Alla Camera, per il prescritto parere parlamentare, lo schema di decreto del Presidente del Consiglio dei ministri, con i criteri tecnici e procedurali necessari per dare piena attuazione al quadro nazionale sulla resilienza dei soggetti critici, in attuazione degli artt. 9, c. 2, e 16, c. 4, del D. Lgs. 134/2024, di recepimento della Direttiva UE 2022/2557 (CER – Critical Entities Resilience).
La Relazione Illustrativa chiarisce che il D. Lgs. 134/2024 e il relativo DPCM si occupano esclusivamente della resilienza fisica ed infrastrutturale rispetto ad eventi di origine naturale o antropica (es. calamità naturali, terrorismo, sabotaggi, errori umani o degrado strutturale).
La dimensione informatica e cibernetica è infatti presidiata da normative settoriali dedicate, come la Direttiva NIS2 (D. Lgs. 138/2024) e il Regolamento DORA per il settore finanziario: in particolare, si ricorda che l’art. 10 del D. Lgs. 134/2024 e l’art. 2 della proposta di DPCM esentano dagli obblighi generali di notifica fisica e dal regime sanzionatorio ordinario i soggetti critici appartenenti ai settori bancario, delle infrastrutture dei mercati finanziari e delle infrastrutture digitali, poiché tali comparti sono autonomamente e prioritariamente regolati dalle rispettive discipline speciali (es. DORA / NIS2).
La proposta di DPCM rende operativo il sistema di tutela della Direttiva CER, consentendo alle Autorità Settoriali Competenti (ASC) di disporre di parametri tecnici ed oggettivi per identificare quali imprese ed enti siano “soggetti critici” nei 12 settori chiave, ed agli operatori di conoscere le soglie numeriche che fanno scattare l’obbligo di notificare un incidente.
Le soglie dettagliate nell’Allegato I dello schema di decreto assicurano dunque che la qualificazione di “soggetto critico” risponda a criteri trasparenti, misurabili e standardizzati su tutto il territorio nazionale: il regolamento stabilisce infatti parametri quantitativi e qualitativi precisi per ciascuno dei 12 settori individuati (energia, trasporti, salute, p.a., acqua, spazio, ecc.)
Inoltre, l’introduzione di soglie specifiche per la notifica degli incidenti (nell’Allegato II) persegue un duplice obiettivo:
- funzione selettiva: filtrare gli eventi ordinari o di scarso rilievo gestibili con la normale continuità operativa, evitando di intasare il Punto di Contatto Unico (PCU) e le ASC con segnalazioni superflue
- funzione di allerta precoce: far emergere tempestivamente gli incidenti suscettibili di produrre impatti sistemici o effetti a cascata intersettoriali, consentendo interventi di coordinamento istituzionale preventivi.
L‘obbligo di notifica scatta dunque al raggiungimento di soglie calibrate su tre dimensioni fondamentali:
- numero di utenti impattati
- durata della perturbazione
- estensione territoriale dell’evento.
L’art. 4 della proposta di decreto e l’Allegato III stabiliscono quindi la procedura e le tempistiche vincolanti di notifica dell’incidente, ovvero:
- la notifica iniziale dell’incidente deve essere eseguita entro 24 ore dalla conoscenza, attraverso un’apposita piattaforma digitale unica gestita dal Punto di Contatto Unico
- si prevede un obbligo di aggiornamento tempestivo per nuovi elementi, o entro 24 ore dalla richiesta esplicita dell’Autorità Settoriali Competenti
- su richiesta dell’ASC, il soggetto critico è tenuto a trasmettere une relazione tecnica entro 30 giorni sulle cause accertate, sull’impatto e sulle contromisure adottate.
