Direttiva CER.
• 17 ottobre 2024: Termine previsto per il recepimento della Direttiva da parte degli Stati Membri. In molti casi, tuttavia, le normative nazionali risultano ancora in fase di definizione o approvazione.
• 17 gennaio 2026: Gli Stati Membri dovranno aver adottato la propria strategia nazionale di resilienza e completato la valutazione del rischio a livello nazionale.
• 17 luglio 2026: Termine entro il quale dovranno essere identificati e notificati i soggetti critici.
• Entro 10 mesi dalla notifica: Le organizzazioni designate dovranno conformarsi agli obblighi previsti dalla Direttiva. Per le notifiche effettuate a luglio 2026, la scadenza si collocherebbe indicativamente intorno a maggio 2027.

La Direttiva CER si applica alla mia organizzazione e cosa significa la "designazione come soggetto critico"?

La Direttiva trova applicazione concreta nel momento in cui un’autorità nazionale competente identifica e notifica formalmente un’organizzazione come “soggetto critico”, in ragione dell’erogazione di servizi essenziali in uno dei settori coperti dalla normativa. Le organizzazioni che operano in più Stati Membri dell’UE potrebbero essere soggette a valutazioni in diverse giurisdizioni. Tuttavia, criteri di designazione, modalità applicative e obblighi specifici potranno differire in base alle decisioni delle autorità nazionali competenti e alle disposizioni introdotte dalle singole legislazioni nazionali di recepimento.

Cosa comporta la finestra di conformità di 10 mesi per la preparazione alla CER?

Entro il 17 luglio 2026, gli Stati Membri dell’UE dovranno aver identificato i soggetti critici ai sensi della Direttiva CER. A seguito della notifica ufficiale, le organizzazioni interessate avranno generalmente a disposizione una finestra temporale di dieci mesi per dimostrare la propria conformità ai requisiti previsti dalla normativa. I prossimi dodici-diciotto mesi rappresenteranno quindi una fase cruciale, in cui gli obblighi previsti dalla Direttiva inizieranno a tradursi in attività operative concrete. È un’evoluzione che molte organizzazioni stanno già iniziando a osservare, sia attraverso le prime indicazioni delle autorità competenti sia nell’ambito delle proprie attività di preparazione interna.

Nel corso dei prossimi mesi, le autorità nazionali saranno chiamate a finalizzare le metodologie utilizzate per identificare i soggetti critici, definendo criteri e soglie per valutare il potenziale “effetto perturbatore significativo” sulla continuità dei servizi essenziali. Alcuni Stati Membri stanno già avviando confronti informali con gli operatori interessati, mentre altri mantengono un approccio più riservato. In diversi Paesi, le prime notifiche potrebbero iniziare a essere inviate già tra la primavera e l’estate del 2026. Per le organizzazioni multinazionali, è probabile che tempi, contenuti e modalità delle comunicazioni differiscano da una giurisdizione all’altra.

Quali attività sono generalmente richieste dopo la notifica?

Una volta notificata, l’organizzazione acquisisce formalmente lo status di “soggetto critico” e sarà normalmente tenuta ad adottare una serie di misure per dimostrare la conformità alla Direttiva entro la finestra dei dieci mesi. Tra le principali attività attese rientrano:

• La conduzione di una valutazione del rischio di natura sistemica, che tenga conto dei principali rischi naturali e antropici, incluse minacce interne, sabotaggi, emergenze sanitarie e minacce ibride, con aggiornamenti periodici o a fronte di cambiamenti rilevanti del contesto.
• L’implementazione di misure tecniche, organizzative e di sicurezza adeguate e proporzionate a garantire la resilienza operativa, incluse attività di prevenzione degli incidenti, garanzia di adeguate misure di protezione fisica, capacità di risposta e contenimento degli eventi, ripristino delle attività, gestione della sicurezza del personale (inclusi i controlli sui precedenti per i ruoli sensibili) e promozione della consapevolezza tra i dipendenti.
• La designazione di un referente o punto di contatto nei confronti dell’autorità competente.
• La predisposizione di procedure per la notifica degli incidenti significativi, generalmente entro 24 ore dal momento in cui se ne viene a conoscenza, seguiti da una segnalazione più dettagliata (di norma entro un mese), secondo quanto previsto dalle normative nazionali di recepimento, qualora tali eventi compromettano o possano compromettere l’erogazione di servizi essenziali.
• La preparazione a eventuali audit, richieste informative o ispezioni da parte delle autorità competenti.
• Per le organizzazioni operative in sei o più Stati Membri, la possibile applicazione di forme aggiuntive di coordinamento e supervisione a livello europeo, in qualità di soggetti critici di particolare rilevanza europea.

Gli obblighi specifici e le relative modalità di attuazione dipenderanno dalle singole normative nazionali di recepimento.

Anche il regime sanzionatorio sarà definito a livello nazionale, nel rispetto del principio europeo secondo cui le sanzioni devono essere efficaci, proporzionate e dissuasive. In diversi Stati Membri stanno emergendo orientamenti che prevedono impatti economici significativi. Tuttavia, per molte organizzazioni, le conseguenze più rilevanti potrebbero essere quelle reputazionali e operative derivanti da una situazione di non conformità, soprattutto nel contesto di un incidente reale o di un’interruzione dei servizi essenziali.

Come si configura la resilienza operativa nell'ambito della CER?

Esiste il rischio di interpretare la Direttiva CER come un semplice esercizio di conformità normativa. In realtà, la Direttiva pone una forte enfasi sulla resilienza operativa, sulla governance e sulla capacità decisionale delle organizzazioni in situazioni di crisi.

Più che un framework puramente tecnico o di sicurezza, la CER rappresenta un framework di governance della resilienza. L’obiettivo non è soltanto verificare l’esistenza di policy, procedure o valutazioni del rischio, ma comprendere se un’organizzazione sia realmente in grado di assorbire, gestire e superare una grave interruzione dei servizi essenziali. Questo implica valutare non solo gli strumenti e i controlli adottati, ma anche la maturità dei processi decisionali, il coordinamento tra funzioni aziendali, la chiarezza delle responsabilità e la capacità del management di operare efficacemente sotto pressione. Una valutazione del rischio formalmente completa, ma non integrata nei processi decisionali e operativi dell’organizzazione, difficilmente sarà considerata sufficiente nel lungo periodo, e ancor meno lo sarà nel contesto di una crisi reale.

Quale impatto può avere la CER sulla gestione delle crisi e sulla business continuity?

Le organizzazioni che stanno affrontando questo percorso in modo più efficace condividono generalmente alcuni elementi comuni.

Innanzitutto, tendono a utilizzare la CER come occasione per integrare programmi spesso gestiti separatamente (business continuity, crisis management, sicurezza fisica, gestione delle minacce interne, supply chain risk management e disaster recovery) all’interno di un’unica strategia di resilienza coordinata, supportata da una governance chiara e da una sponsorship a livello executive.

In secondo luogo, molte organizzazioni stanno allineando le proprie iniziative ai principali standard internazionali di riferimento, come ISO 22301, ISO 22361 e ISO 31030, utilizzandoli come framework pratici per strutturare processi, responsabilità e livelli di maturità.

Un ulteriore elemento distintivo riguarda l’investimento in esercitazioni e simulazioni realistiche, progettate non per confermare che i piani funzionino sulla carta, ma per mettere realmente sotto pressione processi decisionali, coordinamento interno e capacità di risposta. In questo contesto, il coinvolgimento del board e del top management assume un ruolo centrale, affinché ruoli, responsabilità e meccanismi di escalation siano già chiari prima di un evento critico.

CER vs NIS2 vs DORA: dove possono emergere sovrapposizioni e criticità?

Molte organizzazioni potrebbero rientrare contemporaneamente nell’ambito di applicazione della CER, della Direttiva NIS2 e, in alcuni casi, del regolamento DORA. Questo scenario rende fondamentale un approccio coordinato alla resilienza e alla conformità normativa.

Uno degli errori più frequenti consiste nel trattare la CER come un progetto esclusivamente legale o documentale, delegandolo a una singola funzione aziendale e limitandosi alla produzione di policy e documentazione formale. Un approccio di questo tipo rischia di generare conformità “sulla carta”, senza tradursi in un reale rafforzamento della resilienza operativa.

Un’altra criticità ricorrente riguarda la gestione separata dei diversi framework normativi. Processi paralleli e non coordinati possono creare duplicazioni, inefficienze e zone grigie nelle responsabilità, soprattutto nei punti di intersezione tra sicurezza fisica, resilienza operativa e cybersecurity.

Vi è inoltre il rischio di concentrare le iniziative esclusivamente a livello corporate, senza tradurle in capacità operative concrete nei siti in cui i servizi essenziali vengono effettivamente erogati, come impianti produttivi, data center, hub logistici, ospedali o infrastrutture critiche territoriali.

Infine, molte organizzazioni tendono a sottovalutare la maturità della propria capacità di gestione delle crisi. Disporre di registri dei rischi e procedure formalizzate non equivale necessariamente ad avere una reale capacità di risposta. La resilienza si misura anche nella capacità di riconoscere rapidamente segnali di crisi, attivare le corrette strutture decisionali, coordinare stakeholder interni ed esterni, prendere decisioni in condizioni di incertezza e mantenere comunicazioni efficaci sotto pressione. Sono competenze che richiedono preparazione, coordinamento ed esercitazione continua — e che spesso emergono come punti di debolezza nei primi test reali.

L'importanza della preparedness come componente chiave della conformità CER

Da oltre quarant’anni supportiamo organizzazioni di diversi settori e aree geografiche nella gestione delle crisi e nel rafforzamento della resilienza operativa. Oggi il contesto di rischio è cambiato profondamente: gli ecosistemi in cui le organizzazioni operano sono oggi più interconnessi, più esposti a tensioni geopolitiche, cyber e operative, e meno tolleranti rispetto alle interruzioni dei servizi essenziali. In molti aspetti, la Direttiva CER rappresenta la traduzione normativa di questa nuova realtà. La preparedness, intesa come capacità di prepararsi, reagire e adattarsi efficacemente a situazioni di crisi, è diventata una componente centrale della leadership organizzativa e della resilienza operativa.

Dalla nostra esperienza, le organizzazioni che affrontano con maggiore efficacia questo scenario condividono alcuni elementi distintivi:

• La resilienza viene trattata come una responsabilità strategica e manageriale, non come un tema confinato a una singola funzione aziendale. Quando la resilienza viene delegata esclusivamente a un dipartimento, tende inevitabilmente a perdere efficacia e capacità di coordinamento.
• La qualità delle decisioni prese durante una crisi dipende dal lavoro svolto in anticipo: dalla chiarezza delle responsabilità, dalla fiducia tra le funzioni coinvolte e dalla capacità del leadership team di operare in modo coordinato sotto pressione.
• Molte organizzazioni continuano a sottovalutare il rischio derivante dalle connessioni tra persone, fornitori, sistemi, dati, partner esterni e aree geografiche. Comprendere e mappare queste dipendenze è oggi fondamentale tanto quanto proteggere gli asset critici.
• Infine, le organizzazioni più mature adottano un approccio strutturato all’apprendimento post-incidente. Le attività di debriefing e analisi successive a una crisi rappresentano uno degli strumenti più efficaci per rafforzare la resilienza nel tempo, soprattutto quando consentono di affrontare in modo trasparente criticità organizzative, decisionali e operative.

Come accelerare la preparazione alla conformità CER?

In vista delle prossime scadenze normative, le organizzazioni possono valutare diverse iniziative per rafforzare il proprio livello di preparedness e resilienza operativa, in funzione del settore di appartenenza, del profilo di rischio e del contesto regolatorio applicabile. Tra le principali attività rientrano:

• Readiness assessment e gap analysis rispetto ai requisiti della Direttiva CER e della relativa normativa nazionale di recepimento, con riferimento ai principali standard internazionali come ISO 22301, ISO 22361 e ISO 31030.
• Valutazioni del rischio “all-hazards” focalizzate sui servizi essenziali, sui siti operativi e sulle interdipendenze critiche, incluse minacce interne, cyber e ibride.
• Progettazione o rafforzamento dei programmi di crisis management e resilienza operativa, inclusi framework decisionali, governance, playbook, simulazioni executive e processi di apprendimento post-evento.
• Sviluppo e implementazione di piani di resilienza e continuità operativa, comprese le misure organizzative, fisiche e relative alla sicurezza del personale richieste dalla Direttiva.
• Definizione dei processi di incident notification e delle catene di escalation, per garantire la capacità di segnalare tempestivamente incidenti significativi alle autorità competenti.
• Briefing e attività di sensibilizzazione rivolti a board ed executive team, per allineare il management sulle responsabilità e sulle aspettative normative.
• Coordinamento integrato delle iniziative legate a CER, NIS2 e, ove applicabile, DORA, al fine di evitare duplicazioni e creare sinergie tra i diversi programmi di compliance e resilienza.

Come possiamo supportare la vostra organizzazione?

Supportiamo organizzazioni di diversi settori e aree geografiche nel rafforzamento delle capacità di gestione delle crisi e di resilienza operativa con un approccio orientato alla preparedness concreta e alle reali esigenze operative.

Partecipa al nostro webinar dedicato alla Direttiva CER insieme ai nostri esperti di Crisis Management. Nel corso della sessione verranno condivise prospettive pratiche e multidisciplinari sulla Direttiva, approfondendo come le organizzazioni stanno affrontando il tema della resilienza operativa in vista delle scadenze previste per il 2026.

Se la vostra organizzazione potrebbe rientrare nell’ambito di applicazione della CER, o desidera rafforzare il proprio approccio alla gestione delle crisi e alla resilienza operativa, saremo lieti di avviare un confronto. Con l’avvicinarsi delle scadenze normative, sempre più organizzazioni stanno concentrando i propri sforzi sul rafforzamento della preparedness e sull’adeguamento dei propri modelli di resilienza.

Disclaimer: Il presente articolo fornisce una panoramica generale della Direttiva UE sulla resilienza dei soggetti critici (CER) e non costituisce consulenza legale o regolamentare. Le organizzazioni dovrebbero valutare le proprie specifiche circostanze e fare riferimento alle normative nazionali applicabili, richiedendo ove necessario un supporto professionale dedicato.