Gli altri cookie sono configurabili.
KRITIS e CER: la resilienza come obbligo legale vigilato.
L'Europa ora regolamenta la resilienza fisica e organizzativa delle sue entità critiche, non solo la loro sicurezza informatica. La direttiva CER si affianca alla NIS2 a livello UE, e il regime tedesco KRITIS mostra come si presenta l'implementazione a livello nazionale. Ecco la struttura, le date e gli obblighi.
Che cosa sono CER e KRITIS?
La Direttiva sulla resilienza delle entità critiche, Direttiva (UE) 2022/2557, è il regime dell'UE per la resilienza fisica e organizzativa delle entità critiche. In vigore dal 16 gennaio 2023 e applicabile dal 18 ottobre 2024, impone agli Stati membri di adottare strategie nazionali di resilienza entro il 17 gennaio 2026 e di identificare le proprie entità critiche entro il 17 luglio 2026, in undici settori tra cui energia, trasporti, banche, sanità, acqua e infrastrutture digitali. Le entità identificate devono valutare i propri rischi, adottare misure di resilienza tecniche e organizzative, segnalare gli incidenti significativi e, ove pertinente, effettuare verifiche dei precedenti.
CER è volutamente il gemello di NIS2: uno affronta la dimensione fisica e organizzativa di un'entità critica, l'altro la dimensione cibernetica, ed entrambi sono progettati per operare in modo coordinato all'interno delle stesse organizzazioni. La conseguenza pratica per la leadership è che la resilienza viene ora inquadrata come un obbligo di governance con supervisione alle spalle, non come una semplice cortesia operativa.
KRITIS è la consolidata espressione nazionale tedesca della stessa idea. Ai sensi della legge BSI, i gestori di infrastrutture critiche che superano le soglie previste dalla normativa KRITIS devono implementare misure tecniche e organizzative all'avanguardia, dimostrarne l'efficacia all'ufficio federale ogni due anni e segnalare gli incidenti significativi; la Germania sta estendendo questo regime dalla sicurezza informatica alla resilienza fisica contro tutti i tipi di rischi attraverso la prevista legge quadro KRITIS che recepisce la normativa CER. Insieme alla legge svizzera sulla sicurezza (ISG) e alla legge austriaca sulla sicurezza delle reti e delle informazioni, questo quadro costituisce il contesto DACH in cui i nostri clienti si trovano più spesso a operare.
Cosa deve fare un'entità critica identificata
Domande frequenti
Qual è la differenza tra CER e NIS2?+
Si tratta di due direttive gemelle riguardanti le stesse organizzazioni critiche: la CER disciplina la resilienza fisica e organizzativa, per tutti i tipi di rischio, mentre la NIS2 disciplina la sicurezza informatica e la segnalazione degli incidenti. Un'entità critica identificata dovrebbe essere tenuta a rispondere a entrambe, attraverso un'unica capacità coerente anziché tramite due programmi distinti.
Quali settori copre il CER?+
Undici: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio e produzione e distribuzione alimentare.
Quando sapremo se siamo un'entità critica?+
Gli Stati membri devono identificare le proprie entità critiche entro il 17 luglio 2026, sulla base delle strategie nazionali da presentare entro il 17 gennaio 2026. Le organizzazioni degli undici settori non devono attendere la lettera: i compiti sono prevedibili e lo sviluppo delle capacità richiede più tempo di quanto consentito dalla scadenza.
Che cos'è KRITIS in Germania?+
Il regime tedesco per le infrastrutture critiche, istituito ai sensi della legge BSI, prevede che gli operatori che superano le soglie di regolamentazione KRITIS debbano implementare misure all'avanguardia, dimostrarle al BSI ogni due anni e segnalare gli incidenti. La Germania sta estendendo il regime dalla resilienza informatica a quella fisica attraverso la prevista legge quadro KRITIS, che recepisce il CER (Certificate of Resilience and Resilience).
Operiamo in Svizzera; il Regolamento CE si applica anche a noi?+
Non direttamente, poiché la Svizzera non è uno Stato membro dell'UE, ma gli operatori svizzeri di infrastrutture critiche hanno obblighi paralleli in materia di ISG e i gruppi svizzeri con attività nell'UE sono spesso coinvolti nei regolamenti CER e NIS2 tramite le loro filiali. Si veda il nostro documento informativo sull'ISG svizzero.
Servizi correlati
Resilienza organizzativa
La struttura sopra i piani: rischio, continuità, crisi, sicurezza informatica e persone su un'unica base di governance, secondo ISO 22316.
Conformità NIS2
Dalla determinazione dell'ambito di applicazione alle misure previste dall'articolo 21 e alla prontezza di presentazione dei rapporti entro 24 ore ai sensi della direttiva (UE) 2022/2555.
Gestione delle crisi
Dottrina, strutture e comunicazioni che contengono il picco e abbreviano i tempi di recupero, basate sulla norma ISO 22361.
Gestione della continuità operativa
Strategia, piani e validazione conformi alla norma BIA e ISO 22301: un programma di continuità operativa progettato per resistere a un'interruzione reale.
Esercitazioni di continuità operativa
Esercitazioni da tavolo, funzionali, informatiche e su vasta scala che verificano i piani e le prove di conformità alle norme ISO 22301, NIS2 e DORA.
Resilienza informatica
Oltre la prevenzione: la capacità di resistere, reagire e riprendersi, garantendo al contempo la continuità dei servizi essenziali.
Sicurezza della catena di approvvigionamento
Il rischio che ereditate dai fornitori e dalle piattaforme condivise: mappato, garantito, contrattualizzato ed esercitato, secondo le norme ISO 28000, NIS2 e DORA.
Quadro di riferimento DAEDALUS per la resilienza aeroportuale
Il Framework per la Resilienza Aeroportuale: cinque ambiti come un unico modello operativo per l'intero aeroporto, basato sul motore 7A, nelle edizioni per l'aviazione commerciale, cargo e business.
Gestione del rischio
Dall'universo dei rischi al rischio gestito: identificazione, valutazione consapevole dello stress, trattamento personalizzato e monitoraggio in tempo reale.
Conformità DORA
I cinque pilastri del Regolamento (UE) 2022/2554 attuato per gli enti finanziari e i loro fornitori di infrastrutture ICT critiche.
Sicurezza delle informazioni
Riservatezza, integrità e disponibilità garantite da un ISMS dinamico e conforme alla norma ISO 27001.
7A Quadro di riferimento per la gestione del rischio
Il nostro modello operativo proprietario incentrato sulle decisioni: esposizione e affidabilità delle decisioni misurate separatamente, per il consiglio di amministrazione.
Governance e resilienza dell'IA
La governance ha avvolto ogni livello dei sistemi intelligenti, dal comportamento dei modelli alla responsabilità del consiglio di amministrazione e alla norma ISO 42001.
Siate pronti prima dell'arrivo della lettera di identificazione.
Richiedeteci una valutazione della vostra preparazione per il CER: la probabile designazione a cui sarete assegnati, le lacune da colmare rispetto agli obblighi e la sequenza per colmarle entro le date previste.
Prenota una consulenza