Direttiva CER e APR 2026: “in viaggio” verso la resilienza delle infrastrutture critiche

di Miryam Cattaneo, Senior Risk Security Consultant di AISEC, Security Advisory Company

Negli ultimi anni il contesto di sicurezza delle infrastrutture strategiche, in grado cioè di erogare servizi essenziali per il funzionamento dello Stato e dell'economia, ha subito una profonda trasformazione.
La crescente instabilità geopolitica, l'evoluzione delle minacce fisiche e cyber, la digitalizzazione dei processi operativi e l'aumento delle interconnessioni tra organizzazioni e filiere hanno reso sempre più evidente quanto la continuità dei servizi essenziali dipenda da ecosistemi complessi e fortemente integrati.

In questo scenario, la protezione di infrastrutture, definite come critiche, non può più essere affrontata esclusivamente attraverso misure di difesa fisica o tecnologica.
La capacità di garantire l'erogazione dei servizi essenziali erogati dalle stesse richiede infatti un approccio multidisciplinare che integri prevenzione, gestione del rischio, continuità operativa e risposta agli incidenti. Questa visione, in particolare, rappresenta il fondamento della direttiva CER (“Critical Entities Resilience”), il provvedimento europeo volto a rafforzare la resilienza dei soggetti critici, che nasce dalla consapevolezza che eventi apparentemente circoscritti possono generare conseguenze rilevanti su scala nazionale o internazionale, introducendo una prospettiva più ampia, orientata alla capacità delle organizzazioni di assorbire gli effetti di una crisi, adattarsi e ripristinare rapidamente le proprie funzioni vitali.

Il settore dei trasporti: rischi e vulnerabilità
Tra i settori coinvolti, quello dei trasporti rappresenta uno degli ambiti più significativi e strategici. Aeroporti, porti, ferrovie, infrastrutture metropolitane e reti logistiche costituiscono elementi fondamentali per il funzionamento dell'economia e della società. Oltre a garantire la mobilità di persone e merci, assicurano di fatto il collegamento con altri servizi essenziali, contribuendo alla continuità delle attività produttive e istituzionali.

Queste infrastrutture, in particolar modo negli ultimi anni, hanno accelerato i propri percorsi di trasformazione digitale, introducendo sistemi di automazione, piattaforme di monitoraggio, tecnologie operative interconnesse, sensoristica avanzata e strumenti di gestione intelligente delle operazioni. Un’evoluzione che ha prodotto importanti benefici in termini di efficienza e controllo, ma ha anche ampliato la superficie di esposizione verso minacce sempre più articolate.

Di fatto, le organizzazioni del settore oggi si trovano spesso a confrontarsi con minacce di natura fisica ed atti intenzionali quali sabotaggi, furti, intrusioni, danneggiamenti alle infrastrutture e altre azioni in grado di comprometterne l'operatività, a cui si affiancano guasti infrastrutturali, interruzioni energetiche ed eventi naturali estremi.
Unitamente ad essi, la crescente digitalizzazione ha introdotto ulteriori rischi legati ad attacchi informatici e alla compromissione di sistemi e servizi digitali. Il risultato? Sempre più frequentemente tali minacce si manifestano in maniera combinata, rendendo necessario un approccio integrato che superi la tradizionale separazione tra security fisica e cybersecurity.

La direttiva CER si inserisce proprio in questa prospettiva, richiedendo ai soggetti critici di eseguire una valutazione complessiva dei rischi e delle vulnerabilità che tenga conto delle interdipendenze esistenti tra infrastrutture, fornitori, tecnologie e processi organizzativi.

Un cambio di paradigma
Uno degli elementi più innovativi introdotti dalla direttiva riguarda il cambiamento di paradigma nella gestione della sicurezza. Infatti, se per lungo tempo l'obiettivo principale delle organizzazioni è stato identificato nella protezione di infrastrutture, impianti e sistemi da specifiche minacce, oggi, invece, l'attenzione si sposta verso la continuità delle funzioni essenziali che tali organizzazioni sono chiamate a garantire.

In quest'ottica assumono crescente importanza strumenti quali il risk management, il business continuity management, il crisis management e la pianificazione delle emergenze. La capacità di individuare tempestivamente gli scenari di crisi, coordinare le decisioni, mantenere operative le attività prioritarie e ripristinare rapidamente i servizi sta diventando sempre più un fattore determinante per limitare impatti economici, sociali e reputazionali.

La resilienza non viene più quindi intesa come semplice capacità di resistere a un evento avverso, assume bensì un concetto più ampio che richiede una crescente collaborazione tra operatori infrastrutturali, istituzioni, fornitori e autorità competenti, riconoscendo che la sicurezza delle infrastrutture critiche costituisce una responsabilità condivisa.

APR 2026: il confronto sui nuovi scenari della sicurezza
Queste tematiche saranno al centro di APR 2026, l'evento dedicato ai temi della security, safety e resilienza nei comparti aeroportuale, portuale e ferroviario.

L'appuntamento rappresenterà un'importante occasione di confronto tra istituzioni, operatori del settore, gestori infrastrutturali ed esperti di sicurezza per approfondire l'evoluzione delle minacce che interessano le infrastrutture di trasporto e analizzare le implicazioni operative derivanti dall'attuazione della Direttiva CER. Particolare attenzione sarà dedicata alle strategie di gestione integrata del rischio, alle minacce ibride, alla protezione delle infrastrutture operative, alla sicurezza delle tecnologie digitali e al ruolo delle nuove soluzioni di monitoraggio e analisi avanzata nel supportare le attività di prevenzione e risposta agli incidenti.

Il dibattito consentirà inoltre di esaminare le modalità attraverso cui i soggetti critici possono sviluppare capacità organizzative sempre più mature in materia di resilienza, rafforzando la cooperazione tra le diverse componenti dell'ecosistema dei trasporti.

Una sfida strategica per il futuro
Infine, per tutti quei soggetti che verranno identificati come critici, la direttiva CER rappresenterà molto più di un adempimento normativo. Essa offre infatti l'opportunità di ripensare la sicurezza attraverso una prospettiva più ampia, capace di integrare protezione, continuità operativa e capacità di adattamento.

In un contesto caratterizzato da rischi sempre più interconnessi, la resilienza diventerà un elemento ancor più essenziale per garantire l'affidabilità dei servizi e la continuità operativa delle infrastrutture da cui dipendono cittadini, imprese e istituzioni: la capacità di preservare le funzioni critiche anche durante situazioni di crisi costituirà sempre più uno dei principali fattori distintivi per la sicurezza e la competitività del sistema Paese.