La Direttiva (UE) 2022/2557 sulla resilienza delle entità critiche (Critical Entities Resilience – CER) segna un’evoluzione fondamentale nella politica di sicurezza dell’Unione Europea, collocandosi al crocevia tra protezione fisica, resilienza organizzativa e la c.d. sicurezza sistemica. Essa rappresenta una risposta strutturata all’accresciuta complessità delle minacce — naturali, tecnologiche, ibride — e alle interdipendenze che caratterizzano le infrastrutture critiche in un contesto sempre più interconnesso, digitale e geopoliticamente instabile.
Indice degli argomenti
Frammentazione normativa e necessità di coordinamento orizzontale
Il quadro normativo europeo, fino ad oggi frammentato tra discipline verticali (NIS2 per la cybersecurity, DORA per la resilienza digitale, normativa antiterrorismo, regolamenti ESG, normativa nazionale etc.), trova nella CER il tentativo di costruire una struttura orizzontale e trasversale comune per la tutela della continuità dei servizi essenziali.
Il principio ispiratore è la resilienza sistemica: non la mera reazione all’evento, ma la capacità di anticiparlo, assorbirne l’impatto e ripristinare il funzionamento con rapidità e coerenza organizzativa.
Obblighi vincolanti e strategia nazionale per la resilienza
La Direttiva introduce una serie di obblighi giuridici vincolanti per gli Stati membri, delineando un sistema multilivello di responsabilità e di cooperazione.
Ogni Stato è tenuto a predisporre una Strategia nazionale per la resilienza delle entità critiche (art. 4) e una Valutazione nazionale dei rischi (art. 5), che dovrà avere carattere “all-hazards”, integrando cioè minacce naturali, tecnologiche, intenzionali e ibride.
Questi strumenti definiscono le priorità strategiche, le soglie di rischio accettabile, i criteri di impatto e i meccanismi di coordinamento tra le diverse autorità settoriali.
Di fatto è definibile come una normazione che va finalmente a trattare olisticamente le dimensioni della Security in un perimetro transnazionale.
Criteri di identificazione delle entità critiche e proporzionalità
Sulla base della valutazione nazionale dei rischi, gli Stati devono procedere all’identificazione delle entità critiche (artt. 6–7), secondo tre criteri cumulativi: fornitura di un servizio essenziale; localizzazione e operatività sul territorio nazionale; impatto potenzialmente dirompente in caso di interruzione.
La significatività dell’impatto viene valutata considerando fattori quantitativi e qualitativi: numero di utenti diretti e indiretti, interdipendenze, impatto economico e sociale, estensione geografica, ruolo sistemico e disponibilità di alternative.
Questo approccio introduce un principio di proporzionalità informata: le misure di sicurezza richieste devono essere commisurate alla reale esposizione e criticità del soggetto designato.
Coordinamento istituzionale e processo ciclico di resilienza
Infine, la Direttiva impone un coordinamento istituzionale strutturato tra le autorità competenti, promuovendo canali sicuri di informazione, audit periodici, revisione dei piani di resilienza e miglioramento continuo.
In tal modo, la resilienza diviene un processo ciclico e dinamico, non un adempimento statico.
Linee guida della Commissione e uniformità applicativa
Con la comunicazione dell’11 settembre 2025, la Commissione Europea ha emanato le Linee guida per l’attuazione della Direttiva CER, corredate da un allegato tecnico che introduce un modello comune di reporting volontario.
Pur non essendo giuridicamente vincolanti, tali linee rappresentano un importante strumento interpretativo e metodologico per uniformare l’applicazione della Direttiva nei diversi Stati membri.
Processo in cinque fasi per l’identificazione delle entità
Le Linee guida si fondano su un processo in cinque fasi:
- definizione del settore e sottosettore;
- individuazione del servizio essenziale;
- verifica dell’operatività e della localizzazione;
- determinazione della significatività dell’impatto (criteri art. 7);
- individuazione di eventuali esclusioni (difesa, sicurezza nazionale, law enforcement).
L’approccio raccomandato è tracciabile e proporzionato: ogni decisione deve essere motivata, documentata e coerente con la strategia nazionale. Particolarmente innovativo è l’invito a estendere l’applicazione del modello anche a entità non formalmente designate, in ottica preventiva e di maturazione progressiva del sistema-Paese.
Integrazione tra resilienza fisica, digitale e ambientale
Le Linee guida promuovono inoltre la integrazione tra CER, NIS2 e strategie climatiche, riconoscendo che la resilienza fisica e quella digitale sono dimensioni interoperabili, anzi, meglio, inseparabili, così come la resilienza operativa e quella ambientale.
In tale prospettiva, la resilienza climatica diviene un elemento della resilienza critica, ponendo la continuità dei servizi essenziali anche come componente della transizione sostenibile.
Struttura e finalità del modello di reporting volontario
L’Allegato tecnico proposto dalla Commissione definisce un template comune di voluntary reporting, concepito per raccogliere e condividere informazioni sulle vulnerabilità, le misure di mitigazione e i livelli di maturità della resilienza nei diversi settori.
La struttura prevede quattro sezioni principali:
- identificazione delle tipologie di rischio e delle minacce rilevanti;
- esito della valutazione (vulnerabilità, impatti, severità);
- metodologia e lezioni apprese;
- informazioni complementari e raccomandazioni operative.
Lo scopo non è sostituire le valutazioni nazionali, ma renderle comparabili e favorire il dialogo informativo tra Stati membri e Commissione, creando una base dati armonizzata sui livelli di resilienza settoriale.
Accountability e maturità organizzativa nel reporting armonizzato
Il modello introduce elementi di accountability che anticipano una futura reportistica armonizzata a livello europeo, in linea con quanto già avviene in ambito finanziario e cyber (DORA e NIS2). L’adozione volontaria del template consente inoltre di esercitare la maturità organizzativa delle entità e di predisporre benchmark di resilienza a supporto del ciclo PDCA (Plan–Do–Check–Act).
Il settore finanziario come nodo sistemico di interconnessione
Il settore bancario e finanziario è esplicitamente incluso tra quelli critici ai sensi della Direttiva CER. Le infrastrutture dei mercati finanziari, i sistemi di pagamento, i fornitori ICT critici e gli intermediari sono considerati nodi sistemici di interconnessione economica e sociale.
In tal senso, la resilienza fisica e organizzativa del settore è un fattore di stabilità macroeconomica e di fiducia collettiva.
Complementarità operativa tra CER e DORA
La relazione tra CER e DORA è di complementarità: la CER mira alla resilienza fisica, organizzativa e intersettoriale; la DORA disciplina la resilienza digitale e ICT del sistema finanziario.
Mentre la prima guarda alla continuità dei servizi essenziali in senso ampio, la seconda si concentra sulla continuità tecnologica e la gestione del rischio ICT. Insieme, rappresentano le due colonne portanti della resilienza operativa integrata del sistema bancario europeo.
Governance unificata e dual compliance nel settore finanziario
Per gli operatori finanziari, l’applicazione combinata di CER e DORA implica la costruzione di modelli di governance unificati, nei quali la funzione di Corporate Security, quella di ICT Risk e quella di Operational Resilience cooperano secondo una logica di dual compliance.
Ciò comporta l’adozione di comitati di resilienza integrati, processi di risk assessment convergenti, architetture ridondanti, piani BC/DR coerenti e reportistica coordinata verso le diverse autorità competenti.
Paradigma della resilienza come bene pubblico condiviso
La Direttiva CER non introduce soltanto nuovi obblighi di compliance, ma propone un paradigma: la resilienza come bene pubblico condiviso e la sicurezza come infrastruttura di fiducia per l’economia e la società.
Le Linee guida e l’Allegato tecnico forniscono strumenti per tradurre tale paradigma in metodo operativo e governance misurabile. Nel settore bancario, la convergenza tra CER e DORA consente di delineare un modello di resilienza integrata — fisica, digitale e organizzativa — che rafforza la stabilità del sistema finanziario e l’affidabilità complessiva dei servizi essenziali.
Cristallizzazione normativa dell’approccio integrato alla security
In sintesi, la Direttiva rappresenta una vera e propria cristallizzazione normativa dell’approccio integrato alla sicurezza, riconoscendo – per la prima volta in ambito europeo – la necessità di trattare in modo unitario le diverse dimensioni della security: fisica, organizzativa, digitale e operativa.
Verso un quadro normativo nazionale e riconoscimento professionale
Da tempo, negli ambienti professionali e accademici del settore, si avvertiva l’esigenza di un quadro che superasse la frammentarietà delle normative volontarie (come la UNI 10459) e le interpretazioni combinate di disposizioni appartenenti ad ambiti solo parzialmente contigui, quali l’art. 2087 del Codice Civile, il D.Lgs. 81/2008 e il D.Lgs. 231/2001.
In tale prospettiva, la Direttiva CER può costituire l’occasione per un’accelerazione verso l’elaborazione di un testo normativo nazionale che, recependo pienamente le sue previsioni, definisca un quadro organico e riconosca piena dignità giuridica alla professione del security manager, valorizzandone il ruolo strategico nella governance della resilienza e della continuità operativa del sistema Paese.
