AGOSTO 2026 -
L'11 giugno scorso la Presidenza del Consiglio ha pubblicato la Strategia Nazionale per la Resilienza dei Soggetti Critici, dando corpo operativo al decreto legislativo 134/2024 che recepisce la Direttiva CER. E un passaggio atteso, da accogliere con soddisfazione. Ma sarebbe un errore leggerlo come un punto di arrivo. Il documento infatti apre piu che chiudere la questione piu urgente del momento: come si governa la sovrapposizione tra CER e NIS2, due regimi normativi che insistono sugli stessi operatori con logiche distinte? La domanda non e retorica. Gestori di reti energetiche, infrastrutture idriche, nodi di trasporto, operatori sanitari: un numero rilevante di soggetti CER e contestualmente destinatario degli obblighi NIS2. La CER guarda alla resilienza fisica, NIS2 alla sicurezza informatica. Il problema e che nella realta operativa la distinzione e ormai artificiale: un attacco a un sistema SCADA e anche un evento fisico, un'interruzione fisica ha conseguenze immediate sui sistemi digitali interdipendenti. Le due dimensioni non si sommano, si moltiplicano. La Strategia riconosce il nodo e istituisce un tavolo di raccordo permanente tra il Punto di Contatto Unico (PCU) e l'ACN, con l'obiettivo di garantire scambio informativo coerente e un'interpretazione armonizzata degli obblighi. L'ambizione e evitare che lo stesso operatore risponda due volte alla stessa esigenza con regole diverse. In questo quadro, la scadenza del 17 luglio per il DPCM che individuera i soggetti critici italiani acquista un peso particolare. Sapere se si e un "soggetto critico" non e un dettaglio burocratico: e la condizione necessaria per pianificare investimenti, attivare risk assessment, strutturare la governance interna. La vera sfida, tuttavia, e operativa. Qualunque coordinamento PCU-ACN si riuscira a costruire, il peso dell'integrazione CER-NIS2 ricade sulle strutture interne degli operatori: sui security manager, sui risk officer, sui responsabili della continuita . Sono loro che devono tradurre due linguaggi normativi in procedure coerenti e convincere i vertici aziendali che un piano di resilienza fisica e un piano di sicurezza informatica, da soli, non bastano. Ed e per questo che il coordinamento CER-NIS2 non e un tema istituzionale da monitorare a distanza: e un cantiere aperto che chiama direttamente in causa la nostra comunita professionale.
Maria Beatrice Versaci
(Newletter AIIC n. 06 (2026))
