Direttiva 2022/2557

Direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici

La direttiva istituisce un quadro comune dell’Unione per rafforzare la resilienza dei soggetti critici che forniscono servizi essenziali nel mercato interno. Il legislatore europeo muove dalla constatazione che le infrastrutture e i servizi essenziali sono sempre più interdipendenti, esposti a rischi fisici, ibridi, terroristicI, climatici e di altra origine umana, e che approcci nazionali frammentati generano livelli disomogenei di protezione e oneri transfrontalieri.

Finalità e logica di armonizzazione

La direttiva mira a garantire la continuità di servizi essenziali per il mantenimento di funzioni vitali della società e di attività economiche, rafforzando al contempo il funzionamento del mercato interno. Si tratta di un atto di armonizzazione minima: gli Stati membri possono mantenere o introdurre misure più rigorose, purché compatibili con il diritto dell’Unione. La direttiva opera in coordinamento con la direttiva (UE) 2022/2555 sulla cibersicurezza, dalla quale distingue le materie coperte e rispetto alla quale evita duplicazioni, soprattutto per i settori digitali.

Ambito di applicazione e esclusioni

La disciplina si applica ai soggetti pubblici o privati individuati dagli Stati membri come "soggetti critici" tra quelli elencati nell’allegato, in settori quali energia, trasporti, banche, infrastrutture dei mercati finanziari, salute, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione centrale, spazio e alimenti. Il perimetro soggettivo dipende dall’esistenza di uno o più servizi essenziali, dalla localizzazione dell’infrastruttura critica nello Stato membro e dalla sussistenza di effetti negativi rilevanti in caso di incidente.

Sono escluse le materie disciplinate dalla direttiva (UE) 2022/2555, salve le eccezioni espressamente previste, e le attività svolte principalmente nei settori della sicurezza nazionale, pubblica sicurezza, difesa e attività di contrasto. Gli Stati membri possono inoltre decidere che l’articolo 11 e i capi III, IV e VI non si applichino, in tutto o in parte, a specifici soggetti critici operanti in tali settori o che servano esclusivamente tali enti pubblici. Per i soggetti bancari, delle infrastrutture dei mercati finanziari e delle infrastrutture digitali, l’articolo 8 esclude l’applicazione dell’articolo 11 e dei capi III, IV e VI, restando però applicabili strategia nazionale, valutazione del rischio e sostegno del capo II.

Definizioni centrali

Le definizioni dell’articolo 2 sono essenziali per la lettura della direttiva. In particolare:

• "soggetto critico" è il soggetto pubblico o privato individuato dallo Stato membro ai sensi dell’articolo 6;
• "resilienza" indica la capacità di prevenire, attenuare, assorbire, proteggersi, rispondere, resistere, adattarsi e ripristinare le capacità operative;
• "incidente" è l’evento che perturba o può perturbare in modo significativo la fornitura di un servizio essenziale;
• "servizio essenziale" è il servizio fondamentale per funzioni vitali, attività economiche, salute, sicurezza pubblica o ambiente;
• "valutazione del rischio" è il processo volto a individuare e analizzare minacce, vulnerabilità e pericoli pertinenti.

Quadro nazionale: strategia e valutazione del rischio

Ogni Stato membro deve adottare, entro il 17 gennaio 2026, una strategia nazionale per la resilienza dei soggetti critici. La strategia deve essere fondata, per quanto possibile, su strumenti nazionali e settoriali già esistenti e contenere almeno:

• obiettivi e priorità strategiche;
• un quadro di governance con ruoli e responsabilità;
• misure per aumentare la resilienza complessiva;
• la descrizione del processo di individuazione dei soggetti critici;
• il modello di sostegno pubblico-privato;
• il quadro di coordinamento con la direttiva (UE) 2022/2555;
• misure specifiche per agevolare le PMI individuate come soggetti critici. La strategia va aggiornata almeno ogni quattro anni e comunicata alla Commissione entro tre mesi dall’adozione.

Parallelamente, le autorità competenti devono svolgere una valutazione del rischio dello Stato membro entro il 17 gennaio 2026 e poi almeno ogni quattro anni, utilizzando un elenco non esaustivo dei servizi essenziali che la Commissione deve stabilire con atto delegato entro il 17 novembre 2023. La valutazione deve tener conto di rischi naturali e di origine umana, inclusi incidenti, catastrofi, emergenze sanitarie, minacce ibride e terroristiche, nonché delle dipendenze intersettoriali e transfrontaliere. Entro tre mesi dalla valutazione, lo Stato membro trasmette alla Commissione le informazioni pertinenti sui rischi individuati e sui risultati per settore e sottosettore.

Individuazione dei soggetti critici

Gli Stati membri devono individuare i soggetti critici entro il 17 luglio 2026, considerando i risultati della valutazione del rischio e della strategia nazionale. La selezione richiede cumulativamente che:

• il soggetto fornisca uno o più servizi essenziali;
• operi e abbia l’infrastruttura critica nel territorio dello Stato membro;
• un incidente produca effetti negativi rilevanti sulla fornitura del servizio o su altri servizi essenziali dipendenti. Il soggetto individuato va notificato entro un mese. Gli obblighi del capo III si applicano 10 mesi dopo la notifica. Gli Stati membri devono inoltre notificare l’identità dei soggetti critici alle autorità competenti ai sensi della direttiva (UE) 2022/2555 entro un mese dall’individuazione. L’elenco va riesaminato almeno ogni quattro anni.

Per valutare gli effetti negativi rilevanti, gli Stati membri considerano, tra l’altro, numero di utenti dipendenti, dipendenze di altri settori, impatto economico-sociale, ambientale e sulla salute, quota di mercato, estensione geografica dell’incidente e importanza del soggetto per garantire la continuità del servizio.

Obblighi dei soggetti critici

I soggetti critici devono effettuare una valutazione del rischio entro nove mesi dalla notifica di individuazione e successivamente almeno ogni quattro anni, sulla base delle informazioni ricevute dallo Stato membro e di altre fonti pertinenti. La valutazione deve coprire tutti i rischi rilevanti che possono compromettere i servizi essenziali e tenere conto delle dipendenze da altri settori, dallo spazio UE e da paesi terzi vicini, ove rilevante.

Sulla base di tale valutazione, gli Stati membri devono assicurare che i soggetti critici adottino misure tecniche, di sicurezza e organizzative adeguate e proporzionate. L’articolo 13 elenca le principali aree di intervento:

• prevenzione degli incidenti, anche tramite misure di adattamento climatico e riduzione del rischio di catastrofi;
• protezione fisica dei siti e delle infrastrutture;
• contrasto e resistenza agli incidenti, con procedure di gestione del rischio e della crisi;
• ripristino delle capacità operative e continuità del servizio, anche mediante catene di approvvigionamento alternative;
• gestione della sicurezza del personale, comprese categorie critiche, autorizzazioni di accesso, controlli dei precedenti personali e formazione;
• sensibilizzazione e addestramento del personale.

I soggetti devono inoltre predisporre e applicare un piano di resilienza, o documenti equivalenti, e designare un funzionario di collegamento o equivalente come punto di contatto con le autorità competenti. La Commissione può adottare linee guida non vincolanti e atti di esecuzione per specificare ulteriormente le misure tecniche e metodologiche.

Controlli dei precedenti personali

La direttiva consente agli Stati membri di autorizzare i soggetti critici, in casi debitamente motivati e tenuto conto della valutazione del rischio nazionale, a richiedere controlli dei precedenti personali per ruoli sensibili, accesso a siti e sistemi o assunzioni in tali ruoli. I controlli devono essere proporzionati, limitati allo stretto necessario e finalizzati alla valutazione del rischio per la sicurezza del soggetto critico.

Il controllo deve almeno confermare l’identità della persona e verificare i precedenti penali per reati rilevanti. Per tali verifiche si utilizza il sistema ECRIS, e se applicabile il regolamento (UE) 2019/816; le autorità centrali devono rispondere entro 10 giorni lavorativi.

Notifica degli incidenti

Gli incidenti che perturbano o possono perturbare in modo significativo la fornitura di servizi essenziali devono essere notificati senza indebito ritardo all’autorità competente. Salvo impossibilità operativa, il soggetto critico deve inviare una notifica iniziale entro 24 ore dalla conoscenza dell’incidente e, se del caso, una relazione finale dettagliata entro un mese.

La rilevanza della perturbazione si valuta considerando:

• numero e percentuale di utenti interessati;
• durata della perturbazione;
• area geografica interessata, anche in termini di isolamento geografico. Se l’incidente ha o può avere impatto significativo sulla continuità dei servizi in sei o più Stati membri, le autorità competenti degli Stati interessati ne informano la Commissione. Le informazioni scambiate tramite i punti di contatto unici devono essere trattate con riservatezza e tutela degli interessi commerciali.

Autorità competenti, punto di contatto unico e cooperazione

Ogni Stato membro deve designare o istituire una o più autorità competenti dotate di risorse adeguate e un punto di contatto unico. Quest’ultimo ha funzione di collegamento per la cooperazione transfrontaliera con gli altri punti di contatto unici e con il gruppo per la resilienza dei soggetti critici.

Le autorità competenti devono cooperare con altre autorità nazionali rilevanti, incluse quelle di protezione civile, attività di contrasto e protezione dei dati personali, nonché con le autorità NIS 2, con scambio di informazioni sui rischi e sugli incidenti informatici e non informatici che incidono sui soggetti critici. Entro tre mesi dalla designazione, gli Stati membri notificano alla Commissione identità, compiti e contatti delle autorità e del punto di contatto unico.

Soggetti critici di particolare rilevanza europea

Un soggetto è qualificato come soggetto critico di particolare rilevanza europea se è già stato individuato come critico, fornisce servizi essenziali identici o analoghi in sei o più Stati membri ed è stato notificato secondo la procedura dell’articolo 17. La Commissione, dopo consultazione con gli Stati membri interessati, comunica l’individuazione al soggetto tramite l’autorità competente, con effetti dalla data di ricezione della notifica.

Per tali soggetti la Commissione può organizzare missioni di consulenza, su richiesta dello Stato membro interessato o, in alcuni casi, di propria iniziativa con accordo dello Stato membro. Le missioni valutano le misure adottate ai sensi del capo III e producono una relazione entro tre mesi; gli Stati membri interessati devono esaminare la relazione e la Commissione formula un parere sulle misure di miglioramento della resilienza. I soggetti devono consentire accesso a informazioni, sistemi e impianti necessari alla missione.

Cooperazione a livello UE e supporto della Commissione

È istituito il gruppo per la resilienza dei soggetti critici, composto da rappresentanti degli Stati membri e della Commissione, con funzioni consultive e di coordinamento. Il gruppo elabora un programma di lavoro entro il 17 gennaio 2025 e poi ogni due anni, analizza le strategie nazionali, facilita lo scambio di migliori prassi, contribuisce alle linee guida e discute le relazioni di sintesi sulle notifiche e sulle missioni di consulenza. Si riunisce almeno una volta l’anno con il gruppo di cooperazione istituito dalla direttiva (UE) 2022/2555.

La Commissione sostiene gli Stati membri e i soggetti critici con rassegne dei rischi transfrontalieri e intersettoriali, materiali di orientamento, formazione, esercitazioni e informazione sulle risorse finanziarie UE disponibili, anche tramite il meccanismo di protezione civile dell’Unione, il Fondo Sicurezza interna e Orizzonte Europa.

Vigilanza, esecuzione e sanzioni

Gli Stati membri devono attribuire alle autorità competenti poteri di ispezione in loco, vigilanza da remoto, richiesta di informazioni e documenti e adozione di provvedimenti correttivi. Tali poteri devono essere esercitati con garanzie adeguate, nel rispetto di obiettività, trasparenza, proporzionalità, contraddittorio, diritti della difesa, ricorso effettivo e tutela dei segreti commerciali e aziendali.

Le sanzioni per le violazioni delle misure nazionali di recepimento devono essere effettive, proporzionate e dissuasive, e gli Stati membri devono notificare alla Commissione le relative disposizioni entro il 17 ottobre 2024.

Recepimento, entrata in vigore e abrogazione

La direttiva è entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Gli Stati membri devono adottare e pubblicare le misure di recepimento entro il 17 ottobre 2024 e applicarle dal 18 ottobre 2024. La direttiva 2008/114/CE è abrogata con effetto dal 18 ottobre 2024, e i riferimenti alla direttiva abrogata si intendono fatti alla nuova direttiva.