OTTOBRE 2025
Negli ultimi mesi, il dibattito europeo sulla sicurezza delle infrastrutture critiche ha mostrato un’accelerazione evidente. Governi e istituzioni, in particolare nel Regno Unito, in Germania e nell’Unione Europea, stanno introducendo strumenti normativi sempre più articolati, nel tentativo di rispondere a un panorama di minacce che non è più delimitato da confini chiari. Chi lavora nella protezione delle infrastrutture essenziali osserva un fenomeno già noto sul campo: sistemi energetici, reti idriche, servizi sanitari, trasporti e infrastrutture digitali non sono mai stati così interdipendenti e, allo stesso tempo, così vulnerabili a interruzioni improvvise. Negli ultimi mesi, sono state emanate nel Regno Unito (settembre e novembre), in Germania (settembre) e dall’Unione Europea (settembre), nuove iniziative legislative che puntano a un aggiornamento profondo dei meccanismi di gestione del rischio. Da un lato, si rafforzano gli obblighi di segnalazione e di preparazione operativa; dall’altro, si amplia l’attenzione ai diversi tipi di minaccia non solo digitali, ma anche fisiche, ambientali e logistiche. Il principio che emerge da queste iniziative è che la resilienza non può più essere concepita come una somma di piani settoriali: deve invece diventare una capacità integrata, in grado di tenere insieme tecnologie, organizzazioni e processi. In questo contesto, uno dei temi più discussi nel Regno Unito riguarda il modo in cui gli operatori dovrebbero rispondere agli attacchi informatici più aggressivi, in particolare quelli che puntano alla paralisi dei servizi essenziali. Nel dettaglio, è stato emesso un divieto agli operatori delle “Critical National Infrastructure” (CNI) di pagare riscatti in caso di attacchi ransomware nella convinzione che ridurre la redditività delle estorsioni digitali possa scoraggiare gli attaccanti. Tuttavia, permane la discussione sulle implicazioni operative di misure così restrittive, soprattutto nei momenti in cui ogni secondo di interruzione può incidere sulla sicurezza delle persone. Parallelamente, in Germania si registra una crescente attenzione verso modelli di protezione più completi e sistemici. La normativa tedesca, volta a ''rafforzare la resilienza e le capacità di difesa delle infrastrutture critiche'', adotta un approccio “all-hazards”, richiedendo agli operatori non solo misure tecnologiche avanzate, ma anche una comprensione più ampia del contesto di rischio: dal sabotaggio fisico agli eventi naturali, fino ai problemi di supply chain. L’obiettivo è garantire che le infrastrutture critiche dispongano di piani di resilienza aggiornati e documentati, capaci di affrontare scenari che un tempo venivano considerati eccezionali e che oggi rappresentano una parte crescente della normalità operativa. A livello dell’Unione Europea, le istituzioni stanno lavorando per creare un terreno comune, facilitando la cooperazione e cercando di uniformare gli standard tra gli Stati membri. La Commissione ha infatti presentato a settembre delle nuove linee guida per aiutare gli Stati membri a implementare la Direttiva CER. L’intento dell’iniziativa è rafforzare la capacità degli Stati di affrontare interruzioni che spesso non si fermano ai confini nazionali, rendendo più semplice condividere informazioni, metodologie e procedure. Un elemento trasversale che riguarda Regno Unito, Germania e Unione Europea è la crescente esposizione dei sistemi di controllo industriale. Tecnologie operative che in passato rimanevano isolate stanno diventando sempre più connesse a reti aziendali e, in alcuni casi, anche a servizi cloud. Questa trasformazione amplia la superficie d’attacco e complica la risposta agli incidenti: un guasto in un sistema industriale può apparire come un semplice problema tecnico, pur nascondendo un’origine malevola difficile da individuare rapidamente. La sfida è particolarmente rilevante nei settori energetici e manifatturieri dei tre contesti citati, dove continuità operativa e sicurezza risultano sempre più intrecciate. Il quadro che emerge è quello di un Europa che riconosce apertamente la necessità di rafforzare le capacità di prevenzione, risposta e coordinamento. Per chi opera quotidianamente nella protezione delle infrastrutture critiche, questi sviluppi comportano un impegno crescente: aggiornare metodologie, integrare livelli di sicurezza diversi, costruire relazioni più strette tra operatori pubblici e privati. La resilienza, oggi, non è più una funzione accessoria, ma un elemento strutturale del buon funzionamento dei sistemi nazionali ed europei.
Maria Beatrice Versaci
(Newletter AIIC n. 10 (2025))
